Saviynt의 Chief Product and Strategy Officer Jeff Margolies – 인터뷰 시리즈

Jeff Margolies, Saviynt의 Chief Product and Strategy Officer는 제품 관리, 기업 전략, 기술 파트너십, 기업 개발을 담당하며 고객, 파트너, 조직 전체의 팀과 협력하여 회사의 장기적인 제품 비전과 성장 로드맵을 형성합니다. 그는 25년 이상의 아이덴티티 및 사이버 보안 경험을 가지고 있으며, 이전에 Saviynt의 Chief Strategy Officer로 재직하였으며, Mandiant, Deloitte, Accenture에서 선임 리더십 직책을 맡았습니다. Mandiant에서 그는 전략, 전략 파트너십, 기업 개발을 담당하였으며, 그의 이전 경력에는 Accenture의 아이덴티티 및 액세스 관리 실무를 글로벌 조직으로 성장시키는 것을 도왔습니다. Margolies는 로체스터 대학교에서 광학 공학 학사 학위를 취득하였으며, 버클리 대학교에서 전기 공학 석사 학위를 취득했습니다.

Saviynt는 엔터프라이즈가 인간 사용자, 비인간 아이덴티티, 기계, 애플리케이션, 인프라, AI 에이전트에 대한 액세스를 관리하고 보안하는 것을 도와주는 AI 기반 아이덴티티 보안 회사입니다. Saviynt Identity Platform은 아이덴티티 거버넌스, 특권 액세스 관리, 애플리케이션 액세스 거버넌스, 외부 아이덴티티 관리, 비인간 아이덴티티 보안, 아이덴티티 보안 포스트 관리를 클라우드 플랫폼에 통합하여 클라우드, 온프레미스, SaaS, IaaS, 하이브리드 환경에서 작동합니다. 회사는 AI 에라의 필요성에 따라 자리 잡고 있으며, AI 에이전트를 보안하는 도구, 에이전트 워크플로우를 거버넌스하는 도구, 자연어 아이덴티티 운영을 가능하게 하는 도구를 제공하고 있습니다.

Chief Product and Strategy Officer로서, 엔터프라이즈 아이덴티티 보안 요구 사항이 어떻게 변경되고 있는지에 대한 전방 시야를 가지고 있습니다. AI 에이전트의 부상은 어떻게 아이덴티티, 액세스, 거버넌스에 대한 조직의 생각을 바꾸고 있으며, 어떻게 이러한 변화가 Saviynt의 Agent Access Gateway 및 Intent-Aware Runtime Authorization의 개발에 영향을 미쳤는지 알려주세요.

AI 에이전트는 아이덴티티 보안을 변경시킵니다. 인간과 기계 아이덴티티는 매우 다른 방식으로 작동합니다. 이제는 단순히 사람들을 애플리케이션에 로그인하게 하는 것이 아닙니다. 조직은 소프트웨어를 관리하고 있으며, 이 소프트웨어는 시스템을 통해 자율적으로 작동할 수 있습니다.저는 에이전트를 다음 세대의 애플리케이션으로 생각합니다. 메인프레임, 클라이언트-서버, 웹, SaaS 애플리케이션 이후, 우리는 이제 에이전트 애플리케이션의 시대에 들어섰습니다.

기본 원리는 여전히 동일합니다. 조직은 에이전트의 소유자, 사용자, 액세스할 수 있는 시스템, 거버넌스 방법을 알아야 합니다. 기계 아이덴티티는 속도와 규모를 변경시킵니다. 비즈니스 사용자는 몇 분 안에 에이전트를 생성할 수 있습니다. 따라서 거버넌스는 동일한 속도로 진행되어야 합니다. 이것이 Agent Access Gateway와 Intent-Aware Runtime Authorization을 개발하게 된 이유입니다. 이를 통해 엔터프라이즈는 에이전트를 채택할 때 올바른 액세스 제어, 책임성, 가드레일을 갖출 수 있습니다.

AI 에이전트는 빠르게 실험 환경에서 프로덕션 환경으로 이동하고 있습니다. 자율 에이전트는 전통적인 아이덴티티 및 액세스 관리 모델을 어떻게 변경시키고 있습니까?

전통적인 아이덴티티 및 액세스 관리는 사람과 예측 가능한 소프트웨어를 중심으로 구축되었습니다. 사용자는 인증을 받은 후, 액세스를 요청하고, 정의된 시스템에서 특정 작업을 수행했습니다. 우리는 인간 아이덴티티의 수명 주기를 명확하게 이해하고 있습니다. 그러나 AI 에이전트는 다른 수명 주기를 도입합니다. 에이전트는 빠르게 생성될 수 있으며, 연속적으로 작동하며, 워크플로우를 통해 적응하며, 여러 애플리케이션, API, 데이터 소스와 상호 작용할 수 있습니다.

기본 아이덴티티 원칙은 여전히 적용됩니다. 모든 아이덴티티는 인증, 인가, 거버넌스, 책임성이 필요합니다. 그러나 속도는 다릅니다. 중앙 집중식 팀에 의해 구축된 몇 개의 엔터프라이즈 애플리케이션 대신, 조직은 비즈니스 사용자에 의해 생성된 수천 개의 에이전트를 가질 수 있습니다. 실제로, 92%의 CISO는 AI 아이덴티티에 대한 전체 가시성을 가지고 있지 않으며, 95%는 악용이 발생할 경우 이를 감지하거나 포함할 수 없다고 생각합니다. 아이덴티티 보안은 에이전트가 생성됨에 따라 자동으로 소유권, 액세스 제어, 승인, 모니터링이 설정되도록 진화해야 합니다.

많은 조직은 아직도 인간 직원과 전통적인 소프트웨어 애플리케이션을 위해 설계된 권한 및 액세스 제어를 사용하고 있습니다. 이러한 접근 방식은 AI 에이전트를 다루는 경우에 왜 불충분한가요?

전통적인 인가는 일반적으로 “이 아이덴티티가 이 작업을 수행할 수 있는가?”라는 질문을 합니다. 그러나 AI 에이전트의 경우, 이는 더 이상 충분하지 않습니다. 에이전트는 기술적으로 특정 작업을 수행할 수 있을지라도, 여전히 사용자의 의도와 다르게 행동할 수 있습니다.

예를 들어, 사용자가 에이전트에게 “데이터베이스를 정리하라”고 요청한다면, 에이전트는 기록을 삭제하는 것으로 해석할 수 있습니다. 에이전트는 기록을 삭제하는 것을 허용할 수 있지만, 이는 사용자가 의도한 바가 아닐 수 있습니다. 에이전트의 경우, 조직은 작업을 허용하는지 여부뿐만 아니라, 작업이 원래 의도와 일치하는지 여부도 평가해야 합니다.

Saviynt는 최근 Intent-Aware Runtime Authorization을 도입했습니다. “의도 인식” 인가는 무엇이며, 전통적인 인증 및 인가 모델과 어떻게 다릅니까?

의도 인식 인가는 에이전트의 작업이 인간이 의도한 바와 일치하는지 여부를 평가하는 것을 의미합니다. 모든 에이전트는 작업을 수행하기 위해 생성되거나 배치되며, 이 작업은 에이전트가 수행해야 할 작업과 수행해서는 안 될 작업에 대한 컨텍스트를 생성합니다.

전통적인 인가는 이진 결정만 합니다. 즉, “이 작업을 허용할 수 있는가?”라는 질문에 대한 답변입니다. 의도 인식 인가는 또 다른 층을 추가하여 작업이 원래 의도와 일치하는지 여부를 묻습니다. 에이전트가 활성 기록을 삭제하기 시작한다면, 이는 기술적으로 허용될 수 있지만, 사용자의 의도와 일치하지 않을 수 있습니다. 의도 인식 런타임 인가의 목표는 작업 컨텍스트, 정책, 의도된 결과를 기반으로 에이전트의 작업을 실시간으로 관리하는 것입니다.

엔터프라이즈는 어떻게 AI 에이전트가 특정 작업을 수행해야 하는지 여부를 결정할 수 있습니까? 특히, 에이전트가 기술적으로 기본 시스템에 액세스할 수 있는 경우에는?

이는 계획에서 시작됩니다. 에이전트가 작업을 수행하기 전에, 조직은 에이전트가 무엇을 수행해야 하는지, 어떤 시스템에 액세스할 수 있는지, 어떤 가드레일이 적용되는지, 어떤 정책을 따라야 하는지 정의해야 합니다. 이 계획은 에이전트의 행동을 평가하는 기준이 됩니다.

중요한 질문은 에이전트가 액세스할 수 있는지 여부가 아니라, 에이전트의 작업이 생성된 작업과 일치하는지 여부입니다. 많은 기존 애플리케이션과 API는 이러한 수준의 컨텍스트를 적용하도록 설계되지 않았습니다. 이는 게이트웨이 모델이 중요한 이유입니다. 에이전트 액세스 게이트웨이는 계획과 작업을 평가하고, 레거시 시스템의 과도한 권한 또는 격차를 관리하는 추가 제어 계층을 제공합니다.

AI 에이전트는 여러 애플리케이션과 데이터 소스를 초당으로 액세스할 수 있습니다. 이는 보안 팀에게 어떤 새로운 위험을 생성합니까? 그리고 현재 어느 위험이 과소평가되고 있습니까?

AI 에이전트는 항상 새로운 위험을 생성하지는 않습니다. 많은 경우, 기존 위험을 악용할 가능성이 증가합니다. 조직이 이미 과도한 권한을 가진 계정, 약한 제어, 또는 시스템이 투명성을 의존하는 경우, 에이전트는 이러한 약점을 훨씬 더 빠르게 찾고 행동할 수 있습니다. 이는 위험을 확대합니다.

나는 때때로 이것을 뒤쪽 문을 열어둔 것과 비교합니다. 취약점은 이미 존재하지만, 누군가가 그것을 찾을 가능성은 낮을 수 있습니다. 이제 에이전트가 수천 개의 환경에서 모든 뒤쪽 문을 초당으로 확인하는 상황을 상상해 보십시오. 조직은 기본적인 것을 제대로 해야 합니다. 즉, 에이전트가 무엇인지, 어떤 시스템에 액세스할 수 있는지, 불필요한 권한을 제한하고, 활동을 지속적으로 관리해야 합니다.

엔터프라이즈는 여러 AI 에이전트를 부서별로 배포하는 경우, 조직은 어떻게 에이전트와 상호 작용할 수 있는 사람과 에이전트가 액세스할 수 있는 정보 또는 시스템을 거버넌스해야 합니까?

에이전트를 애플리케이션으로 생각하는 것이 도움이 됩니다. 엔터프라이즈는 이미 애플리케이션을 거버넌스하는 방법을 알고 있습니다. 즉, 애플리케이션의 소유자, 사용자, 연결할 수 있는 시스템, 액세스할 수 있는 데이터, 그리고 액세스가 검토되는 방법입니다. 이러한 질문은 에이전트에도 적용됩니다.

차이점은 에이전트가 비즈니스 사용자에 의해 몇 분 안에 생성될 수 있다는 것입니다. 이는 거버넌스가 동일한 속도로 진행되어야 함을 의미합니다. 5%의 CISO는 침해된 AI 에이전트를 포함할 수 있다고 생각합니다. 거버넌스는 생성 과정의 일부로 구축되어야 합니다. 즉, 소유권, 액세스, 승인, 권한, 정기적인 검토가 처음부터 설정되어야 합니다.

Shadow AI는 공식적인 IT 감독 없이 직원이 AI 도구를 채택함으로써 점점 더 큰 문제가 되고 있습니다. AI 에이전트는 이 문제를 어떻게 증폭시키고, 조직은 어떻게 가시성과 제어를 회복할 수 있습니까?

AI 에이전트는 Shadow AI를 증폭시킵니다. 에이전트는 쉽게 생성될 수 있으며, 시스템을 통해 작동할 수 있습니다. 그러나 조직은 사람들이 에이전트를 사용하는 것을 막으려고 시도해서는 안 됩니다. 생산성 향상은 실제로 존재하며, 비즈니스에서는 이를 추구할 것입니다.

실용적인 답은 가시성과 가드레일입니다. 조직은 어떤 에이전트가 존재하는지,누가 소유하고 있는지, 에이전트가 무엇을 수행하도록 의도되었는지, 어떤 시스템이나 데이터에 액세스할 수 있는지 알아야 합니다. 각 에이전트는 아이덴티티, 정의된 권한, 지속적인 모니터링을 가져야 합니다. 많은 엔터프라이즈는 아직 실험의 초기 단계에 있으므로, 에이전트 채택이 훨씬 더 큰 규모에 도달하기 전에 거버넌스를 구축할 수 있는 시간이 아직 남아 있습니다. 그러나 이 시간은 빠르게 다가오고 있습니다.

미래를 내다보면, 모든 AI 에이전트는 궁극적으로 인간 직원과 유사한 디지털 아이덴티티, 거버넌스 프레임워크, 감사 추적을 가질 필요가 있을까요? 이러한 미래 모델은 무엇처럼 보입니까?

모든 AI 에이전트는 분명히 자신의 아이덴티티를 가져야 합니다. 조직은 에이전트가 무엇인지,누가 소유하고 있는지, 어떤 시스템에 액세스할 수 있는지, 무엇을 하고 있는지 알아야 합니다. 인간 아이덴티티와 비인간 아이덴티티, 즉 AI 에이전트는 모두 통합된 아이덴티티 보안 모델을 통해 거버넌스되어야 합니다.

개념은 익숙합니다. 즉, 인증, 인가, 소유권, 권한, 활동 추적, 거버넌스입니다. 무엇이 변경되는지 여부는 규모입니다. 엔터프라이즈는 곧 매주 수백 개의 에이전트를 생성할 수 있으며, 결국 수천 개 또는 수백만 개의 에이전트 애플리케이션을 생성할 수 있습니다. 미래는 아이덴티티 보안의 기본 원리를 모든 유형의 아이덴티티에 훨씬 더 빠른 속도와 규모로 적용하는 것입니다. 이제 구현을 시작할 때입니다.

엔터프라이즈는 에이전트 AI를 배포하기 위해 경쟁하고 있습니다. 현재 조직이 가장 일반적으로 저지르는 실수는 무엇이며, 보안 및 기술 리더는 다음 12~24개월 동안 에이전트 AI가 생산적이고 신뢰할 수 있는 상태를 유지하기 위해 무엇에 중점을 두어야 합니까?

이 시대에 보안을 운에 맡기는 것은 큰 실수입니다. 에이전트 AI와 관련된 생산성 향상은 실제로 존재하며, 조직은 이를 활용해야 합니다. 가장 큰 위험은 보안과 거버넌스가 따라가지 못하는 것입니다.

다음 12~24개월 동안, 리더는 가시성과 거버넌스 기본 사항에 중점을 두어야 합니다. 즉, 에이전트의 인벤토리를 유지하고, 소유권을 할당하고, 각 에이전트에 아이덴티티를 부여하고, 에이전트가 액세스할 수 있는 것을 이해하고, 생성 과정의 일부로 거버넌스를 구축하는 것입니다. 이는 주요 플랫폼 전환에서 보안을 구축할 수 있는 기회입니다. 나중에 보안을 후퇴시키려는 대신에, 처음부터 보안을 구축할 수 있습니다.

위대한 인터뷰에 감사드립니다. 더 많은 정보를 원하는 독자는 Saviynt를 방문할 수 있습니다.