사이버아크 "머신ID가 사람보다 82배 많아...기업들 ID 보안 전략 현대화해야"

[디지털투데이 황치규 기자]아이덴티티 보안 기업 사이버아크(CyberArk)는 3일 기업들이 AI와 클라우드 활용 확대로 인해 의도치 않게 새로운 아이덴티티 중심 공격 표면을 어떻게 만들고 있는지를 보여 ‘2025년 아이덴티티 보안 환경 보고서(2025 Identity Security Landscape)’를 발표했다.

보고서에 따르면 머신 아이덴티티는 대부분 조직 내에서 알려지지 않고, 통제되지 않고 있다는 것을 보여주고 있으며, 반면 에이전틱 AI(Agentic AI) 도입시에는 외부 조작 및 민감한 정보 접근과 관련된 보안 문제들이 장애물로 꼽혔다.

'머신의 부상'은 보안이 갖춰지지 않은 특권 확산에 원인이 될 수 있다. 클라우드와 AI를 중심으로 구동되는 머신 아이덴티티는 이제 조직 내 인간 아이덴티티를 크게 앞지르고 있으며, 약 40%는 민감한 정보 또는 특권이 있는 접근 권한을 보유하고 있다. 그러나 많은 기업이 중요 시스템에 대한 인간과 머신 접근 모두를 보안이 부족한 상태로 방치하고 있다.

AI와 LLM 승인 여부와 관계없이 도입되는 것은 조직을 변화시키는 동시에 사이버 보안 위험을 증폭시키고 있다. AI 에이전트의 등장과 이들의 특권적 접근에 대한 우려는 아이덴티티 보안에 초점을 맞춘 투자의 시급성을 강조한다.

아태지역(APAC에는 조직 내 사람 당 82개 머신 아이덴티티가 존재한다. 2025년에는 인간 및 머신 아이덴티티(대부분 특권 접근 권한 보유)가 두 배 증가할 것으로 예상된다.

APAC 조직 89%에서 '특권 사용자' 정의는 오직 인간 아이덴티티에만 적용되지만, 머신 아이덴티티 39%는 특권 접근 권한 또는 민감한 접근 권한을 보유하고 있는 것으로 조사됐다.

또 APAC 응답자 82%는 지난 12개월 동안 피싱 공격으로 인한 아이덴티티 중심 침해를 경험했다.

2025년 APAC 조직들에서 사이버 보안 지출을 견인할 것으로 예상되는 상위 3가지 요인들은 AI 및 거대언어모델(LLM) 및 툴 도입(59%), 보안 위협 탐지 및 대응(48%), 제로 트러스트 및 아이덴티티 보안 도입(39%)이 꼽혔다.

사이버아크의 클라렌스 힌튼(Clarence Hinton) CSO(Chief Strategy Officer)는 "AI를 기업 환경에 도입하려는 경쟁은 의도치 않게 관리되지 않고, 보안이 취약한 머신 아이덴티티 접근을 중심으로 새로운 아이덴티티 보안 위험을 초래했으며, AI 에이전트 특권적 접근은 완전히 새로운 위협 벡터가 될 것이다"라며 "복원력을 유지하기 위해 CISO와 보안 리더는 특권적 접근을 가진 아이덴티티 급증과 아이덴티티 사일로의 손상으 악화되는 새롭게 확장되는 공격 표면에 맞서 싸우기 위해 아이덴티티 보안 전략을 현대화해야 한다"라고 말했다.

사이버아크의 림 텍 위(Lim Teck Wee) ASEAN 지역 VP는 "대부분 특권 접근 권한을 갖고 있고, 제대로 감독되지 않는 머신 아이덴티티 증가는 위험이라는 최악의 상황을 유발하고 있다. APAC 기업 약 70%가 AI 기반 아이덴티티와 머신 아이덴티티를 통제할 수 없고 머신 아이덴티티 수가 인간보다 82대 1로 많은 상황에서, 더 이상 단순히 인간 보안뿐만 아니라 모든 아이덴티티 보안을 중요하게 생각해야 한다. AI가 비즈니스 운영에 더욱 깊이 자리 잡으면서, 기업들은 2025년 이후 사이버 복원력을 구축하고, 신뢰를 유지하기 위해 선제적이면서 아이덴티티 중심의 접근 방식을 채택해야 한다"라고 말했다.