제로트러스트 뜻, 내부에서도 믿지 않고 접근마다 확인하는 보안

01이 말이 무슨 뜻인가

제로트러스트는 신뢰를 기본값으로 두지 않는 보안 방식이에요. 사내망에 들어와 있다거나 회사 기기라는 이유만으로 접근을 허락하지 않고, 자원에 접속하려 할 때마다 누가 어떤 기기로 무엇에 접근하는지 확인해요.

이 말을 처음 만나는 자리는 회사의 보안 안내문이에요. 사내 시스템에 접속할 때마다 추가 인증을 요구받거나, 집에서 일할 때 회사 프로그램에 로그인할 때 기기 상태를 검사받는 일이 이 방식에 해당해요.

NIST는 제로트러스트를 정적인 네트워크 경계에서 사용자, 자산, 자원 쪽으로 방어를 옮기는 접근으로 정리하고, 물리적 위치나 네트워크 위치, 기기 소유자가 누구인지만으로는 암묵적 신뢰를 주지 않으며, 인증과 인가는 자원에 연결되기 전에 따로 거친다고 밝혀요.

02왜 이런 게 생겼나

예전 보안은 성벽과 해자에 가까웠어요. 사내망 바깥은 위험하고 안쪽은 안전하다고 보고 출입구에 방화벽을 세웠는데, 한번 안으로 들어온 공격자는 이동이 자유롭다는 약점이 있었어요.

그 경계가 흐려졌어요. 재택근무와 개인 기기 사용이 늘고 업무 자료가 회사 밖 클라우드에 놓이면서, 사내망 안과 밖을 가르는 선만으로는 지킬 자원이 어디에 있는지 설명하기 어려워졌어요.

그래서 위치가 아닌 사용자와 기기, 접근하는 자원 단위로 신뢰를 따지는 쪽으로 옮겨 갔어요. 우리나라에서는 과학기술정보통신부와 KISA가 가이드라인을 내었고, 1.0이 개념을 설명했다면 2.0은 도입 절차와 단계별 성숙도 모델을 다뤄요.

함께 운영하는 곳

03자주 헷갈리는 것

제로트러스트는 제품 하나를 사면 끝나는 것이 아니라 설계 원칙이에요. 다중 인증, 접근 권한 관리, 네트워크 구간 나누기, 데이터 보호 같은 여러 기술이 원칙에 따라 함께 움직여야 하고, 한 번에 바꾸는 것이 아니라 단계적으로 옮겨 가요.

방화벽이 필요 없어진다는 말도 맞지 않아요. 경계 방어를 버리는 것이 아니라 경계 하나에만 의존하지 않는 것이고, 기존 보안 체계와 함께 두고 단계적으로 전환하는 방안이 논의돼요.

모든 직원을 의심한다는 뜻도 아니에요. 사람이 아니라 접근 요청을 확인 대상으로 보는 것이고, 확인 과정이 사용자에게 번거롭지 않게 설계되는 것이 방식의 일부예요.

04언제 내 일이 되나

회사에서 새 로그인 방식이나 기기 등록을 요구받을 때가 가장 가까운 자리예요. 번거롭게 느껴져도 사내망 안이라는 이유로 통과시키지 않기 위한 절차이니, 개인 기기를 업무에 쓴다면 보안 설정과 등록을 안내에 따라 갖춰야 해요.

보안을 맡거나 서비스를 만드는 쪽이라면 접근 권한을 필요한 최소 범위로 줄이고 접근 기록을 남기는 설계부터 시작할 수 있어요. 개인 사용자는 중요한 계정에 다중 인증을 켜 두는 것이 같은 원칙을 집에서 쓰는 방법이에요.