클라우드 서비스가 늘어날수록 보안의 출발점은 네트워크 경계에서 아이덴티티로 이동합니다. 직원은 수십 개의 SaaS에 접속하고, 고객은 웹과 앱을 오가며, 서버와 자동화 봇은 사람보다 훨씬 많은 토큰을 사용합니다. 이제 AI 에이전트까지 사용자를 대신해 문서를 읽고 결제를 요청하거나 코드를 배포합니다. “누가 로그인했는가”만 확인해서는 부족하고, 어떤 주체가 어떤 맥락에서 무엇을 할 수 있는지 지속해서 판단해야 합니다.
이번 Okta 기업리뷰는 Okta가 독립 아이덴티티 사업자라는 위치를 사람·고객·비인간 아이덴티티까지 확장할 수 있는지 묻습니다. Workforce Identity와 Auth0라는 두 축, AI 에이전트 권한관리의 가능성, FY2026의 수익성 전환은 긍정적입니다. 반면 Microsoft 같은 플랫폼 사업자와의 경쟁, 과거 보안 사고가 남긴 신뢰 비용, 복잡한 제품 통합은 냉정하게 봐야 합니다.
이 글은 투자 권유가 아닙니다. 공식 제품 문서, 실적 발표와 SEC 공시를 바탕으로 기술, 사업모델, 인물, 재무, 위험을 함께 평가합니다. 회계연도와 달러 수치는 회사 표기를 따릅니다.
Okta Identity Security가 묶는 두 개의 세계
Okta의 첫 번째 축은 직원과 협력사의 접근을 다루는 Workforce Identity입니다. Single Sign-On은 여러 애플리케이션의 로그인을 하나의 인증 흐름으로 모으고, Adaptive Multi-Factor Authentication은 기기·위치·행동과 같은 신호로 추가 확인을 요구합니다. Universal Directory는 사용자와 그룹을 정리하며 Lifecycle Management는 입사, 부서 이동, 퇴사에 따라 계정을 만들고 회수합니다. Identity Governance와 Privileged Access까지 연결하면 “로그인”이 아니라 권한 요청, 승인, 정기 검토, 고위험 서버 접근을 하나의 정책 체계로 관리할 수 있습니다.
두 번째 축은 2021년 인수한 Auth0입니다. Auth0는 개발자가 소비자·파트너용 애플리케이션에 인증과 권한을 넣는 Customer Identity 영역에 강합니다. Okta 본체가 기업 IT 구매자와 직원 계정에서 출발했다면 Auth0는 API, SDK, 개발자 경험에서 출발합니다. 두 제품군을 무리하게 하나로 합치면 고객 마이그레이션과 개발자 경험이 흔들릴 수 있지만, 공통 정책·위협 신호·관리 경험을 공유하면 직원과 고객 아이덴티티를 함께 보는 독립 플랫폼이 됩니다.
| 계층 | 대표 기능 | 고객이 얻는 가치 | 확장 과제 |
|---|---|---|---|
| Workforce | SSO, MFA, 디렉터리, 수명주기 | 계정 생성·회수와 로그인 단순화 | Microsoft 번들과 차별화 |
| Governance | 접근 요청, 인증 캠페인, 특권 접근 | 최소권한과 감사 증거 | 복잡한 권한 모델 정리 |
| Customer | Auth0 인증, API 권한, 개발자 SDK | 제품에 로그인 기능을 빠르게 적용 | Auth0와 Okta 경험 통합 |
| AI·비인간 | 서비스 계정, 토큰, 에이전트 권한 | 사람 밖의 주체까지 정책화 | 표준·가격·책임 경계 확립 |
아이덴티티 플랫폼의 장점은 연결 수가 늘수록 커집니다. 애플리케이션 통합, 기기 상태, 위험 신호, 사용자 속성을 한 정책 엔진에서 조합하면 각 SaaS에 제각각 규칙을 만드는 비용을 줄일 수 있습니다. 이는 네트워크와 실행 위치를 함께 다루는 Cloudflare 기업리뷰의 제로 트러스트 논점과도 이어집니다. 다만 Okta는 트래픽을 직접 통과시키는 네트워크 사업자가 아니라 권한 결정과 아이덴티티 수명주기에 집중한다는 차이가 있습니다.
Auth0 for AI Agents가 겨냥하는 새 권한 문제
AI 에이전트는 기존 서비스 계정과 닮았지만 더 위험합니다. 고정된 스크립트는 미리 정한 API를 호출하는 반면, 에이전트는 목표를 해석하고 도구를 선택하며 여러 단계의 행동을 만듭니다. 사용자가 “이번 달 공급업체 청구서를 정리해줘”라고 말했을 때 에이전트는 메일, 문서 저장소, ERP, 결제 시스템을 넘나들 수 있습니다. 사용자 권한을 그대로 복제하면 과도하고, 별도 관리자 권한을 주면 책임 추적이 끊깁니다.
Auth0의 2026년 제품 설명은 MCP와 자율 에이전트를 일급 아이덴티티로 다루고, 토큰 보관, 세분화된 권한, 감사 기능을 제공하는 방향을 제시합니다. 핵심은 위임입니다. 에이전트는 “사용자와 동일한 존재”도 “완전히 독립된 서비스”도 아니라, 특정 사용자나 업무의 권한을 제한된 시간과 목적 안에서 위임받은 주체로 기록되어야 합니다.
안전한 에이전트 권한 체계에는 다섯 단계가 필요합니다.
- 사람, 워크로드, 에이전트마다 구분되는 아이덴티티를 발급합니다.
- 장기 비밀키 대신 짧은 수명의 토큰을 사용하고 목적·대상·범위를 제한합니다.
- 고위험 행동은 실행 직전 사람 승인이나 강한 정책 검사를 거칩니다.
- 에이전트의 계획, 호출한 도구, 실제 결과를 하나의 감사 흐름으로 남깁니다.
- 이상 행동이나 사용자 퇴사 시 관련 세션과 위임을 즉시 회수합니다.
Okta의 AI 에이전트 거버넌스 설명도 아이덴티티, 권한, 모니터링, 정책 통제를 핵심으로 둡니다. 그러나 제품이 책임을 대신하지는 않습니다. 프롬프트 인젝션으로 에이전트가 다른 도구를 선택하거나, 정상 권한 안에서 잘못된 금액을 승인할 수 있습니다. 따라서 아이덴티티 통제는 모델 평가, 데이터 손실 방지, 실행 샌드박스와 결합되어야 합니다. 개발·배포 권한까지 연결한다면 GitLab DevSecOps 플랫폼처럼 코드 변경과 승인 기록을 함께 추적하는 구조가 필요합니다.
사람과 숫자로 읽는 Okta의 전환
Okta는 2009년 Todd McKinnon과 Frederic Kerrest가 공동창업했습니다. McKinnon은 Salesforce에서 엔지니어링을 이끌며 기업 소프트웨어가 클라우드로 이동할수록 로그인과 계정 관리가 독립 계층이 될 것이라고 보았습니다. 현재도 공동창업자 McKinnon이 CEO를 맡고 있다는 점은 제품 비전의 연속성을 줍니다. 동시에 Auth0 인수 이후에는 서로 다른 고객층과 제품 구조를 통합하면서 대기업 영업 효율을 높여야 하는 운영 과제가 커졌습니다.
FY2026 실적 발표에 따르면 연간 매출은 29억1,900만 달러로 12% 증가했고, 구독 매출은 28억5,500만 달러였습니다. GAAP 영업이익은 1억4,900만 달러로 FY2025의 7,400만 달러 영업손실에서 흑자로 돌아섰고, GAAP 순이익은 2억3,500만 달러였습니다. 영업현금흐름 8억8,400만 달러와 잉여현금흐름 8억6,300만 달러는 성장률이 과거보다 낮아진 대신 사업의 현금 창출력이 개선됐음을 보여줍니다.
| 지표 | 최신 공식 수치 | 의미 |
|---|---|---|
| FY2026 매출 | 29억1,900만 달러 | 전년 대비 12% 성장 |
| FY2026 구독 매출 | 28억5,500만 달러 | 반복 매출이 사업 대부분 |
| FY2026 GAAP 영업이익 | 1억4,900만 달러 | 전년 손실에서 흑자 전환 |
| FY2026 잉여현금흐름 | 8억6,300만 달러 | 매출의 약 30% |
| Q4 FY2026 RPO | 48억2,700만 달러 | 향후 인식할 계약 기반 |
더 최근의 Q1 FY2027 발표는 매출과 구독 매출이 각각 11% 성장하고 GAAP 영업이익이 5,600만 달러였다고 밝혔습니다. 수익성은 개선됐지만 성장률은 폭발적이지 않습니다. AI 에이전트 보안이 실제 신규 계약과 교차판매로 이어지는지, 기존 Workforce·Customer Identity 고객이 거버넌스와 특권 접근을 추가로 채택하는지가 다음 단계의 관건입니다.
독립성의 가치와 신뢰 비용을 함께 본 결론
Okta의 가장 큰 기회는 중립성입니다. 기업은 Microsoft 365, AWS, Google Cloud, Salesforce, 자체 애플리케이션을 동시에 사용합니다. 특정 클라우드에 종속되지 않은 정책 계층은 인수합병, 다중 클라우드, 파트너 접근에서 매력적입니다. 사람뿐 아니라 API·워크로드·AI 에이전트가 늘어날수록 아이덴티티 그래프와 통합 생태계의 가치도 커집니다.
위험도 분명합니다. 첫째, Microsoft Entra는 기존 기업 계약과 엔드포인트·협업 제품에 묶여 판매됩니다. 둘째, CyberArk, Ping Identity, SailPoint와 클라우드 사업자들이 특권 접근, 거버넌스, 고객 아이덴티티에서 경쟁합니다. 셋째, 아이덴티티 사업자는 공격자에게 매우 가치 있는 표적입니다. Okta FY2026 10-K는 보안 사고, 서비스 중단, 개인정보 규제, Auth0 통합, 긴 기업 판매 주기와 경쟁을 주요 위험으로 제시합니다. 과거 지원 시스템 침해 경험 때문에 Okta는 기능뿐 아니라 내부 권한 분리와 고객 알림의 투명성을 계속 증명해야 합니다.
SSO를 도입했다고 제로 트러스트가 완성되지는 않습니다. 비상 관리자 계정, 세션 탈취, 오래된 서비스 계정, 잘못된 그룹 규칙이 남으면 중앙화가 오히려 단일 실패 지점을 만듭니다. 단계적 적용, 별도 복구 경로, 로그 외부 보관과 정기 권한 검토가 필요합니다.
최종 평가는 조건부 긍정입니다. Okta는 Workforce Identity와 Auth0, 거버넌스, 특권 접근을 갖춰 사람에서 AI 에이전트까지 확장할 논리적 기반이 있습니다. FY2026의 GAAP 흑자와 높은 현금흐름은 무조건적인 성장보다 효율을 택한 전환이 성과를 내고 있음을 보여줍니다. 보안 운영 지표를 AI 옵저버빌리티와 연결하면 로그인 성공률을 넘어 위험 세션과 권한 변경의 실제 영향을 관찰할 수도 있습니다.
그러나 장기 승부는 “모든 아이덴티티”라는 구호보다 세 가지 증거에 달려 있습니다. Auth0와 Okta 제품의 경험이 매끄러워지는지, AI 에이전트 위임이 표준과 실제 고객 운영에 뿌리내리는지, 그리고 가장 중요한 아이덴티티 사업자로서 신뢰를 반복해서 지키는지입니다. 다중 클라우드 중립성과 세밀한 정책이 필요한 조직에는 강력한 후보지만, Microsoft 중심 환경이나 단순한 SSO 수요라면 번들 비용과 운영 복잡성을 직접 비교해야 합니다.
댓글 없음:
댓글 쓰기