제로트러스트 아키텍처: '절대 신뢰하지 말고, 항상 검증하라'

경계가 사라진 시대

전통적인 네트워크 보안은 성벽 모델이었습니다. 회사 내부 네트워크는 안전하고, 외부는 위험하다는 전제였습니다. VPN으로 성벽 안에 들어오면 모든 자원에 접근할 수 있었습니다.

클라우드, 원격근무, SaaS가 퍼지면서 이 경계는 의미를 잃었습니다. 공격자가 VPN 자격증명 하나만 탈취하면 내부 전체에 접근할 수 있는 구조는 더 이상 유효하지 않습니다. Gartner는 공격자가 인프라의 암묵적 신뢰를 악용해 악성코드를 심고 옆으로 이동한다고 설명합니다.

제로트러스트란

제로트러스트는 흔히 "절대 신뢰하지 말고, 항상 검증하라(Never Trust, Always Verify)"로 요약됩니다. 이 문구 자체는 업계 슬로건이고, 표준 정의는 NIST SP 800-207(2020)에 있습니다. NIST는 제로트러스트를 네트워크 위치나 자산 소유만으로 사용자·기기에 암묵적 신뢰를 주지 않는 접근 방식으로 정의합니다.

모든 접근 요청을 (내부든 외부든) 매번 평가하고 권한을 최소화합니다. 네트워크 위치가 아니라 사용자의 신원, 디바이스 상태, 행위 패턴을 기반으로 접근을 결정합니다.

NIST가 정한 7가지 기본 원칙

모든 것이 자원: 데이터 소스와 컴퓨팅 서비스는 모두 보호할 자원으로 봅니다
위치와 무관한 보안 통신: 사내망 안에서 온 요청도 외부 요청과 같은 기준을 충족해야 합니다
세션 단위 접근: 자원마다 세션 단위로, 필요한 최소 권한만 줍니다
동적 정책: 신원, 애플리케이션, 기기 상태, 행위·환경 속성으로 접근을 결정합니다
자산 상태 감시: 회사가 소유하거나 연결된 모든 자산의 무결성과 보안 상태를 계속 측정합니다
엄격한 인증·인가: 접근 전에 매번 인증·인가하고, 사용 중에도 다시 평가합니다
정보 수집과 개선: 자산·네트워크·통신 상태를 최대한 모아 보안 정책을 다듬습니다

도입 현황

Gartner가 2023년 4분기에 보안 리더 303명을 조사한 결과, 조직의 63%가 제로트러스트 전략을 전부 또는 일부 도입했습니다. 다만 대부분 조직에서 제로트러스트 전략이 다루는 범위는 전체 환경의 절반 이하이고, 줄이는 위험도 전체의 4분의 1 이하라고 Gartner는 봤습니다.

성숙도는 더 낮습니다. Gartner는 2023년 1월, 2026년까지 대기업의 10%가 성숙하고 측정 가능한 제로트러스트 프로그램을 갖출 것으로 내다봤습니다. 당시에는 1% 미만이었습니다.

Google은 2014년 BeyondCorp 논문에서 특권 사내망을 없애고 사내 애플리케이션을 인터넷으로 옮기는 방식을 공개했습니다. Microsoft Entra ID, Zscaler Zero Trust Exchange도 자주 거론되는 제품입니다.

시작하는 법

Gartner는 전략과 적용 범위를 먼저 정한 뒤 신원(identity)부터 시작하라고 권합니다. CISA의 Zero Trust Maturity Model 2.0은 신원·기기·네트워크·애플리케이션과 워크로드·데이터 다섯 기둥을 기준으로 단계별 목표를 제시합니다.

자산 인벤토리: 보호해야 할 데이터와 시스템 목록화
ID 기반 접근: IP가 아닌 사용자 ID로 접근 제어
MFA 필수: 모든 접근에 다단계 인증 적용
네트워크 분리: 중요 시스템을 마이크로세그먼트로 격리
모니터링: 모든 트래픽 로깅 및 이상 행위 탐지

참고 자료