MCP 서버 거버넌스: 도입 요청부터 사용 종료까지

MCP 서버 거버넌스의 범위

MCP 서버는 에이전트 구성에서 실제 작업을 수행하는 부분입니다. 이슈 생성이나 데이터베이스 조회 같은 도구를 제공하고, 자신이 가진 자격 증명과 접근 권한으로 이를 실행합니다. 일부 서버는 원격으로 실행되어 HTTP로 접근하고, 일부는 개인 노트북에서 실행되는 로컬 프로세스입니다.

MCP 서버 거버넌스는 이러한 서버 중 팀이 사용할 수 있는 서버를 결정하고, 그 결정을 최신 상태로 유지합니다. 현재 있는 서버를 찾고, 기준에 따라 서버를 승인하고, 도구를 검토하고, 변경 사항을 감시하고, 더 이상 필요 없으면 사용을 종료하는 수명 주기를 따릅니다. 각 단계에는 담당자와 기록이 필요합니다.

서버 거버넌스는 승인된 서버를 누가 어떤 데이터로 사용할 수 있는지 결정하는 액세스 거버넌스와 나란히 작동합니다. 신뢰하기로 결정하지 않은 서버의 접근 권한을 관리하는 것은 큰 의미가 없으므로, 보통 서버 거버넌스가 먼저입니다. 현재 베타 프로젝트인 OWASP MCP Top 10은 공급망 공격, 도구 포이즈닝, 섀도우 MCP 서버를 위험 목록에 포함합니다.

최신 상태로 유지할 수 있는 인벤토리를 만드세요

MCP 서버는 누군가 승인하기 전부터 사용되는 경우가 많습니다. MCP 프로젝트의 가이드는 관리자에게 사전에 승인 요청이 오지 않을 것으로 가정하라고 안내합니다. 먼저 이미 존재하는 것을 목록으로 정리하세요. 게이트웨이나 AI 클라이언트의 관리자 설정을 통해 연결된 원격 서버, 그리고 Claude Code, Cursor 같은 도구의 설정 파일에 있는 로컬 서버가 대상입니다.

클라이언트 설정 파일은 정해진 위치에 있으므로 엔드포인트 관리 도구로 계속 수집할 수 있습니다. 기기 인벤토리는 무엇이 구성되어 있는지 보여 줄 뿐이며, 이는 실제로 무엇이 연결되어 있거나 사용되는지와는 다릅니다. 인벤토리는 확정적인 증거가 아니라 논의를 시작하는 출발점으로 삼으세요.

나중에 빠르게 결정할 수 있도록 각 서버에 대한 정보를 충분히 기록하세요.

명확한 기준으로 서버를 승인하세요

간결한 기준을 공개해 두면 승인이 더 빠르고 일관되게 이루어집니다. MCP 프로젝트의 조직용 가이드는 버전을 고정한 검증된 서버의 허용 목록과 함께, 신원을 확인할 수 있는 게시자, 읽을 수 있는 소스 코드, 출처 메타데이터, 소프트웨어 자재 명세서(SBOM) 같은 기준을 제안합니다.

레지스트리는 서버를 찾는 데 도움이 될 뿐, 승인을 대신하지 않습니다. 아직 프리뷰 단계인 공식 MCP 레지스트리는 게시자가 네임스페이스에 대한 권한을 갖고 있는지 확인하고, 보안 스캔은 패키지 레지스트리와 다운스트림 카탈로그에 맡깁니다. 프로젝트 스스로 밝히듯 레지스트리 등재는 보증이 아닙니다. 대부분의 승인 결정은 다음 질문으로 판단할 수 있습니다.

• 서버의 게시자는 누구이며, 소스 코드를 읽을 수 있습니까?
• 로컬에서 실행해야 합니까, 아니면 원격 버전이 있습니까?
• 어떻게 인증하며, 누구의 자격 증명을 사용합니까?
• 어떤 범위를 요청하며, 그것이 작동 가능한 가장 좁은 범위입니까?
• 어떤 도구를 제공하며, 그중 데이터를 변경하거나 사람에게 연락하는 도구는 무엇입니까?
• 어떤 데이터를 읽으며, 결과는 어디로 전달됩니까?
• 업데이트는 어떻게 배포되며, 취약점 소식은 어떻게 전달받습니까?

공용 시스템에는 원격 서버를 우선 사용하세요

SaaS API를 감싸기만 하는 서버는 모든 노트북에서 실행해도 얻는 것이 없습니다. MCP 가이드는 원격 버전이 있다면 그것을 사용하라고 권장합니다. 원격 버전은 사용자 기기에서 코드를 실행하지 않고, 로컬 파일의 토큰 대신 프로토콜의 권한 부여 흐름을 사용하며, 한곳에서 패치됩니다.

원격 서버는 모든 요청에 접근 규칙과 기록이 적용되는 관리 경로를 통해 사용할 수도 있습니다. 로컬 서버는 작업 트리 읽기나 로컬 도구 조작처럼 실제로 해당 기기가 필요한 작업에만 사용하세요.

서버만이 아니라 각 도구를 검토하세요

서버를 승인하는 것은 그 서버가 할 수 있는 모든 일을 승인하는 것과 다릅니다. 예를 들어 프로젝트 관리 서버는 이슈 읽기, 편집, 삭제, 권한 변경 도구를 제공할 수 있습니다. 워크플로에 필요한 도구만 활성화하고 나머지는 꺼 두세요.

문서뿐 아니라 도구 정의도 읽어 보세요. 도구 이름과 설명은 모델이 읽는 지시문이므로, 악의적인 서버는 그 안에 지시를 숨길 수 있습니다. Invariant Labs는 2025년 4월 이 공격을 시연하면서 이를 도구 포이즈닝이라고 불렀습니다. MCP 사양에 따르면 클라이언트는 서버를 신뢰하는 경우가 아니라면, 도구가 데이터를 읽기만 한다는 힌트 같은 도구 어노테이션을 신뢰할 수 없는 정보로 취급해야 합니다.

도구 목록은 호출자에 따라 달라질 수도 있습니다. 현재 사양에서는 서버가 요청에 담긴 접근 권한에 따라 서로 다른 도구를 반환할 수 있으므로, 각 역할이 실제로 볼 수 있는 도구를 검토하세요.

변경은 새로운 결정으로 다루세요

서버는 승인을 받은 뒤에도 도구 정의를 바꿀 수 있으며, 이를 러그 풀(rug pull)이라고 부르기도 합니다. 프로토콜은 정의가 바뀔 때 클라이언트가 다시 확인을 요청하도록 요구하지 않으므로, 보호 장치는 클라이언트, 게이트웨이 또는 운영 프로세스에서 마련해야 합니다.

승인한 것은 고정하세요. 로컬 패키지는 버전을 고정합니다. 다만 npx나 uvx 같은 실행 도구에서는 이렇게 해도 최상위 패키지만 고정되며, 다이제스트로 고정한 컨테이너 이미지는 전체 의존성 트리를 고정합니다. 도구의 경우 검토한 정의를 기록하고, 변경된 정의는 누군가 검토할 때까지 보류하세요.

조직 쪽의 변화도 마찬가지입니다. 새 범위, 새 팀, 프로덕션 같은 새 환경이 생기면 승인을 조용히 확대하지 말고 다시 검토해야 합니다.

로컬에서 실행되는 서버를 격리하세요

로컬 서버는 사용자 권한으로 실행되는 일반 프로세스입니다. 해당 사용자가 읽을 수 있는 파일과 환경 변수를 읽을 수 있고, 네트워크상 어디로든 연결할 수 있습니다. MCP 프로젝트는 프로세스 격리를 가장 효과가 큰 단일 완화 조치로 꼽습니다.

각자에게 맡기지 말고 기본 보안 태세를 정하세요. 타사 서버는 필요한 것 외에는 아무것도 마운트하지 않은 컨테이너에서 실행하고, 각 서버에는 해당 서버 전용으로 범위를 좁힌 자격 증명만 부여하고, 파일 시스템 접근을 제한하고, 외부로 나가는 연결을 제한하세요. 원클릭 설치를 제공하는 클라이언트는 명령이 실행되기 전에 정확한 명령어를 보여 줘야 합니다.

각 승인을 기록하세요

채팅 스레드에만 남아 있는 승인은 나중에 검토하기 어렵습니다. 짧은 기록이라도 있으면 결정이 명확해지고, 다음 검토자가 대조해 볼 기준이 생깁니다. 아래는 예시입니다.

기록은 인벤토리 항목과 함께 보관하고, 서버나 도구, 자격 증명이 바뀔 때마다 업데이트하세요.

서버는 깔끔하게 사용 종료하세요

서버를 사용 종료한다는 것은 설정 항목을 삭제하는 것 이상을 의미합니다. 서버를 사용하던 모든 사람의 접근 권한을 회수하고, 서버가 보유한 자격 증명을 폐기하고, 가능한 범위에서 로컬 설정도 제거하세요. MCP 가이드는 서버를 제거할 때 서버가 보유했던 모든 것을 교체(로테이션)하라고 제안합니다.

이력은 보존하세요. 서버가 수행한 작업의 기록은 서버가 사라진 뒤에도 조사에 유용하며, 사용 종료된 서버가 인벤토리에 다시 나타나면 새 요청으로 처리해야 합니다.

Durin가 맞는 곳

Durin은 원격 MCP 서버를 관리되는 하나의 경로로 통합합니다. 구성원은 카탈로그에서 연결을 요청하거나 주소와 용도를 적어 맞춤 서버를 제안할 수 있으며, 관리자는 요청을 승인하거나 거절합니다. 승인만으로는 아무것도 활성화되지 않으며, 이후에도 공급자 설정, 도구 검토, 읽기 전용 테스트, 활성화를 거쳐야 합니다.

각 도구는 사용 전에 검토를 거치며, 이때 데이터를 읽는지 변경하는지, 어떤 리소스에 접근할 수 있는지도 확인합니다. 검토되지 않은 도구는 차단된 상태로 유지됩니다. 서버가 도구 정의를 변경하면 해당 도구는 다시 검토해야 하며, 그 도구에 대한 이전 승인은 취소됩니다. 관리자는 연결의 사용 범위를 특정 팀으로 지정하거나, 설정과 이력을 유지한 채 설치를 비활성화할 수 있습니다.

Durin 밖에 있는 서버의 경우, 섀도우 MCP 탐지 기능이 등록된 기기에 구성된 MCP 서버에 대한 보고를 수집합니다. 보고는 관찰 결과일 뿐 현재 연결되어 있다는 증거가 아니며, 검토 상태를 지정해도 접근이 차단되지는 않습니다. 탐지된 서버를 관리하려면 연결 페이지에서 서버를 추가하고 클라이언트의 연결 대상을 Durin으로 바꾸세요.