비인간 ID(Non-human Identity)는 인간 개입 없이 기계, 애플리케이션, AI 에이전트, 서비스 계정 등이 스스로 인증하는 모든 디지털 자격을 말한다. 기존 IAM 체계는 인간 중심으로 설계되어, 폭발적인 생성 속도와 동적인 라이프사이클, API 기반 권한 구조를 관리하기 어렵다. 특히 정적 시크릿 하드코딩과 과도한 권한 부여가 심각해, 기존 인증 및 감사 프로세스로는 탐지할 수 없는 보안 사각지대가 생겼다.
비인간 ID(Non-human Identity)의 정의와 기업 보안의 새로운 취약점
비인간 ID는 사람이 직접 로그인하지 않고 시스템 간 통신에 쓰는 모든 인증 수단을 아우른다. 기기 단위 머신 ID(MAC 주소, 시리얼 번호, GUID 등)와 소프트웨어 단위 워크로드 ID(토큰, API 키, 비밀번호 등)로 나눌 수 있다. 현대 클라우드 네이티브 환경에서는 이 둘을 묶어 관리하는 NHI 관점이 필요하다.
기업 보안에서 비인간 ID가 치명적인 이유는 규모 차이 때문이다. 기업 내 비인간 ID 수는 인간 ID보다 25배에서 최대 50배 더 많다. 글로벌 프로그램 일부는 50만 개 이상의 NHI가 있을 정도다. 하지만 관리는 미흡해 96% 조직이 부적절한 위치에 시크릿을 저장하고, 60%의 NHI가 여러 애플리케이션에서 재사용되는 등 가시성 부족 문제를 겪는다.
권한 관리 부실도 공격 표면을 넓힌다. 조사 결과 97%의 NHI가 실제 업무보다 과도한 권한을 갖고 있다. 최소 권한 원칙(Principle of Least Privilege) 없이 편의성을 위해 관리자 권한을 준 결과다. 공격자가 하나의 API 키만 훔쳐도 기업 전체 인프라에 접근할 수 있는 구조다.
기존 IAM 체계로 비인간 ID 보안을 해결할 수 없는 기술적 이유
전통적인 IAM과 PAM은 ‘인간 사용자’의 행동 패턴과 라이프사이클을 기반으로 만들어졌다. 하지만 비인간 ID는 기술적 특성이 달라 기존 체계로 통제하기 어렵다.
첫째, 스케일과 생성 속도가 다르다. CI/CD 파이프라인과 클라우드 오케스트레이션 환경에서 워크로드와 서비스 계정은 초 단위로 만들어지고 사라진다. 인간 계정처럼 입사/퇴사 프로세스에 맞춰 생성되지 않아 기존 프로비저닝 및 해지 과정으로는 이 변화 속도를 따라갈 수 없다.
둘째, 인가 및 권한 구조가 다르다. 인간 중심 IAM은 RBAC와 MFA로 보안을 높인다. 반면 비인간 ID는 API 키와 토큰 기반으로 작동해 MFA를 적용하기 어렵다. JIT이나 Ephemeral 자격증명 체계가 필요하지만, 레거시 환경은 여전히 장기 유효 정적 자격증명에 의존한다.
셋째, 소유권과 가시성이 없다. NHI는 Active Directory 같은 중앙 디렉터리가 아니라 로컬 OS, 데이터베이스, 클라우드 설정 파일에 흩어져 있다. 누가 만들었고, 어느 서비스가 쓰는지 명확하지 않아 인간 대상 Access Review 프로세스를 적용할 수 없다.
넷째, 모니터링과 이상 탐지에 한계가 있다. NHI는 트랜잭션 주기가 짧고 자동화되어 있어 정상 API 호출과 공격 행위를 구별하기 어렵다. 인간 행동 패턴을 분석하는 UEBA나 SIEM 경보는 NHI 특성을 반영하지 못해 탐지가 빗나가기 일쑤다.
API 키 유출의 실태와 비인간 ID 보안의 위험 수치
최근 데이터는 비인간 ID 보안 실패가 얼마나 빨리 치명적 결과로 이어지는지 보여준다. GitHub 같은 공개 리포지터리를 통한 시크릿 노출은 빨라지고 있어, 지난 1년간 감지된 노출 건수는 12,880,000건이다. 이는 2022년 대비 28% 늘어난 수치다.
더 심각한 건 노출 후 공격까지 걸리는 시간이다. 연구 시뮬레이션에 따르면 공개된 AWS 액세스 키 약 66%가 수 내지 1분 안에 악용됐다. 평균 악용 시간은 6.6분에 불과했다. GitLab은 며칠이 걸리기도 하지만, 클라우드 환경 자동화 스캐너가 시크릿을 실시간으로 수집한다는 점에서 정적 시크릿 위험성은 매우 높다.
이런 취약점은 대규모 침해 사고로 이어진다. ID 관련 침해 사고 80%는 서비스 계정이나 API 키 같은 NHI와 관련이 있다. 79% 조직이 시크릿 누출을 겪었고 77%가 실제 피해를 봤다. 특히 66% 기업이 NHI 탈취로 공격받았으며, 그중 25%는 여러 번 사고를 겪었다.
| 구분 | 정적 시크릿 (Static Secrets) | 동적 시크릿 (Dynamic/Ephemeral) |
|---|---|---|
| 유효 기간 | 장기 유효 (수개월~수년) | 단기 유효 (수분~수시간) |
| 저장 방식 | 코드 하드코딩, 설정 파일 저장 | 중앙 시크릿 저장소에서 실시간 발행 |
| 유출 시 위험도 | 탈취 즉시 영구적 권한 획득 | 만료 시간이 짧아 공격 가능 시간 제한 |
| 관리 부담 | 수동 교체 필요 (71%가 주기 미준수) | 자동 생성 및 자동 폐기 |
| 주요 사례 | AWS Access Key, 고정 API 토큰 | JIT 토큰, 짧은 수명의 인증서 |
비인간 ID 보안 강화를 위한 단계별 실행 가이드
비인간 ID 위협을 없애고 보안을 강화하려면 단순 도구 도입이 아니라 전사적 라이프사이클 관리 체계로 바꿔야 한다.
1. 완전한 인벤토리 구축 및 가시성 확보
가장 먼저 조직 내 모든 NHI를 목록화해야 한다. 서비스 계정, API 토큰, 인증서뿐만 아니라 CI/CD 설정 파일과 리포지터리 내 숨겨진 로컬 계정까지 모두 찾아 자산 목록을 만든다.
2. 소유권 매핑 및 최소 권한 적용
NHI를 특정 개인이 아닌, 해당 ID를 쓰는 애플리케이션이나 서비스 단위로 매핑해야 한다. 담당자가 바뀌어도 소유권이 유지되게 하고 과도한 권한을 돌려받는다. 읽기/쓰기 권한 분리와 환경별(Production/Non-Production) 분리를 강제한다.
3. 시크릿 중앙화 및 동적 자격증명 전환
코드나 메신저, 구성 파일에 저장된 시크릿을 모두 없애고 중앙 시크릿 관리 솔루션으로 옮긴다. 이후 정적 시크릿을 점차 없애고 요청 시에만 권한을 주는 JIT 방식의 동적 자격증명 체계로 바꿔 유출 시 피해 시간을 줄인다.
4. 암호화 증명(Cryptographic Attestation) 도입
단순 토큰 응답을 넘어 요청을 보내는 봇이나 에이전트가 자신의 OS 상태, 애플리케이션 무결성, 보안 툴 설치 여부를 장치에서 직접 증명하게 한다. 위조된 요청이나 MITM 공격을 원천 차단한다.
5. Shift-Left 예방 및 통합 모니터링
코드 커밋 단계에서 시크릿 스캔 툴을 써 하드코딩된 시크릿이 저장소에 올라가는 걸 막는다. 또한 NHI 모든 인증 및 인가 로그를 불변 로그로 기록하고 SIEM과 통합해 평소와 다른 API 호출 패턴이 나오면 즉시 경보가 울리게 한다.
규제 대응 및 투자 전략의 변화
비인간 ID 보안은 이제 선택이 아니라 규제 준수 영역이다. PCI-DSS v4.0, SOX, DORA, ISO 27001, GDPR, SOC 2 등 글로벌 보안 표준들은 서비스 계정과 API 키를 포함한 NHI의 고유 식별, 강한 인증, 정기 교체, 최소 권한 부여 및 책임 분리를 요구한다. 특히 하드코딩 금지와 감사 로그 기록은 필수 사항이다.
시장 동향도 이 변화를 반영한다. 2024년 VC 투자액은 약 9억 달러에 달하고, CyberArk가 Venafi를 15.4억 달러에 인수한 건은 비인간 ID와 머신 ID 관리 시장의 중요성을 입증한다. 실제로 83% 조직이 비인간 ID 보안 비중을 높일 계획이며, 이 중 24%는 6개월 내, 36%는 12개월 내에 구체적 투자 계획을 세웠다.
기업은 이를 단순 보안 툴 도입이 아닌 ‘스태틱 시크릿 제거 프로젝트’라는 현대화 전략으로 봐야 한다. AI 에이전트 도입과 클라우드 전환 예산과 연결해 2~3년 단위 장기 프로그램을 세우고, 수천만 원에서 수천억 원 규모 투자로 인프라 전반 ID 체계를 재설계하는 전략적 접근이 필요하다.
비인간 ID는 AI 시대를 가속하는 핵심 동력이자 관리되지 않으면 가장 위험한 공격 경로다. 기존 인간 중심 IAM으로는 AI 에이전트의 폭발적 증가와 정교한 API 공격을 막기 어렵다. 지금 NHI 인벤토리를 점검하고 정적 시크릿을 없애며 동적 자격증명 체계로 전환하는 제로 트러스트 전략을 세워 기업 데이터 자산을 지켜야 한다.