제로 트러스트(Zero Trust) 보안 모델은 새로운 개념이 아닙니다. 2010년 포레스터 리서치(Forrester Research)의 존 킨더바그(John Kindervag)가 논문 "No More Chewy Centers: Introducing the Zero Trust Model of Information Security"를 발표하면서 처음 소개되었습니다.
제로 트러스트 접근 방식은 네트워크 경계 내부에 이미 존재하는 사용자나 애플리케이션이라도 기본적으로 신뢰해서는 안 된다는 원칙을 중심으로 합니다.
이 개념은 이미 구글, 코카콜라, 미국 국가안보국(NSA) 같은 대형 기업과 기관들이 끊임없이 증가하는 사이버 공격 위협에 대응하기 위해 채택하고 있습니다. 그럼에도 불구하고 여전히 주류 도입을 가로막는 장애물이 존재합니다.
제로 트러스트 보안에 대한 오해들
조직들의 제로 트러스트 모델에 대한 관심이 높아지면서, 프레임워크의 기본 원칙에 대한 몇 가지 오해가 도입을 방해하고 있습니다. 다음은 믿어서는 안 되는 대표적인 오해들입니다.
오해 1: 제로 트러스트는 불신의 문화를 조성한다
제로 트러스트에 대한 흔한 오해 중 하나는 직원들을 신뢰하지 말라는 분위기를 만든다는 것입니다. 제로 트러스트 프레임워크는 네트워크 리소스에 접근하는 사용자를 면밀히 검증할 것을 요구하지만, 이를 개인에 대한 불신으로 해석해서는 안 됩니다.
실제로 무분별한 신뢰는 조직을 공격 위험에 빠뜨릴 수 있는 취약점입니다. 사이버 범죄자들은 특히 신뢰를 악용해 기업을 공격하며, 제로 트러스트는 이를 완화하는 방법을 제공합니다. 이는 건물 입구에서 누구든 출입을 허용하는 대신 카드키 시스템을 사용하는 것과 같습니다.
최소 권한 원칙(POLP, Principle of Least Privilege)을 활용하면 조직은 접근 정책을 개인화하여, 사용자가 획득한 신뢰 수준에 따라 업무에 필요한 리소스에만 접근 권한을 부여할 수 있습니다.
오해 2: 제로 트러스트는 하나의 제품이다
제로 트러스트는 제품이 아니라 전략이자 프레임워크입니다. '결코 신뢰하지 않고 항상 검증한다(Never Trust, Always Verify)'는 원칙을 중심으로 구축됩니다.
벤더들이 제공하는 다양한 제품은 제로 트러스트를 달성하는 데 도움을 줄 수 있지만, 그 자체가 제로 트러스트 제품인 것은 아닙니다. 단지 제로 트러스트 환경에서 잘 작동하는 제품일 뿐입니다. 따라서 벤더가 '제로 트러스트 제품'을 구매하라고 권유한다면, 그들이 근본적인 개념을 제대로 이해하지 못한다는 신호입니다.
제로 트러스트 아키텍처와 적절히 통합되면 다양한 제품들이 공격 표면을 효과적으로 최소화하고, 침해 발생 시 피해 확산 범위를 억제할 수 있습니다. 지속적인 검증 기능을 갖춘 제로 트러스트 솔루션이 완전히 구현되면 공격 표면 자체를 없앨 수도 있습니다.
오해 3: 제로 트러스트를 구현하는 방법은 하나뿐이다
제로 트러스트는 지속적인 검증, 최소 권한 접근 원칙, 공격 표면 완화를 포괄하는 보안 원칙들의 집합입니다.
수년간 제로 트러스트 모델을 시작하는 두 가지 접근 방식이 등장했습니다. 첫 번째는 아이덴티티(Identity) 중심 방식으로, 다단계 인증(MFA)을 활용해 빠른 성과를 얻을 수 있습니다.
두 번째는 네트워크 중심 방식으로, 네트워크 세분화(Network Segmentation)에서 시작합니다. 이 개념은 네트워크 세그먼트를 생성하여 세그먼트 내부와 세그먼트 간의 트래픽을 통제하는 것입니다. 네트워크 관리자는 각 세그먼트에 별도의 인증을 유지함으로써 시스템 내부에서 측면 위협(Lateral Threat)이 확산되는 것을 제한할 수 있습니다.
오해 4: 제로 트러스트는 대기업만을 위한 것이다
구글은 2009년 오퍼레이션 오로라(Operation Aurora)에 대응해 제로 트러스트 아키텍처를 도입한 최초의 기업 중 하나였습니다. 당시 공격은 구글, 야후, 모건 스탠리, 어도비 시스템즈 같은 대기업을 겨냥한 것이었습니다.
공격 직후 구글이 제로 트러스트 모델을 채택하면서 많은 기업들은 지금까지도 이것이 대규모 조직에만 적용된다고 생각해 왔습니다. 그러나 이 생각이 맞으려면 사이버 공격이 대기업에만 국한되어야 하는데, 실제로는 그렇지 않습니다. 현실적으로 2021년에 발생한 데이터 침해의 약 46%가 중소기업을 겨냥한 것이었습니다.
미디어는 대기업에 영향을 미치는 데이터 침해 사례를 주로 다루지만, 중소기업 역시 사이버 공격으로부터 보호가 반드시 필요합니다.
다행인 점은 중소 조직도 큰 비용 부담 없이 제로 트러스트 모델을 도입할 수 있다는 것입니다. 제품이 아닌 프레임워크이기 때문에, 기업은 매년 적정 수준의 예산을 배정하며 점진적으로 제로 트러스트 아키텍처를 구축해 나갈 수 있습니다.
오해 5: 제로 트러스트는 사용자 경험을 저해한다
제로 트러스트 도입을 가로막는 요인 중 하나는 사용자 경험에 미치는 부정적 영향에 대한 우려입니다. 사용자 신원을 계속 검증하면 생산성과 업무 민첩성이 떨어질 것이라고 생각하는 것은 어느 정도 이해할 만합니다. 하지만 적절하게 구현하면 제로 트러스트는 충분히 사용자 친화적인 경험을 제공할 수 있습니다.
조직은 사용자 프로필을 분석하고 머신러닝을 결합한 리스크 기반 인증을 활용해 위험을 식별하고 신속하게 접근 여부를 판단할 수 있습니다. 위험이 높으면 추가 인증 단계를 요구하거나 리소스 보호를 위해 접근을 완전히 차단할 수 있으며, 반대로 위험이 낮으면 인증 절차를 간소화할 수 있습니다.
제로 트러스트 접근 방식은 관리 측면의 복잡성도 줄여줍니다. 협력사나 직원과의 거래가 종료되더라도 그들이 보안 위협 요소로 남지 않습니다. 효율적인 제로 트러스트 모델에서는 시스템이 핵심 자산에 대한 접근 권한을 즉시 회수하여 백도어를 원천적으로 차단합니다.
오해 6: 제로 트러스트는 온프레미스 환경에 한정된다
여전히 많은 기업이 제로 트러스트를 온프레미스에서만 운영할 수 있는 모델로 여깁니다. 그러나 민감한 데이터가 이제 하이브리드 및 클라우드 환경에 분산되어 저장되고 있기 때문에 이는 큰 문제가 됩니다. 사이버 공격과 해킹으로 온프레미스 아키텍처가 타격을 입는 사례가 늘어나면서 점점 더 많은 기업이 클라우드로 전환하고 있습니다.
다행히 제로 트러스트 역시 이러한 변화에 발맞춰 빠르게 진화하고 있습니다.
클라우드에 제로 트러스트 아키텍처를 구축하면 기업은 민감한 데이터를 보호하고 네트워크 내 취약한 자산의 노출을 줄일 수 있습니다.
또한 원격 근무 문화가 확산되고 사이버 범죄자들이 새로운 취약점 악용 수법을 개발하는 상황에서, 온프레미스 인프라에만 의존하는 기업은 운영 중단 위험에 그대로 노출됩니다.
결코 신뢰하지 말고, 항상 검증하라
조직을 겨냥한 데이터 침해 건수를 고려하면, 기존의 낡은 보안 방식으로는 더 이상 충분하지 않다는 것이 분명합니다. 많은 이들이 제로 트러스트를 비용과 시간이 많이 드는 투자로 여기지만, 현재의 보안 문제에 대한 탁월한 해결책입니다.
제로 트러스트 모델은 신뢰 기반 시스템이 사이버 공격에서 너무 자주 악용되기 때문에 이를 제거하려 합니다. 네트워크 리소스에 접근하기 전에 모든 사용자와 모든 요소를 검증해야 한다는 원칙 위에서 작동합니다. 위험을 줄이고 보안 태세를 강화하려는 기업에게 제로 트러스트는 충분히 가치 있는 선택입니다.