디지털 시대 보안의 화두는 ‘제로 트러스트’인데요. 미국 행정부는 제로 트러스트를 보안 표준으로 정하고 있습니다. 우리나라에서도 금융위원회를 비롯하여 디지털플랫폼정부위원회에서도 제로트러스트 도입을 발표하고 있습니다. 최근 한국정보보호산업협회, KISA(한국인터넷진흥원)은 제로트러스트위원회를 발족했으며, 이어서 한국제로트러스트보안협의회도 출범했는데요. 제로트러스트는 보안의 새로운 패러다임이 되고 있습니다. 

1. 제로 트러스트의 개념
제로 트러스트(Zero-Trust)란 말 그대로 신뢰하지 않는다 라는 뜻입니다. 항상 강조되는 기본이 “Never Trust, Always Verify”(베러파이)로 좀 더 풀어 쓰자면 기존에 신뢰하던 부분들을 더 이상 신뢰하지 않고 항상 검증하라는 의미입니다. 

왜 항상 검증하라는 말이 나올까요? 우리가 컨설턴트로서 기업(고객사)의 내부망에 접근할 때도 항상 로그인하면서 접근했는데 그건 검증이 아니라는 의미인가? 라는 궁금증이 생길 수도 있습니다. 물론 그것도 검증의 한 종류입니다. 하지만 제로 트러스트는 단순 하나의 검증만이 아닌 지속적인 검증을 통해 철저하게 내부의 자산을 지키겠다는 개념입니다. 

보통 기존의 보안 아키텍처는 경계 보안 모델이라 지칭하는데 일종의 만리장성과 같은 맥락입니다. 만리장성을 생각해보면 외부의 침입을 막기 위해 커다랗게 벽을 쌓았는데요. 외부의 침입자들은 위험하고 내부의 사람들은 안전하다는 생각이었습니다. 

또 다른 예시로 그리스 로마 신화의 트로이 목마를 생각해보겠습니다. 트로이 성을 함락 시키기 어려울 때 오디세우스가 트로이 목마를 통해 내부의 침입을 가능하게 만들었고 그로 인해 최종적으로 트로이를 함락할 수 있었습니다. 해당 예시들을 보면 외부의 침입은 위험하고 내부의 관계자들은 안전하다는 생각이 밑바탕에 존재합니다.

현재의 보안 아키텍처도 마찬가지입니다. 방화벽을 두고 내외부를 구분 지었습니다. 한 번 인증을 하고 접속을 한 사람에게는 ‘우리 내부 사람이니 당연히 안전한 사람이겠지’ 라고 판단하며 무한한 신뢰를 주었는데요. 이를 암묵적 신뢰라고 부르는데 제로 트러스트에서 이를 ‘최소한의 권한 부여’와 ‘꾸준한 검증’ 등의 방법을 통해 암묵적 신뢰를 없앤다. 즉, 더 이상 내외부의 구분을 통한 보안이 아닌 내부마저 철저한 검증을 진행해서 보안을 강화하자는 것이 제로 트러스트의 개념입니다. 

2. 제로 트러스트의 배경과 전체적인 흐름
①2010년 Forrester Research의 Zero Trust 발표
Forrester Research의 존 킨더버그가 최초로 Zero-Trust라는 용어를 제시했습니다. 더 이상 모든 접속 주체들은 신뢰할 수 없으니 기업(기관)의 내부 자산에 대한 접근 권한을 제한해야 한다고 주장했는데요. 암묵적 신뢰가 보안 문제를 야기할 수 있다고 지적한 것입니다. 이제는 내외부를 떠나서 접속하려는 모든 사람들에게 검증을 통해 신원을 확인하고 접근 권한을 부여해야 한다는 내용을 발표했습니다. 

②2014년 Google의 BeyondCorp
구글에서 자체적으로 개발하여 실제로 제로 트러스트를 민간 기업에 적용한 대표적인 사례로 꼽힙니다. 구글의 특성상 전 세계에서 내부 시스템으로 접근을 시도할 것이며 이에 따른 위협을 제거하고자 시행했습니다. 이를 위해 네트워크 경계에서 개별 사용자 단위로 접근 허가 기능을 이전하였습니다. 신뢰할 수 없는 네트워크에서 더 이상 VPN으로 접속을 하지 않으며 사용자와 기기 인증만을 통해 접속을 합니다.
 

③2017년 Gartner의 CARTA
Gartner에서 CARTA라는 새로운 보안 전략을 발표하였는데 보안 전략 중 일부에서 제로 트러스트를 활용한다는 내용이 포함되어 있습니다. CARTA란 Continuous Adaptive Risk and Trust Assessment로 기존의 정적인 보안 방식에서 벗어나 동적인 방식을 적용합니다. 기존의 정적인 방식으로는 변화하는 위협에 쉽게 대응할 수 가 없습니다. 빠른 대응을 위한 사이버 복원력에 초점을 맞춘 하나의 전략인데 예방 차원에서 제로 트러스트 개념을 적용했습니다.
 

 

④2018년 Forrester Research의 ZTX(Zero Trust Extended)
기존의 제로 트러스트의 개념을 네트워크를 넘어 워크로드까지 확장 시켜 전 영역에 걸쳐 다양한 보안 영역에서 적용될 수 있도록 한 보안 프레임워크입니다. 모니터링이 가능하도록 범위를 확장시켜 더욱 동적인 보안 접근 방식을 제공합니다.
 

⑤2020년 NIST의 Zero Trust Architecture
NIST(미국 국립 표준 기술연구소)에서 제로 트러스트 아키텍처에 대한 개념 및 이행 방안 등 구체화된 자료를 제시했습니다. 관련 내용으로 개념, 논리모델도, 구체화 방안 등으로 구성되어 있습니다. 
 

 

⑥2021년 미국의 바이든 정부 사이버 보안 강화를 위한 행정명령
행정명령에 제로 트러스트란 용어가 총 11번 언급될 정도로 제로 트러스트를 활용한 보안 정책을 강조했습니다. 

⑦2021년 CISA의 Zero Trust Maturity Model
CISA(사이버 보안 및 인프라 보안국)에서 제로 트러스트 성숙도 모델에 대해 제시했는데요. 어떤 큰 꼭지점을 가지고 진행해야 하며 완벽한 제로 트러스트 아키텍처 구성을 위해 어떤 방향성으로 가야 하는 지에 대한 방법을 제시했습니다. 
 

⑧2022년 DOD의 Zero Trust Strategy
DOD(미국 국방부)에서 제로 트러스트 전략에 대해 제시했습니다. 제로 트러스트 개발과 관련한 지침에 대해서 상세히 설명하고 있는데요. 위 사진은 DOD 자료의 내용 중 일부로 ZTA로의 변화를 위해 목표와 어떤 부분에 대해 초점을 맞춰야 하는 지에 대해 설명합니다. 

 

3. 제로 트러스트 필요성
코로나 19로 인해 사회적으로 많은 변화가 생겼습니다. 특히나 업무 환경이 많이 변화하였는데 재택근무가 잦아지면서 회사 내에서 접속해야 되는 시스템들도 집이나 외부의 공간에서도 접속이 가능해야 했습니다. 자연스레 외부에서의 접속이 잦아졌고 이는 보안의 취약점을 발생시켰습니다. 이제는 내외부의 구분이 모호해지면서 기존의 경계 기반 모델로는 위협에 대응하기가 어려워진 것입니다. 위 그림은 2018년까지의 신뢰받는 내부 사용자로 인한 보안 사고인데요. 이런 보안 사고들은 피해 규모가 매우 클 뿐만 아니라 피해 사실을 인지하는 데 많은 시간이 소요됩니다. 
 

이제 새로워진 업무 환경에 맞추어 새로운 보안 시스템을 갖추어야 하며, 정적인 모델에서 벗어나 동적인 모델을 적용해야 합니다. 정적인 모델(레거시 시스템)에서 부여된 권한만으로는 이제 접근이 불가능하게 하고 환경, 상황 등을 고려하여 실시간으로 접근 권한을 부여해야 합니다. 동적인 제로 트러스트 도입으로 모든 업무 시스템의 전체적인 비즈니스 플로우를 모니터링하며 동시에 인증 및 권한 부여로 엄격한 접근 기준을 부여한다면 보안의 위협을 최소한으로 만들 수 있을 것입니다. 

4. 현재 제로 트러스트 관련 시사점
현재 제로 트러스트는 한 번에 구축할 수 있는 모델이 아닙니다. 현재 출시된 솔루션들도 완벽한 제로 트러스트 모델에 대해 제시하고 있지는 않습니다. 일부 특정된 부분들을 강화하여 제시하고 있어 제한적인 솔루션입니다. 아직까지 하나의 기술이나 솔루션으로는 구현이 어렵습니다.

완벽한 구축을 위해서는 중장기적인 계획을 수립하여 꾸준한 관심과 투자가 필요합니다. 이를 위해 명확한 보안의 기준과 어떤 요건을 가지고 어떤 솔루션을 사용할 지에 대한 깊은 고민이 필요합니다. 

이런 한계점이 있지만 기업 및 기관에서는 제로 트러스트를 기반으로 한 보안 체계를 구축할 필요성이 있습니다. 제로 트러스트를 통해 보안 수준을 높일 수 있으며 기존 시스템의 취약점을 보완하고 내외부에 대한 위협에 대한 대응 능력을 강화할 수 있습니다. 보안 시스템은 언제나 뚫릴 수 있다는 전제로 구축되지만 제로 트러스트의 도입은 최소한의 권한부여로 피해를 최소화하는 최선의 모델입니다.

 

 

 

[참고자료]
과학기술정보통신부, 디지털플랫폼정부 실현계획 보고회, 2023
DigitalToday, 금융보안원 “마이플랫폼 추진 데이터 유출 가능성 경계해야”, 2022
DOD, Zero Trust Reference Architecture, 2022
ICT사업전망컨퍼런스, 새로운 보안경계 – 제로 트러스트에 대한 이해와 전망, 2021
데이터넷, 금융위 “오픈뱅킹, 제로트러스트로 보안 강화”, 2021
CISA, Zero Trust Maturity Model, 2021
NIST, Zero Trust Architecture(SP-800-207), 2020
데이터넷, 진화하는 보안프레임워크: CARTA, 사이버 복원력, 2020
컴퓨터월드, 제로 트러스트 시대의 도래, 모든 것을 의심하고 조사하라, 2019