디지털 환경에서 시스템 보안의 첫걸음은 "누가, 어떤 자원에 접근할 수 있는가"를 철저히 통제하는 데서 시작합니다. 이를 수행하는 핵심 보안 체계가 바로 IAM(Identity and Access Management, 신원 및 접근 관리)입니다.
IAM과 IdM
IAM이라는 용어가 다소 생소할 수 있으니, IdM(Identity Management)과의 차이를 통해 먼저 개념을 잡아보겠습니다.
- IdM (신원 관리): 사용자나 기기에 디지털 신원(Digital Identity)을 부여하고 관리하는 데 중점을 두는 보안 체계입니다. 중앙 집중식 데이터베이스를 통해 계정을 생성(프로비저닝)하고 권한 속성을 관리하는 '신원 중심'의 영역입니다.
- IAM (신원 및 접근 관리): IdM을 포괄하는 더 넓은 개념입니다. IdM이 정의한 신원 속성을 바탕으로, 기업 정책에 따라 실제 접근을 승인하거나 차단하고 모니터링합니다. RBAC(역할 기반 접근 제어), MFA(다중 요소 인증), SSO(싱글 사인온) 등의 기술을 통합하며, 입사(온보딩)부터 퇴사(오프보딩/권한 회수)까지 신원의 수명 주기(Identity Lifecycle) 전체를 관리합니다. 더불어 상세한 감사 추적을 제공해 GDPR, HIPAA, PCI DSS 등의 규제 준수(Compliance)를 직접적으로 지원합니다.
즉, IdM이 '사용자의 속성과 권한을 정의'하는 것이라면, IAM은 '그 정의를 바탕으로 정책에 따라 접근을 통제하고 감시'하는 포괄적인 관리 영역이라고 할 수 있습니다.
그리고 이 거대한 IAM 체계가 실제로 작동하는 과정을 4개의 핵심 단계로 구체화한 뼈대가 바로 IAAA 모델입니다.
IAAA 모델
IAAA는 식별(Identification), 인증(Authentication), 인가(Authorization), 책임추적성(Accountability)으로 이루어져 있습니다. 용어만 들으면 다소 복잡해 보이지만, 우리가 해외여행을 갈 때 거치는 '공항 탑승 수속 과정'을 떠올리면 아주 직관적으로 이해할 수 있습니다.
1. 식별 (Identification)
공항에 도착해 체크인 카운터로 향했다고 가정해 보겠습니다. 가장 먼저 직원에게 "저 오늘 오후 2시 뉴욕행 비행기를 예약한 홍길동입니다"라고 말을 건네겠죠?
컴퓨터 시스템에서도 마찬가지입니다. 내가 누구인지 시스템에 처음으로 신원을 밝히고 주장하는 단계가 바로 '식별'입니다. 우리가 웹사이트에 접속해서 내 고유 번호인 아이디(ID)나 이메일 주소를 입력하는 행위 자체가 시스템을 향해 "나 홍길동이야"라고 말을 거는 것과 같습니다. 하지만 말로만 주장한다고 해서 직원이 덜컥 비행기 표를 내어주지는 않겠죠.
2. 인증 (Authentication)
직원은 당신의 주장이 사실인지 확인하기 위해 신분증을 요구할 것입니다. 여권에 있는 사진과 당신의 실제 얼굴을 대조해 보고 나서야 '진짜 홍길동이 맞구나' 하고 믿어줍니다.
식별이 말로 하는 주장이라면, 인증은 그것을 증명하는 절차입니다. 시스템에 입력한 아이디가 진짜 내 것이 맞다는 것을 증명하기 위해 비밀번호를 입력하거나, 스마트폰으로 날아온 인증 번호를 입력하고, 지문을 인식시키는 모든 과정이 바로 인증입니다.
요즘은 남의 여권을 훔쳐서 나쁜 짓을 하는 사람들을 막기 위해 여권을 확인한 뒤에 지문까지 한 번 더 찍게 하는 경우가 많죠? 이것이 바로 두 가지 이상의 증명 수단을 섞어 쓰는 다중 요소 인증(MFA)입니다.
3. 인가 (Authorization)
여권 검사를 무사히 마치고 비행기 표를 받아 공항 안으로 들어왔습니다. 그렇다고 해서 공항의 모든 곳을 내 마음대로 돌아다닐 수 있을까요? 일반 승객인 당신은 면세점을 구경하고 정해진 3번 탑승구까지만 갈 수 있습니다. 활주로나 비행기 조종실의 문을 열고 들어갈 권한은 없죠. 반면 비행기를 운행하는 기장님은 조종실에 들어갈 수 있습니다.
인가란 이처럼 신분이 확인된 사람이 어떤 공간(자원)에 들어갈 수 있고, 어떤 행동을 할 수 있는지 그 권한의 범위를 정해주는 것입니다. 시스템 내에서 일반 회원은 자신의 글만 수정할 수 있고, 관리자는 전체 게시판을 삭제할 수 있도록 접근 권한(Access Control)을 통제하는 것이 바로 인가의 역할입니다.
4. 책임추적성 (Accountability)
공항 내부 곳곳에는 CCTV가 돌아가고 있고, 직원이 보안 구역에 카드를 찍고 들어갈 때마다 전산망에 출입 기록이 남습니다. 만약 누군가 허가받지 않은 구역에 몰래 들어가려 시도했거나 안에서 보안 사고가 발생하면, 나중에 이 기록들을 돌려보며 "누가, 언제, 어디서, 무슨 행동을 했는지" 낱낱이 추적할 수 있습니다.
시스템에서도 사용자가 들어와서 클릭하고 다운로드한 모든 행동을 로그(Log)라는 이름의 CCTV 장부로 상세히 기록합니다. 하지만 실제 보안 환경에서는 수천 대의 서버와 장비가 쏟아내는 로그의 양이 천문학적이라 사람이 일일이 장부를 넘겨볼 수 없습니다. 이때 도입되는 것이 바로 SIEM(보안 정보 및 이벤트 관리, Security Information and Event Management)입니다.
스플렁크(Splunk)와 같은 SIEM 시스템은 공항의 '중앙 보안 관제 센터' 역할을 합니다. 사방에 흩어진 수많은 로그들을 한곳으로 모은 뒤, 실시간으로 분석하여 "저 승객이 방금 출입증을 위조해 보안 구역에 들어갔다!"와 같은 위협을 즉각적으로 찾아내 알람을 띄워줍니다. 즉, 철저한 로깅에 SIEM의 분석 능력이 더해져야만 비로소 완벽한 사후 추적과 침해 사고 대응이 가능해집니다.
IAAA 모델 정리
IAAA 모델을 핵심만 요약하면 다음과 같습니다.
| 단계 | 핵심 질문 | 공항 비유 | 보안 시스템 적용 예시 |
| 1. 식별 (Identification) | "나는 누구인가?" (주장) | "예약자 홍길동입니다" | 계정(ID), 이메일 입력 |
| 2. 인증 (Authentication) | "주장이 사실인가?" (증명) | 신분증(여권) 대조 | 비밀번호, MFA, 생체 인식 |
| 3. 인가 (Authorization) | "무엇을 할 수 있는가?" (권한) | 지정된 탑승구 출입 허용 | RBAC, 관리자/일반 사용자 권한 분리 |
| 4. 책임추적성 (Accountability) | "무슨 행동을 했는가?" (기록) | CCTV, 사원증 태그 기록 | 통합 로그 관리, 스플렁크(Splunk) 보안 관제 |
'Security' 카테고리의 다른 글
| 사이버 보안 프레임워크: MITRE (ATT&CK, Engage, D3FEND) (2) | 2025.07.16 |
|---|---|
| 사이버 보안 프레임워크: 다이아몬드 모델 (0) | 2025.07.10 |
| 모의해킹 정의와 PTES기반 수행 절차 (1) | 2025.04.21 |
| [뉴스] 가상화폐 거래소 바이비트 2조원대 규모 해킹 (0) | 2025.02.22 |
| SDLC의 변화: Waterfall에서 DevSecOps까지 (1) | 2024.12.18 |