“네트워크 보안 핵심은 아무도 안 믿는 것”…과기정통부, ‘K-제로 트러스트’ 확 키운다

간담회 열고 실증·수요 업체 목소리 청취
’제로 트러스트 가이드라인 1.0′ 공유
개념 정립부터 도입 계획·신뢰도 평가 포함
”사이버 공격 막는 새로운 보안 체계 정립돼야”

과기정통부가 7일 서울 종로구 한국지능정보사회진흥원 서울사무소에서 진행한 제로 트러스트 현장 간담회 모습. /윤진우 기자

올해 사이버 보안 핵심 키워드는 ‘제로 트러스트(Zero trust·신뢰 없음)’다. 외부 공격은 물론 내부에서 암묵적으로 허용된 신뢰를 없애 모든 잠재적 위협을 식별하는 것이다. 제로 트러스트는 아무도 믿을 수 없다는 가정하에 누구든지 적절한 인증 절차를 거쳐야만 네트워크에 접속할 수 있는 방식을 말한다.

과학기술정보통신부는 7일 서울 중구 한국지능정보사회진흥원(NIA) 서울사무소에서 제로 트러스트 현장 간담회를 열었다. 이날 간담회에는 박윤규 과기정통부 2차관과 함께 국내 제로 트러스트 실증·수요 업체 관계자 등 전문가 20여명이 참석했다.

이들은 국내외 제로 트러스트 최신 동향을 공유하고 실천 중인 제로 트러스트 가이드라인 핵심 내용을 소개했다. 또 정부가 디지털 정부를 추진하기 위해 추진 중인 ‘한국형(K)-제로 트러스트’를 고도화하기 위한 실효성 있는 실증 방안 등에 대한 토론도 이어졌다.

제로 트러스트는 미국을 시작으로 전 세계로 뻗어가고 있다. 미국은 펜타곤(국방성) 산하 국방정보시스템국(DISA)은 닷컴 열풍이 끝난 2000년부터 연방 정부 행정명령을 통해 제로 트러스트를 본격적으로 도입했다. 특히 2001년 911테러 이후 ‘아무도 신뢰할 수 없다’는 기조로 보안 체계를 빠르게 전환했다. 국방망 전략도 제로 트러스트를 기반으로 한다. 바이든 행정부도 연방정부의 사이버 보안 강화를 위해 제로 트러스트와 공급망 보안을 추진하는 행정명령을 2021년 5월 발표하기도 했다. 미국 국방성은 2027년까지 제로 트러스트를 위해 요구되는 모든 보안 능력을 구현한다는 계획이다.

우리나라는 모든 공공 서비스를 간편화된 플랫폼으로 제공하겠다는 걸 목표로 하는 ‘디지털플랫폼정부(디플정) 실현 계획을 진행 중이다. 안전한 디플정 구축을 위해서는 신뢰할 수 있는 네트워크 환경과 사이버 보안이 필수다. 정부가 K-제로 트러스트 실현에 적극 나서는 배경이다.

박윤규 과학기술정보통신부 제2차관이 지난해 10월 서울 강남구 보코서울강남호텔에서 열린 '제로트러스트 공급망 보안 정책 포럼 발족식'에서 인사말을 하는 모습 ./과기정통부 제공

정부는 이날 간담회에서 ‘제로 트러스트 가이드라인 1.0′을 공개했다. 가이드라인 1.0은 지난해 10월 제로 트러스트 포럼 개최 이후 정부와 기업 관계자들이 제로 트러스트 개념을 빠르게 이해하고 국내 IT 환경에 적합한 보안 체계를 도입하는 걸 목표로 마련됐다. 제로 트러스트 개념을 정립하는 동시에 제로 트러스트 도입 계획과 도입을 위한 핵심 요소, 신뢰도 평가 등이 포함됐다.

제로 트러스트 포럼 정책·제도분과장을 맡은 이석준 가천대 교수는 “제로 트러스트는 사이버 공격에 따른 리스크를 최소화하기 위해 네트워크에 접속하는 모두의 신뢰도를 판단하자는 것”이라며 “사이버 공격이 발생해도 피해가 더 커지지 않도록 중앙 집중적인 정책과 접근 제어를 요구한다는 특징이 있다”라고 했다.

이 교수는 “높은 수준의 제로 트러스트를 구현하기 위해서는 10년 이상이 걸리는 만큼 기업 상황과 성숙도 수준에 따른 중간 및 최종 목표 설정이 필요하다”라며 “제로 트러스트는 전사적으로 도입해야 할 보안 철학으로 제로 트러스트 ‘가이드라인 1.0′에 대한 실증사업을 통해 지속적으로 업데이트하겠다”라고 했다.

제로 트러스트 보안 실증 사업에 참여하는 에스지에이솔루션즈의 최영철 대표는 “제로 트러스트를 적용한 사례와 그렇지 않은 기존 보안 모델을 비교해 효과성 등을 확인하고 있다”라며 “제로 트러스트 적용에 따른 보안성과 실용성, 확장성을 효과해 나가겠다”라고 했다. 김영랑 프라이빗테크 대표는 “K-제로 트러스트 보안 모델을 확장하기 위해서는 글로벌 기업과 협업을 통해 학문적 연구와 검증을 기반으로 한 공신력을 높일 필요가 있다”라며 “효과성이 입증된 실증 모델에 대한 범국가적 국제 표준화 지원도 있어야 한다”라고 했다.

박윤규 차관은 “올해 제로 트러스트 실증 사업을 통해 국내 네트워크 환경에 적합한 사용 경험을 제시할 수 있을 것으로 기대한다”라며 “전문가 분석과 다양한 실증 연구 등 제로 트러스트 포럼을 통해 새로운 보안 체계를 만드는 데 앞장서겠다”라고 했다.

- Copyright ⓒ 조선비즈 & Chosun.com -