[포럼] 국가보안, `제로 트러스트` 전환 서둘러야

염흥열 순천향대 정보보호학과 교수

조직의 통신망은 비신뢰망인 외부 인터넷, 외부 인터넷과 내부망 간의 경계에 존재하는 비무장지대(DMZ), 신뢰망으로 간주하는 조직 내부망으로 구성된다. 조직 외부에 있는 구성원이 내부망에 존재하는 정보자원에 접근하기 위해서는 통상 2단계 인증 방식에 기반한 가상사설망을 통한 강한 수준의 보호 대책이 적용된다. 반면 내부망에 존재하는 이용자가 내부망 자원에 접근하기 위해서는 암묵적 신뢰가 주어져서 낮은 수준의 보안 대책을 적용하는 경향이 있다. 이러한 암묵적 신뢰는 공격자에 해킹 기회를 제공하는 보안 허점을 초래한다. 이러한 문제를 해결하기 위해 제로 트러스트 보안 모델이 제안됐다.

클라우드 서비스 활용의 증가와 코로나 팬데믹 상황에서 원격근무의 증가는 기업이나 조직의 비즈니스 환경을 근본적으로 변화시켰다. 지금까지 잘 작동해 왔던 전통적인 의미의 네트워크 보안 경계가 의미 없게 되었다. 새로운 네트워크 보안 패러다임의 적용이 요구되고 있는 시점이다.

제로 트러스트는 이용자의 위치에 따라 주어지는 암묵적 신뢰를 제거하고 모든 디지털 상호 동작을 지속해서 검증해 조직의 정보자원을 보호하기 위한 새로운 보안의 전략적 접근 방식이다. 새로운 사이버 보안 네트워크 모델인 '제로 트러스트'는 '아무것도 신뢰하지 말고 항상 검증하라'라는 신조로, 사용자나 디바이스의 접근을 철저히 검증하고, 검증 이후에도 접근에 최소한의 권한만 부여하는 것이다. 이는 내부 다양한 정보 자산에 접근하는 이용자에게 최소한의 권한을 부여하고, 모든 보안 위험을 막기 위한 인증, 접근 통제, 종단간 보안 채널의 적용 등의 가능한 모든 보안 통제를 지속해서 적용하기 위한 보안 활동으로 볼 수 있다.

영국 국가사이버보안센터(NCSC)가 2021년 7월에 제시한 제로 트러스트 보안 구조의 설계 원칙은 △조직의 네트워크 구조의 파악 △이용자·서비스·디바이스에 대한 신원 파악 △사용자 행동·서비스 및 디바이스 상태의 지속적 평가 △접근 요구를 항상 허가하는 정책 의무 적용 △모든 접근을 인증하고 허가 △이용자·디바이스·서비스의 모니터링 △어떤 네트워크도 신뢰하지 않음 △제로 트러스트를 지원하는 서비스의 선택 등이다.

제로 트러스트 구조는 제로 트러스트 원칙을 사용해 기업 정보통신 인프라와 작업 흐름을 설계 및 기획한 결과이다. 이는 조직의 네트워크 내부 또는 외부에 있는 모든 사용자가 내부의 애플리케이션 및 데이터에 대한 액세스 권한을 부여받기 전에 보안 구성 및 상태에 대해 인증, 권한 부여 및 지속적인 검증을 받는 보안 틀로 볼 수 있다.

미국 바이든 대통령은 2021년 5월 12일 행정명령을 통해 미국 모든 연방 기관은 향후 제로 트러스트 보안 구조를 채택할 것을 요청하고, 각 연방 정부 장관에게 제로 트러스트 구조를 구현하기 위한 계획을 60일 이내에 개발할 것을 요청했다. 미국 국방성은 2022년 11월 국방망 제로 트러스트 전략과 로드맵을 발표했다. 2027년까지 제로 트러스트를 위해 요구되는 모든 보안 능력을 구현한다고 발표했다. 미국 예산청도 △내부망 트래픽 암호화 △실체에 대한 다중 요소 인증 적용 △취약성 공개 활성화 △클라우드 적극 도입 및 활용 △자원 접근에 대한 권한 신원 관리 도입 및 운용 △외부망에 내부 응용 및 서비스 공개 등의 제로 트러스트 지침을 발표했다. 또한 미국 연방 정부에 도입할 제로 트러스트 제품과 서비스에 대한 목록을 공개하고 있다. 미국 국립표준기술원에서는 2020년 8월 제로 트러스트 구조에 대한 공식 표준을 발표했다. 제로 트러스트는 네트워크 경계 기반 정적 보안 개념에서, 사용자, 자산에 초점을 맞추어 사이버 공격을 방어하기 위해 새로운 보안 전략으로 전환하기 위한 보안 패러다임을 포함하고 있다.

정부는 제로 트러스트 사이버 보안 환경 전환에 대비해 '사이버보안 패러다임 전환 연구반'을 올해 초에 구성했고, 미국과 영국 등 선진국 사례를 분석해 우리나라 산업 맞춤형 제로 트러스트 보안 모델과 지침 마련의 필요성을 제시했다. 또한 이러한 제로 트러스트 모델을 구체화하고 보안 패러다임 변화에 능동적으로 대응하기 위해 제로 트러스트 및 공급망 보안 포럼을 지난 11월 발족한 바 있다. 우리나라가 제로 트러스트 네트워크 구조로 전환하기 위해서는 다음을 고려해야 한다.

먼저, 국내 네트워크 환경에 적합한 제로 트러스트 원칙과 보안 모델을 정의해야 한다. 기존 네트워크 구조를 제로 트러스트 기반의 구조로 변환하기 위한 전환 로드맵을 국가 차원에서 수립해야 한다. 국내 네트워크 구조를 살펴보고 새로운 보안 능력을 갖춘 개념검증을 위한 실증 망을 구성해야 한다. 제로 트러스트 구조 관련 세부 능력에 대한 연구개발을 추진해야 하며, 연구 결과를 산업체에 신속히 기술을 이전해 제로 트러스트 기반의 제품이나 서비스 구현과 활용을 가능케 해야 한다. 제로 트러스트 구조를 달성하기 위한 공통의 보안 능력과 금융, 에너지 부문별 보안 능력을 개발하여야 한다.

제로 트러스트 제품이나 서비스를 공공 망에 도입하기 위한 정책은 중단기적으로 추진돼야 한다. 단기적으로는 제로 트러스트 원칙이 적용된 개발된 제품과 서비스를 공공 망에 도입하기 위한 평가 인증 체계를 수립해야 한다. 최근 출범한 융복합 보안 제품을 인증하기 위해 신속 확인제의 활용을 고려해야 한다. 장기적으로는 중단기로드맵에 기반한 보안 능력을 갖춘 제품이나 서비스를 도입해야 한다.

제로 트러스트 모델과 핵심 개발을 위한 국제 공동 연구의 수행이 필요하며, 국내외 표준화 작업에 적극적으로 추진해야 한다. 또한 이를 위한 인력 양성을 추진하고, 이를 위한 생태계를 조성할 필요가 있다. 지난 10월에 설립된 '제로 트러스트 및 소프트웨어 공급망포럼'의 역할은 매우 중요하다. 산학연관의 정보 공유를 위한 장을 마련하고, 부문별 실증 사업을 수행해 그 결과를 포럼을 통해 공유하고, 이를 통한 보안 능력을 개선하고, 국내에 확산하기 위한 전략을 개발할 필요가 있다.

세계 주요국은 제로 트러스트 기반의 보안 구조로 전환하기 위해 혁신적인 변화를 추구하고 있다. 우리나라 네트워크 보안 구조는 제로 트러스트 기반 네트워크 구조로 체계적으로 신속히 전환해야 한다. 이를 위한 정부, 기업, 학계, 공공기관 등의 협력과 노력이 요구된다.