계정·권한 관리로 기업 해킹 확산 막는다… IAM·PAM [보안TMI] 작성일 06-07 30 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">접근 권한 관리 ‘IAM‘, 관리자 계정 통제 ‘PAM’ <br>계정 탈취 이후 피해 범위 줄여</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="6HW8QJNdiX"> <div contents-hash="42c6b2282e45233bd1d76d763033a0ab648a9fa817e62d3feae46743b6bea6f5" dmcf-pid="PXY6xijJRH" dmcf-ptype="general"> IT조선은 독자들이 이해하기 어려웠던 보안 용어와 개념을 보다 쉽게 풀어 설명하는 '보안TMI(Too Much Information)' 코너를 마련했습니다. 매주 주제를 선정해 개념은 물론 기사에 담지 못했던 배경과 맥락까지 짚어드립니다. 독자들이 보안 관련 뉴스를 보다 명확하게 이해할 수 있도록 돕겠습니다. [편집자 주] </div> <figure class="figure_frm origin_fig" contents-hash="003c088e342f20d493cad8843aeb95172c9349945ccbbc8c1afa0c9b31f6840d" data-idxno="444647" data-type="photo" dmcf-pid="QZGPMnAiMG" dmcf-ptype="figure"> <p class="link_figure"><img alt="IAM과 PAM을 표현한 이미지 / 챗GPT 생성" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202606/07/552810-SDi8XcZ/20260607060009776xtai.png" data-org-width="1280" dmcf-mid="83RSyZpXLZ" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202606/07/552810-SDi8XcZ/20260607060009776xtai.png" width="658"></p> <figcaption class="txt_caption default_figure"> IAM과 PAM을 표현한 이미지 / 챗GPT 생성 </figcaption> </figure> <p contents-hash="cd65666a553d70e761b0f89683584734cb89cbc097981f978183b9c93f73b9c0" dmcf-pid="x5HQRLcnLY" dmcf-ptype="general">기업 해킹 피해는 취약한 계정 하나에서 시작해 사내 전체로 번지기도 한다. 공격자는 일반 직원 계정을 탈취해 기업 내부에 침입하고, 이후 관리자 권한을 얻어 내부 시스템을 살핀다. 일반 직원 PC를 넘어 핵심 정보를 가진 임원 PC, 고객 개인정보가 담긴 데이터베이스, 주요 업무 시스템까지 접근할 수 있게 되면 단순 침입은 대형 보안 사고로 커진다. 이를 막으려면 사용자 단말, 데이터베이스, 업무 시스템, 클라우드마다 접근 가능한 계정과 권한을 따로 관리해야 한다. 이때 쓰이는 보안 체계가 IAM과 PAM이다.</p> <p contents-hash="403fcc843e3f9ce972a3c8b2eca28d6fe19d3824796cceaa27e2f8df9b3d7ec7" dmcf-pid="yndTY1u5RW" dmcf-ptype="general">IAM(Identity and Access Management·신원 및 접근 관리)은 기업이 직원 계정과 접근 권한을 관리할 때 쓰는 시스템이다. 사용자가 로그인하면 이 사람이 누구인지 확인하고, 어떤 업무 시스템과 데이터에 들어갈 수 있는지 판단한다. 회사 안에서 "누가 어디까지 들어갈 수 있는지"를 규칙과 구조를 갖춘 프로그램으로 관리하는 것이다.</p> <p contents-hash="bad211fed7ea5900cea599fcc384c35513f095586814a734738306d1fc1bf60e" dmcf-pid="WOruqVx2My" dmcf-ptype="general">IAM 운영의 핵심은 '최소 권한 원칙'에 있다. 사용자가 업무에 필요한 권한만 갖도록 제한하는 방식이다. 모든 직원이 회계 시스템, 인사 시스템, 개발 도구, 고객 데이터베이스에 자유롭게 접근할 필요는 없다. 영업 담당자는 고객관리 시스템을 써야 하지만, 인사 급여 정보나 개발 환경까지 볼 이유는 없다. 마케팅 담당자 계정이 뚫렸더라도 고객 캠페인 도구 정도만 접근할 수 있다면 회계 자료나 서버 관리 시스템까지 바로 침해되지는 않는다. 계정 하나가 해커에게 넘어가도 사내 전체가 함께 열리지 않게 만드는 것이 IAM의 역할이다.</p> <p contents-hash="41921b5a619dc1a5ce5c3e5ad653bb534eeb0ded80231ebe1fcd6f790f07d917" dmcf-pid="YIm7BfMVRT" dmcf-ptype="general">무엇보다 IAM이 필요한 이유는 권한 관리가 한 번 설정하고 끝나는 일이 아니기 때문이다. 직원이 입사하거나 부서를 옮기고, 프로젝트에 참여하거나 퇴사할 때마다 접근 권한도 바뀌어야 한다. IAM은 이런 계정 생애주기를 체계적으로 관리하고, 일부 절차는 자동화한다. 새 직원에게 필요한 권한을 주고, 부서 이동 때는 기존 권한을 정리하며, 퇴사하면 계정을 비활성화한다. 예전 권한과 방치된 계정이 남아 있으면 공격자의 통로가 될 수 있다.</p> <p contents-hash="8c01806f822ed5cf635f2ce1268f714e0e15c37dddd986861ce5c0554f1b247c" dmcf-pid="GCszb4RfJv" dmcf-ptype="general">PAM(Privileged Access Management·특권 접근 관리)은 관리자처럼 높은 권한을 가진 계정을 별도로 통제하는 시스템이다. 관리자 계정은 일반 직원 계정보다 훨씬 강한 권한을 갖는다. 시스템 설정을 바꾸고, 계정을 만들거나 삭제하고, 데이터베이스를 열람하고, 서버에 명령을 내릴 수 있다. 공격자가 관리자 권한을 얻으면 로그를 지우거나 보안 설정을 바꾸고, 랜섬웨어를 여러 시스템에 동시에 배포할 수도 있다.</p> <p contents-hash="48d8841e92b1681afdc613d2ee34ea2510118e4f1d41b9e0b7ea1741cf65463e" dmcf-pid="HhOqK8e4RS" dmcf-ptype="general">PAM은 막강한 관리자 권한을 상시 열어두지 않도록 관리한다. 시스템 관리자가 특정 서버나 데이터베이스에 접속해야 할 때 승인 절차를 거치게 하고, 필요한 시간 동안만 권한을 부여한다. 또 작업이 끝나면 권한을 회수한다. 관리자 계정을 평소에는 잠가두고, 작업할 때만 열어주는 '최소 권한 원칙'에 충실한 방식이다.</p> <p contents-hash="1219d7258f2b8a4a6d5b3d4f0ff47b5854d1dff61a7bb9e818bfb2ac2d5c716b" dmcf-pid="XlIB96d8il" dmcf-ptype="general">PAM은 기록 관리도 중요하다. 누가 언제 어떤 관리자 권한을 썼는지, 어떤 시스템에 접속했는지, 어떤 명령을 실행했는지를 추적해 남겨야 한다. 일부 PAM 솔루션은 관리자 비밀번호를 사용자가 직접 알지 못하게 보관하고, 접속 세션을 녹화해 사후 점검을 돕는다. 사고가 발생했을 때 관리자 권한이 정상 업무에 쓰였는지, 공격자에게 악용됐는지 확인하려면 이런 기록이 필요하다.</p> <p contents-hash="c49de22c5f4b70d4cd7cd149a53046e5f4db3a3fc62c3a6289f35801c23f81da" dmcf-pid="ZSCb2PJ6Lh" dmcf-ptype="general">IAM과 PAM은 다중요소인증(MFA)과도 함께 쓰인다. MFA는 로그인 단계에서 본인 확인을 강화하는 기술이다. 다만 로그인에 성공한 뒤 어떤 시스템에 접근할 수 있는지, 관리자 권한을 어떻게 쓸 수 있는지는 IAM과 PAM이 관리한다. 쉽게 비유하자면 MFA는 회사 건물 입구에서 신분을 확인하는 절차고, IAM은 건물 안에서 들어갈 수 있는 구역을 나누는 시스템이며, PAM은 서버실이나 금고처럼 민감한 공간의 출입을 따로 통제하는 장치라 할 수 있다.</p> <p contents-hash="6a089500eafa9943895bcb8434356eb45cafbb95342e25cc4e3ca01f00098c2f" dmcf-pid="5vhKVQiPRC" dmcf-ptype="general">최근 클라우드 사용 확대와 원격근무 확산 등으로 계정·권한 관리는 더 복잡해졌다. 기업은 사내 업무 시스템뿐 아니라 외부 클라우드, 협업 도구, 서비스형 소프트웨어(SaaS), 개발 플랫폼을 함께 쓴다. 직원과 협력사, 외주 개발자, 임시 프로젝트 참여자 등 다양한 인력이 사내 여러 시스템에 접근하는 경우도 많다. 계정과 권한을 중앙에서 관리하지 않으면 누가 어떤 데이터에 접근하는지 파악하기 어려워지고 있다.</p> <p contents-hash="207fb7284a061f86ef23da192f90dcf26271c4ff5f1ac84f785cee3a52b03fdb" dmcf-pid="1Tl9fxnQRI" dmcf-ptype="general">AI 에이전트 확산도 새 변수다. AI 에이전트는 일정, 문서, 이메일, 업무 시스템과 연결돼 실제 작업을 수행할 수 있다. AI가 어떤 계정 권한으로 움직이는지, 어떤 데이터에 접근할 수 있는지, 관리자 권한을 호출할 수 있는지 통제하지 않으면 새로운 보안 위험이 된다. 사람 계정뿐 아니라 AI와 자동화 도구의 권한도 관리 대상이 된다. 특히 최근 AI 에이전트에게 여러 시스템 권한을 부여해 작업을 시키는 경우가 늘었다. 엔지니어가 아닌 AI 에이전트도 새로운 특권계정 사용자로 관리해야 하는 상황이다.</p> <p contents-hash="4b44bb7d1d994a7e5d46cd2ca570b64f5003667d258786109a89ac9aeb78f1a0" dmcf-pid="tyS24MLxRO" dmcf-ptype="general">기업 보안은 침입 차단만으로 끝나지 않는다. 계정 하나가 뚫려도 사내 전체가 열리지 않도록 설계해야 한다. 누가 어떤 시스템에 접근할 수 있는지 관리하고, 높은 권한은 더 엄격하게 통제하는 것. 이것이 IAM과 PAM이 기업 해킹 피해 확산을 막는 핵심 체계로 꼽히는 이유다.</p> <p contents-hash="03b751f4741d34336cca6f3a06c629fd19079623a361ee545d1d38f9d3b43b8a" dmcf-pid="FWvV8RoMds" dmcf-ptype="general">정종길 기자<br>jk2@chosunbiz.com</p> </section> </div> <p class="" data-translation="true">Copyright © IT조선. 무단전재 및 재배포 금지.</p> 관련자료 이전 ◇내일의 경기(8일) 06-07 다음 [컴퓨텍스 2026] 결산 ㊤ 'PC 부품 메카'서 'AI 실전 무대'로… 타이베이 휩쓴 'K-반도체' 06-07 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
