identity-management

비휴먼 ID 보안: 자동 회수, OAuth 및 범위 지정 권한 (새 탭에서 열림)

에이전트 기반 AI 시스템이 확산됨에 따라 스크립트나 AI 도구 같은 '비인간 ID(Non-human identities)'의 보안 관리가 현대 개발 환경의 핵심 과제로 부상하고 있습니다. 클라우드플레어는 이러한 비인간 ID를 안전하게 관리하기 위해 자격 증명 유출을 자동으로 탐지 및 무효화하고, 세분화된 RBAC(역할 기반 액세스 제어)를 통해 권한을 최소화하는 새로운 보안 업데이트를 도입했습니다. 이를 통해 개발자는 의도치 않은 토큰 유출이나 권한 남용으로 인한 데이터 손실 및 평판 훼손 리스크를 효과적으로 차단할 수 있습니다. **아이덴티티의 세 가지 기둥: 주체, 자격 증명, 정책** * **주체 (Principal - 여행자):** API에 접근하는 주체로, 인간 개발자뿐만 아니라 코드를 배포하는 에이전트나 서드파티 도구 등을 포함합니다. * **자격 증명 (Credential - 여권):** 신원을 증명하는 API 토큰입니다. 유출 시 누구나 해당 주체로 위장할 수 있으므로 철저한 보호가 필요합니다. * **정책 (Policy - 비자):** 인증된 주체가 수행할 수 있는 구체적인 작업을 정의하며, 검증된 신원이라도 필요한 자원에만 접근할 수 있도록 범위를 제한합니다. **자동화된 토큰 유출 탐지 및 무효화** * **GitHub 비밀번호 스캐닝 파트너십:** 공개 저장소에 클라우드플레어 토큰이 유출될 경우, GitHub이 이를 실시간으로 탐지하여 클라우드플레어에 알리고 즉각 무효화 처리합니다. * **스캔 효율성 개선:** 기존의 모호한 토큰 형식 대신 'cf' 접두사와 체크섬(Checksum)이 포함된 새로운 형식을 도입하여, 보안 도구들이 높은 정확도로 토큰을 식별하고 유효성을 검증할 수 있게 했습니다. * **사후 대응 자동화:** 유출 탐지 즉시 토큰이 취소되므로, 사용자가 실수를 인지하기 전에 이미 보안 위협이 차단되며 이후 이메일 알림을 통해 새 토큰 생성을 안내합니다. **Cloudflare One을 통한 전방위 보호** * **네트워크 및 이메일 보안:** Cloudflare Gateway와 Email Security를 통해 네트워크 트래픽이나 아웃룩 이메일 내에 포함된 토큰 유출을 실시간으로 감지하고 차단합니다. * **SaaS 및 AI 데이터 보호:** CASB를 통해 구글 드라이브나 원드라이브 등 클라우드 저장소 내 방치된 토큰을 스캔하며, AI Gateway를 통해 AI 모델로 입력되거나 출력되는 데이터 속의 민감 정보를 실시간 필터링합니다. **실용적인 보안 권장 사항** 비인간 ID 보안을 강화하기 위해 모든 신규 토큰 생성 시 스캔이 용이한 최신 형식을 사용하고, '리소스 범위 RBAC(Resource-scoped RBAC)'를 적용하여 각 에이전트가 업무 수행에 꼭 필요한 최소한의 권한만 가지도록 정책을 구성해야 합니다. 또한 Cloudflare One의 DLP(데이터 손실 방지) 프로필을 활성화하여 코드 저장소 외의 다양한 경로로 유출되는 토큰을 상시 모니터링하는 것이 권장됩니다.

레거시 아키텍처에서 Cloudflare One으로의 전환 (새 탭에서 열림)

전통적인 VPN 중심의 레거시 아키텍처에서 제로 트러스트(Zero Trust) 및 SASE 아키텍처로 전환하는 과정은 '빅뱅' 방식의 일괄 마이그레이션이 수반하는 가동 중단 위험 때문에 많은 기업에 큰 부담이 됩니다. Cloudflare와 CDW는 이러한 위험을 줄이기 위해 모든 애플리케이션을 복잡도에 따라 계층화하고, 레거시 앱을 현대적인 보안 계층으로 감싸는 단계적 방법론을 제시합니다. 결과적으로 기업은 서비스 중단 없이 보안 부채를 해결하고, 신원 및 기기 상태 기반의 정교한 보안 태세를 구축할 수 있습니다. ### 단계별 방법론을 통한 마이그레이션 함정 회피 단순히 네트워크 연결 방식만 바꾸는 '리프트 앤 시프트(Lift and Shift)' 방식은 복잡한 애플리케이션 간의 상호 의존성을 간과하여 대규모 장애를 초래할 수 있습니다. * **리스크 기반 계층화:** 모든 애플리케이션을 기술적 복잡도에 따라 분류하고, 현대적인 앱부터 우선 이동하여 동력을 확보한 뒤 복잡한 레거시 시스템을 나중에 제어된 환경에서 전환합니다. * **실패 사례 분석:** 500개 이상의 앱을 한꺼번에 이전하려다 서비스 중단을 겪은 공공 부문 사례를 교훈 삼아, 마이그레이션을 단순 연결 교체가 아닌 '애플리케이션 현대화 프로젝트'로 취급합니다. * **보안 내재화:** 마이그레이션 전략 수립 단계부터 보안 요구사항을 기초 아키텍처에 포함하여, 사후에 보안을 덧붙이는 방식에서 벗어납니다. ### Cloudflare Access와 Tunnel을 활용한 레거시 현대화 레거시 애플리케이션의 코드를 수정하지 않고도 Cloudflare Access를 통해 제로 트러스트 모델을 적용하여 보안 수준을 높일 수 있습니다. * **VPN 경계 대체:** 특정 네트워크 세그먼트 전체에 권한을 주는 VPN 대신, 신원과 기기 상태를 기반으로 모든 개별 요청을 평가하는 모델로 전환합니다. * **Cloudflare Tunnel 활용:** 외부 노출 없이 내부에서 외부로 나가는(Outbound-only) 연결을 생성하여, 레거시 앱에 공인 IP 주소를 부여하지 않고도 안전하게 외부에 노출할 수 있습니다. * **보안 래핑(Wrapping):** 자체 MFA(다요소 인증) 기능이 없는 구형 앱에 SSO 및 하드웨어 기반 MFA를 강제 적용하며, 데이터가 서버에 도달하기 전 엣지(Edge) 단에서 보안 정책을 검증합니다. ### 마이그레이션 전 아키텍처 감사 및 준비 사항 안정적인 전환을 위해 IT 리더는 파일럿 프로젝트 이전에 환경의 기술적 호환성을 철저히 점검해야 합니다. * **ID 제공업체 및 종속성 맵핑:** Okta와 같은 페더레이션 ID 제공업체 활용 여부를 확인하고, 백엔드 데이터베이스나 API 호출 관계를 문서화하여 서비스 단절을 방지합니다. * **전략과 실행 그룹의 분리(Firebreak):** 보안 표준을 설정하는 전략 그룹과 효율성을 중시하는 실행 그룹을 분리하여, 배포 속도 때문에 보안 요건이 무시되지 않도록 합니다. * **세션 지속성 테스트:** 셀룰러 타워 전환 시에도 세션이 유지되어야 하는 앱을 식별하고, Cloudflare의 PMTUD(Dynamic Path MTU Discovery) 기술을 통해 안정적인 연결을 보장합니다. ### 애플리케이션 유형별 마이그레이션 전략 전환에 소요되는 시간과 노력을 기준으로 애플리케이션을 세 가지 티어로 분류하여 현실적인 일정을 수립합니다. * **Tier 0 (SaaS):** 현대적인 인증 프로토콜을 지원하는 앱으로, 클라이언트리스 프록시를 통해 1~3시간 내외로 빠르게 전환 가능합니다. * **Tier 1 (내부 웹 앱):** 현대적 웹 프로토콜을 사용하는 내부 앱으로, Cloudflare Tunnel을 활용해 3~6시간 정도 소요됩니다. * **Tier 2 (비 웹 및 Thick-Client):** 특정 포트나 프로토콜 지원이 필요한 앱으로, Cloudflare One Client와 Tunnel을 병행 배포해야 하며 앱당 4~8시간이 소요됩니다. 성공적인 제로 트러스트 전환을 위해서는 속도보다 **'가시성'과 '단계적 접근'**이 중요합니다. 레거시 시스템을 한꺼번에 교체하려 하기보다, Cloudflare의 엣지 보안 계층으로 기존 앱을 보호하면서 점진적으로 현대화해 나가는 것이 운영 안정성을 확보하는 최선의 방법입니다.

번호판에서 배지로: (새 탭에서 열림)

Cloudflare는 에이전트 설치가 불가능한 환경에서도 사용자 신원을 확인하고 보안 정책을 적용할 수 있는 'Gateway Authorization Proxy'를 출시했습니다. 기존의 IP 기반 필터링에서 벗어나 브라우저의 기본 프록시 기능과 Cloudflare Access를 결합함으로써, 관리되지 않는 기기에서도 사용자별로 세밀한 트래픽 제어와 가시성 확보가 가능해졌습니다. 이는 기업 인수합병(M&A), VDI 환경, 규제가 엄격한 산업군에서 보안 공백을 메우는 강력한 해결책이 될 것입니다. ### IP 기반 프록시의 한계와 정체성 위기 * 기존의 프록시 엔드포인트 방식은 정적 IP 주소에 의존하여 사용자를 식별했기 때문에, '누가' 접속하는지가 아닌 '어느 IP'에서 오는지만 인식할 수 있었습니다. * 사용자가 장소를 옮겨 IP가 변경되면 정책이 제대로 적용되지 않는 취약함이 있었으며, 보안 로그에는 사용자 이름 대신 익명 IP만 기록되는 문제가 있었습니다. * 또한 프록시 설정을 안내하는 PAC(Proxy Auto-Configuration) 파일을 기업이 직접 호스팅하고 수동으로 관리해야 하는 운영상의 번거로움이 존재했습니다. ### 신원 기반 인증 프록시의 작동 원리 * 새로운 방식은 차량 번호판(IP) 대신 개별 배지(ID)를 확인하는 것과 같으며, Cloudflare Access와 연동하여 사용자가 누구인지 먼저 검증한 뒤 Gateway 필터링 정책을 적용합니다. * 서명된 JWT(JSON Web Token) 쿠키를 사용하여 신원을 유지하며, 도메인별 보안 토큰을 생성하여 세션을 관리합니다. * 이 모든 인증 과정은 Cloudflare의 글로벌 에지 네트워크에서 수 밀리초 내에 처리되므로, 사용자는 리다이렉트 과정을 거의 느끼지 못한 채 평소처럼 웹 서핑을 할 수 있습니다. ### 다중 ID 공급자 지원 및 통합 관리 * Okta, Azure AD 등 여러 ID 공급자(IdP)를 동시에 지원하여, 서로 다른 인증 체계를 가진 기업들이 합병되는 과정에서도 유연하게 보안을 통합할 수 있습니다. * 클라이언트를 설치하지 않고도 "재무팀만 특정 회계 도구에 접속 가능"과 같은 정교한 사용자별 정책 수립이 가능합니다. * 사용자별 라이선스(Seat) 기반의 단순한 과금 체계를 적용하여 기존 Cloudflare One Client 사용자들과 동일한 방식으로 비용을 관리할 수 있습니다. ### PAC 파일 호스팅 자동화와 AI 지원 * 기업은 이제 PAC 파일을 직접 관리할 필요 없이 Cloudflare 네트워크에서 직접 호스팅하고 배포할 수 있습니다. * 다양한 설정 템플릿을 제공하여 수 분 내에 설정을 완료할 수 있으며, AI 어시스턴트 'Cloudy'가 복잡한 PAC 코드를 요약하고 설명해 주어 설정 오류를 방지합니다. ### 권장 활용 시나리오 Cloudflare는 최상의 사용자 경험을 위해 전용 클라이언트(Cloudflare One Client) 설치를 우선적으로 권장하지만, 다음과 같은 특수 상황에서는 Gateway Authorization Proxy가 최적의 대안이 됩니다. * **VDI(가상 데스크톱) 환경:** 사용자가 가상 머신에 로그인하여 브라우저를 통해서만 인터넷에 접속하는 경우 * **인수합병(M&A):** 서로 다른 보안 환경을 가진 두 회사를 신속하게 하나의 보안 체계로 통합해야 할 때 * **규제 준수 및 제한적 환경:** 보안 정책이나 법적 문제로 인해 엔드포인트 기기에 소프트웨어를 설치할 수 없는 경우

피그마, 현지 데이터 호 (새 탭에서 열림)

피그마(Figma)는 호주 시장의 급격한 성장에 발맞춰 2025년 4분기부터 호주 현지 데이터 호스팅 서비스를 시작하고, 기업용 보안 기능을 대폭 강화한 'Governance+'를 출시했습니다. 이번 조치는 금융, 의료, 공공 부문과 같이 데이터 규제가 엄격한 산업군에서 피그마를 안심하고 사용할 수 있도록 현지 인프라와 강력한 제어 기능을 제공하는 데 목적이 있습니다. 이를 통해 기업 고객은 데이터의 위치를 직접 선택하고 더욱 정교한 거버넌스 정책을 수립할 수 있게 되었습니다. **호주 현지 데이터 레지던시 도입 및 인프라 확장** - 2025년 4분기부터 호주 내에 피그마 파일 데이터(FigJam, Make, Sites, Buzz, Slides 포함)를 저장할 수 있는 옵션이 제공됩니다. - 이는 미국과 유럽에 이은 아시아 태평양 지역 최초의 데이터 레지던시 확장 사례로, 현지 고객들의 보안 및 데이터 보호 요구를 반영한 결과입니다. - National Australia Bank(NAB)와 같은 대형 금융사를 포함하여 규제가 엄격한 산업군의 기업들이 현지 법규를 준수하면서 피그마의 협업 기능을 안전하게 활용할 수 있도록 지원합니다. **Governance+를 통한 기업용 보안 및 제어 기능 강화** - **중앙 집중식 제어:** IP 허용 목록(IP Allowlist) 및 네트워크 접속 제한(NAR) 기능을 제공하여, 승인되지 않은 개인 공간이나 외부 네트워크로 기업 데이터가 유출되는 것을 방지합니다. - **계정 보안 고도화:** 2단계 인증(2FA) 강제 적용과 유휴 세션 타임아웃(Idle Session Timeout) 연장 기능을 통해 계정 탈취 위험을 낮추며, 조만간 다중 SSO 설정 기능도 추가될 예정입니다. - **데이터 거버넌스 및 컴플라이언스:** 'Discovery Pipeline' 도구를 통해 조직 내 모든 피그마 활동을 모니터링할 수 있으며, 이를 통해 기업의 전자 통신 보존 정책을 준수하고 법적 증거 개시(Legal Discovery) 절차를 지원합니다. 현재 피그마 엔터프라이즈 플랜을 이용 중인 고객은 Governance+ 기능을 즉시 도입하여 조직의 보안 수준을 높일 수 있습니다. 특히 데이터 주권과 보안 규제 대응이 중요한 글로벌 기업이라면, 이번 현지 호스팅 일정과 강화된 거버넌스 도구를 검토하여 내부 보안 로드맵에 반영할 것을 추천합니다.