SSO와 PAM을 넘어 아이덴티티 보안 확장
The reality of modern security stacks
대부분의 IT 및 보안 팀은 이미 탄탄한 기본 보안 체계를 갖추고 있습니다. 싱글 사인온(SSO)과 다단계 인증(MFA)을 적용하기 위한 중앙화된 ID 공급자(IdP), 디바이스를 보호하기 위한 엔드포인트 보안, 그리고 많은 경우 권한이 높은 액세스를 관리하기 위한 권한 액세스 관리(PAM)를 운영하고 있습니다. 이러한 제어는 현대 보안 프로그램의 핵심 기반을 형성하며, 공격 표면을 줄이고, 인증을 강화하며, 고위험 슈퍼 관리자 계정을 보호합니다. 또한 일반적으로 의도한 대로 잘 작동합니다.
문제는 이러한 도구를 둘러싼 환경이 변화했다는 점입니다. 현대의 업무 환경은 기존 아이덴티티 통제로는 충분히 커버되지 않는 더 많은 앱, 더 많은 아이덴티티, 더 다양한 로그인 방식을 만들어냈습니다.
오늘날의 현실은 다음과 같습니다.
SaaS와 AI의 확산: 팀은 IT가 평가, 승인, 연동하기도 전에 더 빠르게 도구를 도입합니다. 섀도우 IT가 일반화되었고, '공식' 스택이 풀스택인 경우는 거의 없습니다.
아이덴티티 유형의 다양화: 액세스는 더 이상 '직원 → 앱'에만 국한되지 않습니다. 계약 인력, 공유 계정, 서비스 계정, 자동화, 그리고 자격 증명과 데이터에 대한 관리된 액세스가 필요한 AI 에이전트까지 포함됩니다. 성숙한 환경에서도 자격 증명은 여전히 가장 많이 악용되는 공격 경로 중 하나입니다.
액세스 경로의 증가: 사용자는 개인 브라우저, 관리되지 않는 디바이스, 관리되지 않는 앱, 빌드 파이프라인 등 다양한 경로로 로그인합니다. 이로 인해 자격 증명이 저장되고, 유출되며, 재사용될 수 있는 지점이 늘어납니다.
이러한 상황이 바로 액세스-신뢰 격차(Access-Trust Gap)를 만듭니다. 보이는 앱과 사용자에 대해서는 강력한 통제를 갖추고 있을 수 있지만, 현대의 업무 환경에서는 이러한 통제 밖에 있는 아이덴티티, 앱, 자격 증명이 긴 꼬리처럼 이어지는 영역이 형성됩니다. 사람들은 여전히 업무를 수행하지만, 그 과정에서 우회적인 방법을 사용하게 되고 이는 보안 위험을 증가시키며 감사 신뢰도를 낮추게 됩니다.
The gap: What traditional tools don’t fully cover
SSO, IAM, PAM은 필수적이지만, 각각 특정한 액세스 모델용으로 설계되었습니다. 문제는 이러한 도구들이 실패한다는 것이 아니라, SaaS 중심의 AI 기반 조직에서 발생하는 모든 자격 증명과 액세스 시나리오를 관리하도록 설계되지 않았다는 점입니다.
격차가 가장 자주 나타나는 곳:
SSO 적용 범위는 페더레이션에서 끝납니다. 많은 앱이 시간과 복잡성, SAML/OIDC 미지원, 비즈니스 팀의 직접 구매, 우선순위 경쟁 등의 이유로 페더레이션되지 않습니다. SSO에 포함되지 않은 앱에 대해서도 여전히 안전한 액세스 관리 방식이 필요합니다.
IAM은 계정은 볼 수 있지만, 자격 증명 사용 방식까지는 파악하지 못합니다. IAM은 액세스 권한이 있는 사람을 알려줄 수는 있지만 자격 증명이 취약한지, 재사용되는지, 브라우저에 저장되어 있는지, 팀 내에서 비공식적으로 공유되었는지까지는 파악하지 못하는 경우가 많습니다.
PAM은 일상적인 액세스에는 과도하게 무거운 경우가 많습니다. PAM은 고위험 시스템과 권한이 높은 세션에 적합합니다. 그러나 SaaS 관리자 계정, 공유된 벤더 로그인, '지금 바로 액세스가 필요한' 상황 등 일상적인 액세스 요구는 이 모델에 잘 맞지 않습니다. 도구가 무겁게 느껴지면 사람들은 이를 우회하게 됩니다.
그 결과, 익숙한 패턴이 나타납니다. 조직은 '잘 갖춰진' 아이덴티티 통제를 갖추고 있으면서도, 관리되지 않는 자격 증명이 브라우저, 스프레드시트, 채팅 스레드, 공유 메일함 등에 남아 있게 됩니다. 바로 이러한 지점에서 위험이 축적되며, 감사나 인시던트 조사 과정이 어려워지는 경우가 많습니다.
Where 1Password Enterprise Password Manager (EPM) fits
1Password Enterprise Password Manager(EPM)는 IdP와 PAM이 충분히 커버하지 못하는 액세스 경로까지 아이덴티티 보안을 확장하는 자격 증명 보안 계층입니다.
소비자용 비밀번호 관리자나 단순한 볼트 도구와 달리, EPM은 아이덴티티 아키텍처의 통제된 확장 계층으로 작동합니다. 중앙 정책을 적용하고, SSO와 SCIM을 통해 IdP 라이프사이클과 연동되며, SIEM에 감사 대응이 가능한 텔레메트리를 제공하고, 사람과 머신 자격 증명을 모두 지원합니다. 이를 통해 자격 증명 관리는 사용자 편의 수준을 넘어 엔터프라이즈 통제로 전환됩니다. 팀이 기존 아이덴티티 아키텍처를 다시 설계할 필요 없이, 기존 도구가 남긴 자격 증명 격차를 해소할 수 있습니다.
EPM이 보호하는 영역
SSO 밖에 있는 앱의 긴 꼬리 영역: EPM은 현재 페더레이션되지 않았거나, 페더레이션이 불가능하거나, 페더레이션 적용 우선순위에서 밀려 아직 적용되지 않은 앱에 대한 로그인을 보호합니다.
공유 및 팀 기반 액세스: EPM은 개별 책임성과 감사 가능성을 유지하면서 자격 증명을 안전하게 공유할 수 있도록 합니다.
비인간 및 머신 자격 증명: EPM은 API 키, 서비스 계정, 토큰, CI/CD 시크릿, 자동화 워크플로, AI 에이전트를 보호합니다. 개발자에게 복잡한 티켓 기반 PAM 워크플로를 강제하지 않으면서도 팀에 중앙 집중식 정책과 감사 추적 가능성을 제공합니다.
개발자 및 DevOps 액세스: EPM은 엔지니어링 팀이 사용하는 인프라, 클라우드 콘솔, 데이터베이스, 내부 도구에 대한 보안 액세스를 간소화합니다. 무거운 권한 관리 워크플로를 도입하는 대신, 개발자가 이미 사용하는 도구와 프로세스에 자격 증명 관리를 자연스럽게 통합해 마찰을 줄이면서도 엔터프라이즈 제어를 유지합니다.
대규모 자격 증명 거버넌스: EPM은 임시 자격 증명 저장 및 공유 방식을 중앙 집중식 제어, 일관된 정책, 측정 가능한 보안 수준으로 대체합니다.
간단히 말해, IdP는 아이덴티티와 페더레이션된 액세스를 관리합니다. PAM은 고위험 권한 세션을 관리합니다. EPM은 이 사이에서, 일상적인 워크플로, SaaS 앱, 기존 도구가 충분히 도달하지 못하는 현대적 자동화 환경 전반의 자격 증명을 관리합니다.
What makes EPM different from browser-based or consumer password managers?
소비자용 비밀번호 관리자나 단순한 팀 볼트 도구와 달리, 1Password Enterprise Password Manager는 아이덴티티 아키텍처의 통제된 확장 계층으로 작동합니다.
EPM은 IdP와 통합되어 SSO와 MFA를 적용하고, 자동화된 프로비저닝 및 디프로비저닝을 통해 라이프사이클 프로세스에 맞춰 조정되며, 자격 증명의 생성, 저장, 공유 방식 전반에 중앙 정책을 적용합니다. 또한 공유 액세스에 대한 명확한 책임 주체를 부여하고, 상세한 감사 로그를 제공하며, SIEM 및 보안 운영 워크플로와 연동할 수 있는 이벤트 가시성을 제공합니다.
EPM은 사람의 로그인뿐 아니라 API 키, 토큰 및 기타 비인간 자격 증명도 지원합니다. 즉, 자동화, CI/CD 파이프라인, 새로운 AI 기반 워크플로까지 거버넌스를 확장합니다.
그 결과, 단순한 비밀번호 저장을 넘어 최소 권한 원칙, 감사 대응, 제로 트러스트 성숙도를 지원하는 엔터프라이즈급 자격 증명 거버넌스를 제공합니다.
How 1Password works with your existing stack (SSO, PAM, SIEM, developer and cloud tools, etc.)
EPM은 현대적인 보안 스택에 보완 계층으로 적합하도록 설계되었습니다. 팀이 기존 도구의 가치를 극대화하면서도 보안 적용 범위를 확장하고 자격 증명 자격 증명 위험을 줄일 수 있도록 지원합니다.
SSO 및 IdP와 함께
EPM은 SSO 외부에 있는 앱에 대한 액세스를 보호하므로 'SSO에 포함되지 않음'이 '관리되지 않음'과 같지 않습니다.
비밀번호 위험을 줄이기 위해 페더레이션 프로젝트를 서둘러 진행해야 하는 부담을 완화합니다.
페더레이션된 앱과 비페더레이션 앱 전반에 걸쳐 일관된 액세스 경험을 제공해 우회 사용을 줄입니다.
IAM 및 라이프사이클 프로세스와 함께
EPM은 IdP에 포함되지 않은 앱에 대한 온보딩 및 오프보딩 운영까지 추가로 지원합니다.
공유 자격 증명이 역할 변경이나 오프보딩 이후에도 남아 있는 경우 발생하는 '고아 액세스' 위험을 줄입니다.
수작업 부담을 늘리지 않으면서 액세스 워크플로를 운영할 수 있도록 지원합니다.
PAM과 함께
EPM은 PAM이 종종 과도하게 무겁거나 복잡한 일상적인 액세스 시나리오를 포괄하여 PAM을 보완합니다.
제어와 책임이 여전히 필요한 공유 관리자 및 개발자 자격 증명, 벤더 계정, 운영 로그인을 보호합니다.
PAM이 고위험 시스템에 집중할 수 있도록 하면서 전체 자격 증명 노출 범위를 줄여 권한 자격 증명 확산을 완화합니다.
SIEM 및 보안 운영과 함께
EPM은 많은 스택에서 부족한 자격 증명 중심 가시성을 제공합니다.
공유 액세스에 대해 감사 대응이 가능한 보고와 책임 추적 가능성을 제공합니다.
자격 증명 탈취 또는 의심스러운 액세스 패턴이 포함된 인시던트 발생 시 더 풍부한 조사 맥락을 제공합니다.
개발자 및 클라우드 도구와 함께
EPM은 자격 증명이 사람뿐 아니라 다양한 주체에 의해 사용되는 현대적인 빌드 및 클라우드 환경을 지원합니다.
CI/CD 및 자동화를 구동하는 시크릿, 토큰, 인프라 자격 증명을 보호합니다.
저장소, 스크립트, 티켓 및 공유 문서 전반에 걸쳐 자격 증명 확산을 줄여요.
자격 증명과 데이터에 대한 관리된 액세스가 필요한 AI 에이전트 워크플로에 대비할 수 있도록 지원합니다.
Why this matters for organizations
자격 증명 격차는 단순한 기술적 문제가 아닙니다. 이는 실질적인 비즈니스 위험, 운영 지연, 감사 불안감을 초래합니다. EPM은 조직이 보안 성과를 개선하는 동시에 업무 수행 방식을 개선할 수 있도록 지원합니다.
보안 결과
자격 증명의 생성, 저장, 공유, 사용 방식을 강화하여 자격 증명 기반 공격에 대한 노출 감소
브라우저 및 비공식 채널에 남아 있는 관리되지 않은 자격 증명 감소
공유 액세스에 대한 책임 추적 가능성과 감사 추적 가능성 강화
토큰, 자동화, 머신 아이덴티티로 아이덴티티 경계가 확장되는 AI 시대에 대한 대응력 향상
비즈니스 성과
이후 작업 속도를 저해하는 위험한 우회 방식 없이 더 빠른 액세스 제공
비밀번호 재설정, 액세스 요청, 공유 로그인 혼선으로 인한 IT 부담 감소
SSO 적용 범위가 완전하지 않더라도, 앱의 긴 꼬리 영역 전반에 걸쳐 일관된 거버넌스 확보
추가 도구나 인력 없이도 감사 대응에 대한 신뢰도 향상
EPM은 “또 다른 도구를 추가해야 하는가?”라는 질문에서, “기존 도구가 커버하지 못하는 격차까지 보안 범위를 확장하고 있는가?”라는 질문으로 관점을 전환하도록 돕습니다.
When teams typically add EPM
팀이 EPM을 도입하는 시점에는 공통적인 패턴이 있습니다. 아이덴티티 및 액세스 통제에 충분히 투자했음에도, 그 통제 밖에서 증명 위험이 반복적으로 발생한다는 것을 인식할 때입니다.
“SSO를 도입했지만 모든 것이 지원되지는 않습니다"
많은 앱이 페더레이션되지 않았으며, 앞으로도 적용되지 않을 수 있습니다.
EPM은 SSO에 포함되지 않은 앱에 대한 액세스를 보호해, 아이덴티티 보안이 IdP 경계에서 멈추지 않도록 합니다.
팀은 SSO 로드맵을 계속 발전시키면서도 즉시 적용 범위를 확장할 수 있습니다.
“비밀번호가 여전히 브라우저에 저장되고 있습니다"
브라우저 저장은 편리하지만, 거버넌스를 제공하지는 않습니다.
EPM은 브라우저 기반 자격 증명 확산을 중앙 저장, 통제, 정책 적용으로 대체합니다.
디바이스와 브라우저 전반에서 보안 행동을 표준화해 재사용과 우발적인 유출을 줄입니다.
“공유하면 안 되는 자격 증명을 공유하고 있습니다”
공유 자격 증명은 특히 SaaS 관리자 계정, 벤더 포털, 팀 도구에서 흔히 발생합니다.
EPM은 적절한 액세스 제어 및 감사 기능을 통해 안전한 공유를 가능하게 합니다.
EPM은 스프레드시트, 채팅 메시지, 공유 메일함과 같은 위험한 공유 방식을 대체합니다.
“PAM은 일상적인 액세스에는 너무 무겁습니다”
PAM은 강력하지만, 많은 일상적인 액세스 요구는 높은 마찰을 동반하는 권한 세션 모델에 적합하지 않습니다.
EPM은 일상적인 권한 자격 증명을 보호할 수 있는 가볍고 사용자 친화적인 방식을 제공합니다.
이를 통해 팀이 업무를 계속하기 위해 통제를 우회하는 가능성을 줄입니다.
"자격 증명 관리 상태에 대한 가시성이 부족합니다"
취약하거나 재사용되거나 공유된 자격 증명을 확인할 수 없다면 위험을 줄일 수 없습니다.
EPM은 자격 증명 관리 상태를 가시화하고 관리할 수 있도록 하여 팀이 시간에 따른 개선을 측정할 수 있도록 합니다.
자격 증명 위험을 구체적이고 실행 가능한 인사이트로 전환해 조직 내부 조율을 이끄는 핵심 요소가 되는 경우가 많습니다.
조직은 아이덴티티, SSO, 권한 액세스에 이미 많은 투자를 해왔습니다. 그러나 공격자는 여전히 이러한 통제 밖에 존재하는 자격 증명을 악용합니다. 이제 중요한 질문은 아이덴티티 도구를 갖추고 있는지 여부가 아니라, 이러한 도구가 현대의 업무 방식까지 충분히 반영하고 있는지 여부입니다. 1Password Enterprise Password Manager는 기존 도구로는 완벽하게 접근할 수 없었던 앱의 긴 꼬리 영역, 공유 액세스, 자동화 전반으로 거버넌스를 확장합니다. 이를 통해 위험을 줄이고, 감사 신뢰도를 높이며, 통제를 유지하면서도 팀이 더 빠르게 업무를 수행할 수 있도록 지원합니다.