[데이터넷] 몇 년 전 많은 글로벌 기업들이 ‘클라우드 퍼스트’를 외치면서 본격적인 클라우드 전환을 시작했다. 이제 클라우드는 IT의 기본이 됐으며, 비즈니스를 시작할 때 클라우드를 먼저 고려하게 됐다. 클라우드가 일상화된 현재는 무엇을 우선시 해야할까?

정광연 옥타 아이덴티티 코리아 전무는 “이제 ‘아이덴티티 퍼스트(Identity First)’ 시대가 열렸다. 업무를 위해 애플리케이션에 접속하거나 사업을 진행하기 위해 가장 먼저 아이덴티티가 발급되어야 하고, 정당하게 관리되어야 한다”며 “통합 아이덴티티 관리 플랫폼을 통해 안전하게 업무와 비즈니스에 접속할 수 있는 환경을 만드는 것이 급선무”라고 강조했다.

정광연 전무는 27일 데이터넷TV ‘제 20회 차세대 보안 비전 2021’에서 ‘옥타와 함께하는 제로 트러스트 여정(Zero Trust Journey with Okta)’ 주제의 세션에서 제로 트러스트의 시작인 ‘아이덴티티’를 어떻게 관리해야 하는지 국내외 성공사례를 중심으로 설명했다.

정광연 전무는 “계정은 가장 취약한 보안 연결고리로, 데이터 유출사고의 81% 이상이 취약한 패스워드, 계정 탈취로 발생하고, 모든 보안사고의 61%는 계정 유출에서 시작한다. 또한 보안침해사고의 80%는 권한을 가진 계정에서 발생한다”고 계정관리의 중요성을 역설하면서 세션을 시작했다.

적절한 시점에 적절한 사람이 적절한 자원에 접근

정광연 전무는 최근 보안 시장의 최대 화두인 ‘제로 트러스트’를 소개하며 “아이덴티티가 제로 트러스트의 시작”이라고 강조했다.

비즈니스가 클라우드로 전환되면서 ‘보호되는 네트워크 경계’의 개념이 사라지고 사람과 기기가 어디서나 접속하게 됐다. 임직원 뿐 아니라 파트너사와 아웃소싱 직원, 고객들도 접속하기 때문에 다양한 권한을 가진 사람들에 대한 강력한 통제가 필요하다.

정광연 전무는 “기존 네트워크 경계 기반 보안의 영향력이 약화되면서 보안 리더들의 스트레스가 높아지고 있다. 너무 강력한 보안은 비즈니스 속도를 저해할 수 있으며, 사용자를 불편하게 해 업무 생산성을 낮추고 고객을 떠나게 만든다”며 “시장 상황에 맞게 적시에 서비스를 제공하고 편리하게 사용할 수 있도록 하면서 비즈니스를 보호하는 방법이 필요하다”고 설명했다.

이 문제를 해결하기 위해 옥타는 모든 아이덴티티와 모든 리소스에 제로 트러스트 컨트롤 플레인을 제공한다. 적절한 시점에 적절한 사람에게 적절한 자원에 대한 접근만을 허가할 수 있도록 하며, 접속에 대한 모든 요소를 검증하고 리스크 스코어링을 통해 보안위협 수준을 관리한다.

한 번 허가한 접속 요청이라도 재접속 시 혹은 일정 시간이 지난 후 다시 안전한 접속이 유지되고 있는지 확인하면서 권한을 탈취한 공격자 혹은 권한 사용자가 이상행위를 하는지 모니터링한다.

이 과정에서 사용자에게 불편한 인증 행위를 요구하는 것이 아니라, 간단한 행위만으로 인증할 수 있도록 해 사용 편의성을 높이면서 지속적으로 안전한 서비스 접속이 이뤄지도록 한다.

더불어 개발자 커뮤니티 Auth0를 인수하고 클라우드·애플리케이션 개발자의 편의성을 향상시키고 있다. 개발자는 차세대 고객 경험을 개발하는데 핵심 역할을 하지만, 고객이 안전하게 서비스에 접속하기 위한 ID 인프라를 구축하는데 있어서는 상당한 어려움이 있다.

고객정보를 보호하면서도 고객이 편리하게 로그인 할 수 있도록 하기 위해 개발자들이 보안, 컴플라이언스와 관련된 전문지식이 있어야 한다. 전문지식 없는 개발자들도 ID 인프라 구축을 쉽게 하기 위해 옥타는 Auth0를 인수했다.

정광연 전무는 “옥타의 미션은 ‘모든 기업이 다양한 기술에 쉽고 안전하게 연결되는 세상을 만드는 것’이다. 옥타는 안전하지만 쉬운 방법으로 아이덴티티를 관리할 수 있도록 도와준다. 5명 이하 소규모 기업부터 수십만명의 직원을 보유한 글로벌 기업까지, 임직원 뿐 아니라 파트너, 고객 등 애플리케이션에 접속하는 모든 사람과 IoT 기기에 이르기까지 모든 상황에서 안전한 아이덴티티를 운영할 수 있도록 도와준다”고 말했다.

직원·고객 계정관리 위한 통합 플랫폼 제공

옥타는 가트너의 ‘통합 계정 접근관리(IAM) 분야 매직쿼드런트’에서 7년 이상 리더로 선정되었으며, 전 세계 1만3000개 이상 기업·기관에 솔루션을 공급해왔다. 접근권한 관리, 특권권한 관리, 거버넌스를 통합 제공하며, SSO를 위한 MFA, API 접근관리 등의 기능도 제공한다.

SaaS로 제공되는 옥타의 솔루션은 기업 내부 사용자를 위한 ‘워크포스 아이덴티티(Workforce Identity)’와 고객 서비스 애플리케이션 개발을 위한 ‘커스터머 아이덴티티(Customer Identity)’ 두 가지로, 모든 퍼블릭·프라이빗 클라우드를 지원하며, CASB·MDM·API 게이트웨이 등 다양한 보안 솔루션과 연동된다.

옥타는 올해 5월 국내지사를 설립했는데, 이미 많은 기업에 제품을 공급했다. 글로벌 대표 사례로는 나이키, 나스닥, 히다치, 어도비, MLB 등을 소개한다.

나이키는 경쟁사 IAM을 사용하다 옥타 솔루션을 도입해 6만5000면의 직원이 400개 이상 애플리케이션에 안전하게 접속할 수 있도록 했으며, 파트너들도 옥타를 사용해 아이덴티티를 관리할 수 있게 했다.

어도비는 사내 직원을 대상으로 옥타를 도입했다가 고객을 위한 CIAM 솔루션으로 확대한 사례다. 1000만명 이상 어도비 고객이 옥타 솔루션으로 편리하게 서비스에 접근한다. MLB는 300만 팬 정보를 옥타로 이전했으며, 대규모 고객이 한번에 접속한다 해도 실시간 인증이 가능하도록 스케일 아웃 시스템을 구축했다.

정광연 전무는 “회사가 성장해 직원 50명에서 10만명으로 늘어난다 해도 옥타를 이용하면 인프라 변경 없이 유연하게 아이덴티티를 관리할 수 있다. 업계 최고 수준의 아이덴티티 전문가가 운영하는 서비스를 통해 모든 환경에서 안전한 ID 관리가 가능하며, 오픈소스·컨테이너 등 새로운 기술 및 개발 환경도 즉각적으로 지원할 수 있다”고 말했다.

그는 “옥타의 서비스는 ‘올웨이즈 온(Always-On)’ 아키텍처로 개발돼 고객의 비즈니스 연속성을 담보한 디지털 전환을 지원한다. 옥타 서비스 인프라는 세계 최고 수준의 보안 감사와 보안 통제가 가능하며, 높은 가용성과 무중단 운영을 보장한다. 실시간 수요 변화에 문제 없이 대응하는 높은 확장성을 갖고 있다”며 “모든 서비스 레이어를 이중화하고 가용성을 높여 업계 최고 수준의 SLA를 보장한다”고 덧붙였다.

관리자·사용자 모두 편리한 ID 시스템

정광연 전무는 옥타 서비스의 가장 차별화된 포인트로 ‘편의성’을 들었다. 관리자와 사용자 모두 편리하게 ID 시스템을 사용·운영할 수 있도록 하는 것이 옥타의 경쟁력이라고 강조했다.

옥타는 컨텍스트를 인지해 리스크 수준을 판단하고 보안 수준을 원활하게 관리할 수 있다. 사용자가 언제, 어떤 디바이스로, 어떤 애플리케이션에 접근하는지 가시화하며, 컨텍스트를 인지해 정상/비정상 상황을 지능적으로 알 수 있다. 사용자의 편의성을 보장하기 위해 패스워드리스를 사용할 수 있으며, 생체인증 등을 활용해 더 안전하게 인증이 가능하도록 한다.

정광연 전무는 “한국에서 ID 관리는 포인트 솔루션으로, SI 성으로 구축된 경우가 많다. 그러나 클라우드로 전환되면서 기존의 ID 관리 인프라를 사용하기 어렵게 됐다. 옥타는 멀티·하이브리드 클라우드에서 최적화된 통합 ID 프레임워크를 제공하며, 계정·인가와 관련된 모든 솔루션을 공급한다. 옥타 웹사이트에서 한 달간 서비스를 무료로 사용할 수 있으니, 실제로 사용해 보고 도입을 결정하기를 바란다”고 말했다.