[컴퓨터월드] 제로 트러스트(Zero Trust) 보안을 본격적으로 국내 기관·기업에 적용하기 위한 첫 가이드라인이 나왔다. 제로 트러스트의 개념과 부상 이유, 기본 원리부터 제로 트러스트 보안 모델과 접근 방법, 아키텍처, 성숙도 모델, 도입 시 고려 사항, 운영 시 주의사항, 그리고 핵심 요소별 전략과 사례 등을 망라함으로써 국내 정부·공공기관 및 기업 보안 담당자들이 제로 트러스트를 이해하고 적용하는 데 많은 도움이 될 전망이다.

과학기술정보통신부(장관 이종호)가 지난달 10일 국내 환경에 적합한 ‘제로 트러스트 가이드라인 1.0’을 발표했다. 과기정통부는 작년 10월 국내 산·학·연·관 전문가로 구성된 ‘제로트러스트포럼(간사기관: 한국인터넷진흥원)’을 구성하고 미국·유럽·일본 등의 동향 분석, 자료검토, 토론회 등을 통해 의견을 모아 이번 가이드라인을 발간했다.

현 정부는 대통령 직속 디지털플랫폼정부위원회(위원장 고진)와 함께 지난 4월 ‘디지털플랫폼정부 실현계획’을 발표하면서 새로운 디지털환경에서의 정보보안을 위해 국가적 차원의 제로 트러스트 도입을 추진하겠다고 밝힌 바 있다. 이에 과기정통부는 이번에 마련된 ‘제로 트러스트 가이드라인 1.0’을 각 분야로 확산시켜나간다는 계획이다.

기존 경계 보안 모델, 제로 트러스트로 변화 필요

제로 트러스트는 “절대 믿지 말고, 계속 검증하라(Never Trust, Always Verify)”는 기본 원칙 아래, 정보 시스템 등에 대한 접속 요구가 있을 때 네트워크가 이미 침해된 것으로 간주하고 보안 체계를 마련하자는 새로운 보안 개념이다.

모바일 및 사물인터넷(IoT) 기기, 클라우드 기반의 원격·재택 근무 환경이 조성되고, 코로나19로 인해 비대면 사회가 가속화됨에 따라 전통적으로 네트워크의 내·외부 경계를 구분하고 내부자에게 암묵적 신뢰를 부여하는 기존 경계 기반 보안 모델은 한계에 도달했다. 이에 새로운 보안 모델로의 전환이 필요한 상황이다.

기존 경계 기반 보안 모델은 침입자가 내부자와 공모 또는 권한 탈취를 통해 정보시스템에 접속하고 나면 내부의 서버, 컴퓨팅 서비스, 데이터 등 모든 보호 대상에 추가 인증 없이 접속할 수 있어 악의적 목적을 위해 데이터가 외부로 유출될 수 있다는 지적이 있었다.

반면에 제로 트러스트 보안 모델은 제로 트러스트 보안 개념을 토대로 서버, 컴퓨팅 서비스 및 데이터 등을 보호해야할 자원으로 각각 분리·보호하며, 이를 통해 하나의 자원이 해킹됐다고 하더라도 인근 자원은 보호할 수 있고, 사용자 또는 기기 등의 모든 접속 요구에 대해 아이디/패스워드 외에도 다양한 정보를 이용해 인증하는 방식으로 보안 수준을 높일 수 있다.

미국, 유럽 등에서는 4차 산업혁명 기술 기반으로 비대면 사회가 가속화됨에 따라 기존 경계 기반 보안 모델의 전환이 필요한 상황에서 다양화·지능화되는 사이버 위협에 대응할 수 있는 보완 수단으로 제로 트러스트 보안 모델 도입이 본격화되고 있다.

이번 가이드라인 1.0은 7월 10일부터 과기정통부, KISA 및 유관기관 홈페이지를 통해 이용할 수 있다. 과기정통부는 향후 실증사례의 보안 효과성 분석 결과와 변화되는 환경 등을 고려해 ‘제로 트러스트 가이드라인 2.0’을 준비하는 등 지속적으로 보완·고도화를 진행할 계획이다.

특히 올해 6월부터 12월까지 하반기 동안 SGA솔루션즈 컨소시엄과 프라이빗테크놀로지 컨소시엄이 통신·금융·공공 등 분야의 다양한 환경에 제로 트러스트 보안모델을 구현하고, 세계적 수준의 화이트 해커들이 공격 시나리오 기반의 검증모델을 적용해 제로 트러스트 도입 전후의 보안 효과성을 검증할 계획이다.

과기정통부 박윤규 제2차관은 “국민의 일상생활 및 다양한 산업분야로 네트워크가 확장되는 상황에서 보안체계가 전환돼야 하는 패러다임 전환시기에 적합한 대안을 찾아야 한다”면서 “과기정통부는 정부·공공 기관 및 기업들에게 실질적인 도움이 될 수 있도록 제로 트러스트 가이드라인을 지속적으로 보완·고도화하는 한편, 실증 사업을 통해 다양한 분야로 제로 트러스트 보안 모델이 확산될 수 있도록 지원하겠다”고 말했다.

[제로 트러스트 가이드라인 1.0 주요내용 요약 및 해설]

이번 제로 트러스트 가이드라인 1.0은 제로 트러스트의 기본개념과 보안 원리, 제로 트러스트 보안 모델의 핵심 원칙 및 접근제어 원리, 도입 계획 수립을 위한 세부 절차 및 도입 참조 모델 등을 제시하고 있다.

제로 트러스트 보안은 “절대 믿지 말고, 계속 검증하라”는 기본 철학을 구현하는 것이다. 가이드라인은 이에 따라 △강화된 인증(아이디/패스워드 외에도 다양한 인증정보를 활용한 다중인증 등 지속적인 인증을 포함) △마이크로 세그멘테이션(서버·컴퓨팅 서비스 등을 중심으로 하는 작은 단위로 분리) △소프트웨어 정의 경계(소프트웨어 기반으로 보호 대상을 분리·보호할 수 있는 경계를 만들 수 있어야함) 등을 핵심으로 제시했다. 그리고 이러한 3가지 핵심 원칙을 모두 포함할 때 완성도가 높다고 할 수 있다.

특히 보호 대상 자원에 대한 접근 요구에 대해 접속을 허락할지 말지를 결정하는 과정으로 제로 트러스트 기본 철학을 구현하는 가장 중요한 원리 중 하나로 ‘접근제어’를 강조했다. 또한 안전하고 지속적인 접근제어를 위해 제로 트러스트 보안모델은 ‘제어 영역’과 ‘데이터 영역’으로 구분돼야 하며, 자원에 대한 접근 요구가 있을 때 접속을 결정하는 ‘정책결정지점(PDP)’과 접속을 시행하는 ‘정책시행지점(PEP)’을 두고 운영해야 한다고 설명했다.

PDP는 정책엔진(PE)과 정책관리자(PA)로 나뉘며, PE는 신뢰도를 판단해 접속 허가를 최종 결정한다. 또한 PA는 PEP에 명령해 정책을 실행하게 된다.

PDP는 PEP 및 다양한 보안 솔루션에서 생성한 보안 정보 등을 바탕으로 하는 ‘신뢰도 평가’를 통해 자원 접근 여부를 결정하고, 접근 허가 후에는 양방향 보안 통신경로를 생성해야 한다.

여기에 가이드는 제로 트러스트 도입을 검토하고 있는 기관 및 기업의 관계자들이 네트워크, 컴퓨팅 자원 중 어떤 요소를 어느 정도 보안 수준으로 설계를 해야 할지를 결정하고, 관련 예산계획을 수립해야 하며, 도입 기간 중 진행 상황 점검 등을 위한 지표도 필요하다고 덧붙였다. 또한 이를 위해 식별자·신원, 기기, 네트워크, 시스템, 응용·네트워크, 데이터 등 6개 핵심 요소에 대한 보안 수준의 성숙도 단계별 기능을 정의해 실질적인 정보를 제공할 수 있도록 했다.

이와 함께 가이드는 정부·공공 기관 및 기업 관계자들이 실질적인 도입 전략 수립 시 참고할 수 있는 실제 네트워크 모델과, 이를 기반으로 제로 트러스트 보안 모델을 적용한 사례를 참조모델로 제시함으로써 제로 트러스트 도입 전후 네트워크 구조 변화 및 보안 효과성 등을 확인할 수 있도록 했다.

뿐만 아니라 이를 위해 최근 우리나라에 일상화돼 있는 재택·원격지 근무 환경에 제로 트러스트 보안모델을 적용한 네트워크 침투 시나리오를 적용, 제로 트러스트 도입 시 보안성이 강화될 수 있음을 파악할 수 있게 했다.