Blog
기계를 길들이다: 에이전트형 인력에 실시간 거버넌스를 적용하는 방법
이전 게시글에서는 에이전트형 엔터프라이즈 보안을 위한 핵심 첫 단계로 전방위 가시성 확보를 다뤘습니다. 그러나 가시성만으로는 보안이 완성되지 않습니다. AI 에이전트의 존재를 아는 것은 절반에 불과하며, 허용된 행위를 정확히 파악하고 통제하는 지점에서 진정한 보안이 시작됩니다.
과도한 권한을 보유한 채 관리되지 않는 AI 에이전트는 악용을 기다리는 치명적 취약점입니다. AI 에이전트가 시스템을 연결하고 기계의 속도로 작업을 수행하는 시대에는, 통제되지 않은 권한 하나가 궁극의 내부자 위협이 됩니다.
이는 SailPoint Agentic Fabric의 두 번째 핵심 축인 ‘실시간 거버넌스 및 감사’로 이어집니다.
에이전트 중심 엔터프라이즈의 혼란을 통제하기 위해서는 AI 에이전트를 단순한 도구나 백그라운드 스크립트로 취급하는 관행부터 멈춰야 합니다. 인간 인력과 동일한 수준의 엄정함, 규율, 책임성을 기준으로 에이전트를 거버넌스해야 합니다.
SailPoint Agentic Fabric은 다음과 같은 방식으로 이를 구현합니다.
1. 에이전트를 ‘일등급 아이덴티티’로 관리
거버넌스 전략의 핵심은 단일화된 컨트롤 플레인 내에서 에이전트를 ‘일등급 아이덴티티’로 다루는 것입니다. 비인간 아이덴티티를 사일로로 분리해 관리하지 않습니다. 이를 SailPoint 플랫폼으로 통합하면 액세스 검토부터 자동화된 프로비저닝까지, 인간 사용자에게 적용되는 엔터프라이즈급 거버넌스 통제가 에이전트 인력에도 동일하게 확장됩니다.
2. 변경 불가능한 인간 오너십 강제
책임은 소프트웨어가 아니라 인간이 집니다. Agentic Fabric의 핵심 역량은 모든 에이전트에 대해 엄격하고 변경 불가능한 인간 소유권을 강제하는 것입니다. AI 에이전트가 ‘무엇을’ 할 수 있는지 통제하는 데 그치지 않고, 해당 에이전트를 ‘누가’ 액세스하고 활용할 수 있는지까지 거버넌스합니다. 또한 승계 계획을 자동화합니다. 에이전트의 인간 소유자가 퇴사하거나 역할이 변경되면 플랫폼이 고아(Orphaned) 에이전트를 표시하고, 소유권을 즉시 이관하거나 액세스를 회수하여 위험한 보안 공백을 사전에 차단합니다.
3. 제로 스탠딩 권한 (Zero Standing Privileges)으로의 전환
그동안 보안 전략의 중심은 최소 권한(Least Privilege) 강제였습니다. 그러나 에이전트 중심의 환경에서는 특수 권한이 상시 활성화되어 있는 한, 최소 권한만으로도 취약점이 발생할 여지가 남습니다. Agentic Fabric은 제로 스탠딩 권한 (Zero Standing Privileges)으로의 전환을 지원합니다. 권한은 특정 업무에 필요한 순간에만(on-demand, just-in-time) 부여되며, 업무가 완료되는 즉시(밀리초 단위로) 회수됩니다. 그 결과 공격 표면은 수개월에서 수분 단위로 축소됩니다.
4. 컴플라이언스 및 감사 추적성 확보
CISO와 이사회 관점에서 컴플라이언스 입증은 타협할 수 없는 과제입니다. 규제기관이 AI의 데이터 액세스에 대한 점검을 강화하는 가운데, Agentic Fabric은 모든 에이전트 활동에 대해 감사 대응이 가능한 추적 기록을 제공합니다. 심층 로그 가시성, 자동화된 인증 캠페인, 엄격한 데이터 액세스 거버넌스를 기반으로 감사인이 “이 AI가 어떤 데이터를 다뤘으며, 누가 이를 승인했습니까?”라고 물을 때 명확하고 자신 있게 답변할 수 있습니다.
가시성은 상황을 밝히고, 거버넌스는 규칙을 정합니다. 그렇다면 에이전트가 기계 속도로 그 규칙을 위반하면 어떤 일이 벌어질까요?
이번 시리즈의 마지막 글에서는 3번째 핵심 축인 ‘선제적 보호 및 대응(Proactive Protection & Response)’을 살펴보겠습니다.
에이전틱 워크포스에 대한 통제 체계를 구축할 준비가 되셨습니까? 새로운 백서 The SailPoint Agentic Fabric: A C-Suite Guide to Securing the New Agentic Identity Landscape 를 다운로드하고 자세한 내용을 확인해 보십시오.
