매해 5월 첫째주 목요일은 ‘세계 패스워드의 날(World Password Day)’로, 올해는 5월 4일이다. 세계 패스워드의 날은 전세계적으로 올바른 암호 보안의 중요성을 알리고 강력한 패스워드를 통한 보안 강화를 독려하기 위해 기념하고 있다. 글로벌 아이덴티티 보안 기업 세일포인트(SaiPoint)의 첸 위 보이(Chern-Yue Boey) 세일포인트 아시아태평양지역 수석 부사장은 2023 세계 비밀번호의 날을 맞아 ‘비밀번호 없는(패스워드리스)’ 인증 방식과 관련해 다음과 같은 내용을 발표했다.

비밀번호(패스워드)는 최근 몇 년 동안 거듭 발전해 왔으며 여기에는 훌륭한 이유가 있다. 비밀번호를 재활용하는 경향과 비밀번호 도용의 끝없는 가능성으로 인해 기존 비밀번호는 오늘날 비즈니스 환경의 요구 사항에 적합하지 않게 되었다. 대신 일회용 비밀번호(OTP), 2단계 인증(2FA), 다단계 인증(MFA), 심지어 생체 인증 방법과 같은 다른 대안이 등장했다. 하지만 안면 인식이나 지문 기반 인증조차도 오류가 있는 것으로 드러난 상황에서 기업은 현실적으로 이러한 방법만으로는 악의적인 사이버 공격자에 대한 최후의 방어선으로 충분하지 않다는 점을 고려해야 한다.

최신 리스크는 아이덴티티 보호, 더 나아가 비즈니스 보호에 다각적인 접근 방식으로 필요로 한다. 비밀번호가 없는 ‘패스워드리스(passwordless)’ 방식은 취약점이 될 수 있는 유출 비밀번호를 아예 두지 않음으로써 IT 팀이 조직의 전반적인 ID 관리 전략을 더 잘 제어할 수 있도록 해준다. 또한 디바이스 또는 보안 키를 사용하면 직원의 편의성이 향상되는 동시에 IT 복잡성이 줄어든다. 그러나 공개적으로 사용 가능한 생체 인식 정보를 공격에 사용할 수 있는 인공지능(AI) 기반 사이버 공격이 빠르게 발전하는 시대에는 패스워드리스로만으로는 보안을 보장할 수 없다.

대신, 패스워드리스 인증 방식은 단일 디지털 아이덴티티를 통해 적절한 사용자에게 적절한 수준의 액세스가 할당되도록 보장함으로써 기업의 보안을 강화하는 지능적이고 자동화된 아이덴티티 관리 솔루션과 통합되어야 한다. 결국 문제의 핵심은 비밀번호는 악용 가능한 게이트웨이가 될 수 있지만, 공격자는 권한을 가지고 있지 않는 비즈니스 시스템을 통해 침투하는 경우가 많다는 것이다. 이는 오늘날 조직이 그 어느 때보다 서드파티 벤더들과 프리랜서 등 비직원의 노동력에 대한 의존도가 높다는 점을 고려할 때 매우 중요하다. 직원과 비직원 모두의 액세스 수준을 제어함으로써 기업은 조직 전체에 대한 가시성을 확보하고 불규칙한 활동을 가장 먼저 파악하여 권한이 부여되지 않은 정보나 시스템에 액세스하려는 불법적인 시도를 사전에 차단할 수 있다.

궁극적으로 기업은 사물인터넷(IoT) 및 로보틱 프로세스 자동화(RPA) 기술에 대한 의존도 증가와 디지털 업무 환경의 성장에 힘입어 폭발적으로 증가하는 디지털 아이덴티티들을 관리해야 한다. 패스워드리스 미래로 나아가는 것은 퍼즐의 한 조각에 불과하다. 기업이 전반적인 사이버 보안 태세를 강화하고 비밀번호 관련 위협을 방지하려면 결국은 통합된 아이덴티티 관리가 관건이다.