# 아이덴티티가 새로운 경계가 되었다 ## 핵심 요점 *바쁘다면 지금 핵심 요점만 훑어보고 나중에 다시 읽어도 된다.* - 클라우드 컴퓨팅, SaaS 플랫폼, 하이브리드 근무가 표준이 되면서 전통적인 네트워크 경계는 계속 약화되고 있다. - AI 기반 사회공학은 아이덴티티 기반 공격의 규모와 정교함을 크게 높였다. - 다중 인증은 여전히 필수이지만, 현대의 공격자를 막기에는 더 이상 그것만으로 충분하지 않다. - 지속적인 아이덴티티 검증과 행동 분석은 기업 보안 전략의 핵심 요소가 되고 있다. - 머신 아이덴티티, 서비스 계정, 자율 AI 에이전트가 조직의 공격 표면을 빠르게 넓히고 있다. - 2026년에 방어 태세가 가장 잘 갖춰진 조직은 아이덴티티를 단순한 접근 관리 기능이 아니라 사이버보안의 토대로 여기는 조직이다. 수십 년 동안 사이버보안 전략은 비교적 단순한 생각을 중심으로 움직였다. 공격자를 네트워크 밖에 머물게 하라. 방화벽, 침입 탐지 시스템, 가상 사설망은 신뢰할 수 있는 내부 시스템과 신뢰할 수 없는 인터넷 사이에 방어 경계를 형성했다. 어떤 조직도 경계 보안에만 전적으로 의존한 적은 없지만, 업계의 사고방식 상당 부분은 사용자나 기기가 그 경계를 넘으면 대체로 신뢰해도 된다는 가정에 기대고 있었다. 그 가정은 수년 전부터 흔들리고 있었다. [클라우드 컴퓨팅, 서비스형 소프트웨어 플랫폼, 원격 근무, 모바일 기기는 명확하게 정의된 기업 네트워크라는 개념을 꾸준히 약화했다](https://csrc.nist.gov/pubs/sp/800/207/final). 그런데 2026년에 이 전환을 더 빠르게 만든 또 다른 힘이 등장했다. 인공지능은 공격자가 합법적인 사용자를 사칭하는 속도, 규모, 정교함을 극적으로 끌어올렸다. 현대의 사이버 범죄자들은 목표를 이루기 위해 더 이상 소프트웨어 취약점을 악용할 필요가 없다는 사실을 점점 더 잘 알고 있다. 신뢰받는 아이덴티티를 훔치거나 조작하거나 그럴듯하게 모방할 수 있다면, 기존의 많은 기술적 통제는 의미를 잃는다. 그 결과 아이덴티티는 사이버보안의 주전장이 되었다. 조직이 점점 더 자주 던지는 질문은 더 이상 “공격자가 우리 시스템에 도달할 수 있는가?”가 아니다. 이제는 “이 시스템을 사용하려는 아이덴티티를 신뢰할 수 있는가?”이다. ## 전통적인 경계의 쇠퇴 전통적인 기업 네트워크는 서서히 사라졌다. 직원들은 집 네트워크, 고객사 현장, 공용 인터넷 연결을 통해 업무 애플리케이션에 일상적으로 접속한다. 기업 데이터는 단일 데이터센터 내부가 아니라 여러 클라우드 제공업체와 SaaS 플랫폼에 흩어져 있다. 계약업체, 공급업체, 파트너는 내부 리소스에 각기 다른 수준의 접근 권한을 필요로 한다. 직원들은 기업이 관리하는 하드웨어와 함께 개인 기기도 점점 더 많이 사용한다. 이런 변화는 업무 유연성을 크게 높였지만, 경계 기반 보안의 효과도 약화했다. 직원들이 의존하는 애플리케이션이 외부에 호스팅되고 인터넷을 통해 직접 접근되는 상황에서는 기업 네트워크로 들어오는 악성 트래픽을 차단해도 보호 효과가 제한적이다. 마찬가지로, 사무실 네트워크에 대한 무단 접근을 막는 것만으로는 탈취한 자격 증명으로 인증에 성공한 공격자를 막기 어렵다. 따라서 보안은 사용자가 어디에서 접속하는지보다 누가, 또는 무엇이 접속을 시도하는지에 점점 더 초점을 맞추게 되었다. 그래서 우리는 아이덴티티가 신뢰의 핵심 기준으로서 위치를 대체했다고 본다. ## 공격자는 당신인 척하는 데 더 능숙해졌다 자격 증명 탈취는 컴퓨터 네트워크의 역사만큼이나 오래된 문제다. 달라진 점은 공격자가 이제 신뢰받는 아이덴티티를 획득하고 악용하는 방식이 훨씬 정교해졌다는 데 있다. 생성형 AI는 사회공학을 바꿔 놓았다. 범죄 조직은 특정 개인, 조직, 진행 중인 업무 프로젝트에 맞춘 매우 그럴듯한 피싱 이메일을 만들어 낼 수 있다. 언어 모델은 예전 피싱 캠페인을 비교적 쉽게 알아차리게 했던 문법 오류와 어색한 표현을 대부분 없애 준다. 이 변화는 이메일을 훨씬 넘어선다. 음성 합성 기술을 활용하면 공격자는 전화 통화에서 임원을 흉내 낼 수 있다. 딥페이크 영상은 온라인 회의에서 그럴듯한 사칭을 가능하게 한다. 소셜 미디어, 전문 네트워킹 플랫폼, 기업 웹사이트에서 수집한 공개 정보는 AI 시스템이 놀라울 만큼 설득력 있는 커뮤니케이션을 만들어 내기에 충분한 맥락을 제공한다. 이런 기법 하나하나가 반드시 성공을 보장하는 것은 아니다. 그러나 함께 사용하면 표적 공격을 대규모로 수행하는 데 필요한 노력을 크게 줄인다. 비즈니스 이메일 침해 캠페인은 점점 실제 상업적 서신과 비슷해지고 있다. 결제, 자격 증명 확인, 문서 승인에 관한 사기성 요청은 예전이라면 상당한 수작업 준비가 필요했을 현실적인 문체와 맥락 이해를 바탕으로 이뤄지는 경우가 많다. 그 결과 아이덴티티 공격은 합법적인 비즈니스 활동과 구별하기가 더 어려워지고 있다. ## 다중 인증이 더 이상 종착점이 아닌 이유 많은 조직에 다중 인증을 배포하는 일은 중요한 보안 이정표였다. MFA는 여전히 비밀번호 기반 침해를 막는 가장 효과적인 방어 수단 중 하나이며, 지금도 수많은 기회주의적 공격을 차단한다. 그러나 2026년에는 MFA가 포괄적 해결책이 아니라 필요한 기본선이라는 인식이 점점 더 확산되고 있다. 물론 공격자도 적응했다. 중간자형 공격 프레임워크는 인증 세션을 실시간으로 가로채고, 인증 성공 뒤 세션 토큰을 탈취한다. 범죄자는 비밀번호를 훔치기보다 인증된 세션 자체를 훔치는 방향으로 점점 더 움직이고 있다. 마찬가지로 피싱 키트도 합법적인 인증 페이지를 프록시할 수 있게 되었다. 피해자는 MFA 과제를 완료하면서도 자신도 모르게 공격자에게 접근 권한을 넘겨준다. 공격자는 인증 복구 절차의 약점을 악용하고, 신뢰된 기기를 남용하며, 인증 피로를 노리고, 악성코드로 브라우저 세션을 침해하기도 한다. 의미는 분명하다. 세션 시작 시점에 인증에 성공했다고 해서 그 계정을 사용하는 사람이 세션이 유지되는 내내 신뢰할 수 있다는 뜻은 아니다. 따라서 보안은 인증을 단일 이벤트가 아니라 지속적인 과정으로 점점 더 다루고 있다. ## 일회성 검증을 대체하는 지속적 신뢰 2026년 사이버보안의 특징적인 흐름 중 하나는 지속적인 아이덴티티 검증을 점점 더 중시한다는 점이다. 조직은 로그인 성공 뒤 신뢰를 가정하기보다, 사용자가 기업 시스템과 상호작용하는 내내 행동을 평가한다. 현대의 아이덴티티 플랫폼은 추가 검증이 필요한지를 판단할 때 기기 상태, 지리적 위치, 접근 패턴, 애플리케이션 사용 방식, 타이핑 행동, 과거 활동 같은 요소를 고려한다. 직원이 정상 근무 시간에 관리되는 기기로 익숙한 시스템에 접근할 때는 거의 불편을 겪지 않을 수 있다. 그러나 같은 사람이 지구 반대편의 낯선 기기에서 권한이 높은 관리 작업을 시도하면 추가 인증 요구나 자동 조사가 시작될 수 있다. 중요한 점은 이런 판단이 점점 더 동적으로 이뤄진다는 것이다. 신뢰는 더 이상 무기한 부여되지 않는다. 계속해서 다시 계산된다. [이 접근 방식은 제로 트러스트 아키텍처와 밀접하게 맞닿아 있다](https://csrc.nist.gov/pubs/sp/800/207/final). 제로 트러스트는 사용자, 기기, 애플리케이션이 이미 인증되었다는 이유만으로 묵시적 신뢰를 받아서는 안 된다고 본다. 목표는 접근을 더 어렵게 만드는 것이 아니라, 신뢰가 현재 위험을 정확히 반영하도록 하는 데 있다. ## 머신 아이덴티티가 공격 표면을 넓히고 있다 조직이 보호해야 할 아이덴티티는 더 이상 인간 사용자만이 아니다. 클라우드 네이티브 환경은 머신 아이덴티티에 크게 의존한다. 애플리케이션은 데이터베이스에 인증하고, API는 클라우드 서비스와 통신하며, 컨테이너는 비밀 값을 요청하고, 자동화된 워크플로는 자격 증명을 끊임없이 주고받는다. 이제 많은 기업 환경에는 인간 사용자보다 훨씬 더 많은 머신 아이덴티티가 존재한다. 이런 증가는 운영과 보안 모두에 과제를 안긴다. 머신 자격 증명은 높은 권한을 가진 경우가 많고, 계속 작동하며, 직원 계정보다 덜 면밀하게 관리되는 일이 잦다. 잘못 구성된 서비스 계정, 노출된 API 키, 관리되지 않는 인증서는 지속적 접근을 노리는 공격자에게 매력적인 표적이 되었다. 인공지능은 소프트웨어 개발을 가속하고 기업 환경에 배포되는 자동화 서비스 수를 늘려 문제를 더 복잡하게 만든다. 따라서 아이덴티티 보안은 직원을 넘어선 영역으로 확장된다. 조직에는 인간 아이덴티티, 워크로드, 애플리케이션, 자율 AI 에이전트를 모두 아우르는 포괄적인 거버넌스가 점점 더 필요해지고 있다. 경계는 더 이상 물리적 인프라로 정의되지 않는다. 디지털 리소스에 접근할 수 있는 모든 아이덴티티가 곧 경계다. ## 아이덴티티는 공동 책임이 되고 있다 아이덴티티 보호는 더 이상 아이덴티티 및 접근 관리 팀만의 책임이 아니다. 애플리케이션 개발자는 인증 설계에 영향을 미친다. 인프라 엔지니어는 워크로드 아이덴티티를 관리한다. 보안 운영 팀은 행동 이상 징후를 모니터링한다. 리스크 관리자는 거버넌스 정책을 정의한다. 경영진은 조직이 감수할 수 있는 위험 수준을 결정한다. 인공지능은 이런 관계를 단순화하기보다 더 강화했다. AI 시스템은 민감한 정보를 소비하고, 권한이 높은 작업을 수행하며, 사용자를 대신해 기업 애플리케이션과 상호작용하는 일이 점점 늘고 있다. AI 에이전트가 무엇에 접근하도록 허용해야 하는지 결정하는 일은 AI 거버넌스 문제인 동시에 아이덴티티 관리 문제이기도 하다. 그 결과 아이덴티티 보안은 조직 전반의 분야로 진화하고 있다. 성공적인 조직은 아이덴티티 거버넌스를 독립된 기술 기능으로 취급하지 않는다. 소프트웨어 개발, 조달, 클라우드 아키텍처, 비즈니스 운영에 통합한다. ## 신뢰가 새로운 보안 경계다 2026년 사이버보안을 규정하는 특징은 네트워크의 소멸이 아니라 신뢰의 성격 변화다. 조직은 여전히 방화벽, 엔드포인트 보호, 네트워크 모니터링을 배포한다. 이런 기술은 현대 보안 아키텍처의 필수 요소로 남아 있다. 달라진 것은 상대적 중요도다. 점점 더 많은 경우, [가장 큰 피해를 주는 사이버 사고는 인프라 악용이 아니라 신뢰된 아이덴티티에서 시작된다](https://www.verizon.com/business/resources/T158/reports/2026-dbir-data-breach-investigations-report.pdf?msockid=0dfad352c04e6dd42418c6aec1f56c80). 공격자는 훔친 자격 증명을 사용해 합법적으로 인증한다. 기존 권한을 그대로 이어받고, 정상적인 업무 활동 속에 섞이며, 이미 부여된 신뢰를 악용한다. 이런 공격을 막으려면 조직은 오래된 가정을 다시 생각해야 한다. 아이덴티티는 한 번 검증하고 끝낼 것이 아니라 계속 모니터링해야 한다. 신뢰는 무기한 가정할 것이 아니라 반복해서 획득되어야 한다. 보안 통제는 인증과 함께 행동도 평가해야 한다. 이는 중요한 철학적 전환이다. 오랫동안 사이버보안은 공격자가 조직 환경 안으로 들어오지 못하게 막는 데 집중했다. 오늘날 조직은 접근 시도가 계속 발생한다는 사실을 점점 더 받아들이고 있다. 핵심 과제는 각 요청이 신뢰받을 자격이 있는지 판단하는 데 있다. [아이덴티티가 새로운 경계가 된 이유는 신뢰 자체가 핵심 보안 통제가 되었기 때문이다](https://www.cisa.gov/topics/cybersecurity-best-practices/identity-and-access-management). ## 더 읽을거리 NIST, *[제로 트러스트 아키텍처(Zero Trust Architecture) (SP 800-207)](https://csrc.nist.gov/pubs/sp/800/207/final)* CISA, *[아이덴티티 및 접근 관리 지침(Identity and Access Management Guidance)](https://www.cisa.gov/topics/cybersecurity-best-practices/identity-and-access-management)* 구글 클라우드: 맨디언트, *[M-트렌드 2026(M-Trends 2026)](https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2026/)* 버라이즌. *[2026 데이터 침해 조사 보고서(2026 Data Breach Investigations Report)](https://www.verizon.com/business/resources/T158/reports/2026-dbir-data-breach-investigations-report.pdf?msockid=0dfad352c04e6dd42418c6aec1f56c80)*