믿지 말고 계속 검증하라…정부, '제로트러스트 가이드라인' 마련

정부가 '절대 믿지 말고, 계속 검증하라'는 새로운 보안개념 제로트러스트 가이드라인을 마련했다.

과학기술정보통신부는 국내 환경에 적합한 '제로트러스트 가이드라인 1.0'을 만들었다고 9일 밝혔다. 제로트러스트는 정보 시스템 등에 대한 접속요구가 있을 때 네트워크가 이미 침해된 것으로 간주한다.

과기정통부는 클라우드 기반의 원격·재택 근무환경이 조성되고, 코로나 19로 인해 비대면 사회가 가속화됨에 따라 전통적으로 네트워크의 내·외부 경계를 구분하고 내부자에게 암묵적 신뢰를 부여하는 기존 경계 기반 보안모델은 한계에 도달해 새 보안모델로 전환이 필요하다고 판단했다.

제로트러스트 가이드라인은 제로트러스트의 기본개념과 보안원리, 제로트러스트 보안모델의 핵심 원칙 및 접근제어원리, 도입계획 수립을 위한 세부 절차 및 도입 참조모델 등을 제시한다. 제로트러스트 보안은 강화된 인증(아이디·패스워드 외에도 다양한 인증정보를 활용한 다중인증 등 지속적인 인증을 포함), 마이크로 세그멘테이션(서버·컴퓨팅 서비스 등을 중심으로 하는 작은 단위로 분리), 소프트웨어 정의 경계(소프트웨어 기반으로 보호 대상을 분리·보호할 수 있는 경계를 만들 수 있어야 함)를 말한다.

보호 대상 자원에 대한 접근 요구에 대해 접속을 허락할지 말지를 결정하는 과정으로 제로트러스트 기본 철학을 구현하는 가장 중요한 원리 중 하나이다.

안전하고 지속적인 접근제어를 위해서 제로트러스트 보안모델은 제어영역과 데이터 영역으로 구분돼야 한다. 자원에 대한 접근 요구가 있을 때 접속을 결정하는 정책결정지점(PDP)과 접속을 시행하는 정책시행지점(PEP)을 두고 운영해야 한다.

제로트러스트 도입을 검토하고 있는 기관·기업의 관계자들은 네트워크, 컴퓨팅 자원 중 어떤 요소를 어느 정도 보안 수준으로 설계를 해야 할지, 관련 예산계획 수립·도입 기간 중 진행 상황 점검 등을 위한 지표가 필요하다. 이를 위해 식별자·신원, 기기, 네트워크, 시스템, 응용·네트워크, 데이터 등 6개 핵심 요소에 대한 보안 수준의 성숙도 단계별 기능을 정의해 실질적인 정보를 제공할 수 있도록 했다. 정부·공공 기관 및 기업 관계자들은 실질적인 도입 전략 수립 시 참고할 수 있는 실제 네트워크 모델과 이를 기반으로 제로트러스트 보안모델을 적용한 사례를 참조모델로 제시했다.

SGA솔루션즈 컨소시엄과 프라이빗테크놀로지 컨소시엄은 12월까지 통신·금융·공공 분야 등 다양한 환경에 제로트러스트 보안모델을 구현하고, 화이트 해커들이 공격 시나리오로 구성된 검증모델을 적용해 제로트러스트 도입 전후 보안 효과성을 검증할 계획이다.

박윤규 과기정통부 제2차관은 "국민의 일상생활 및 다양한 산업 분야로 네트워크가 확장되는 상황에서 보안체계가 전환돼야 하는 패러다임 전환 시기에 이런 상황에 적합한 대안을 찾아야 한다"면서 "정부·공공 기관 및 기업들에 실질적인 도움이 될 수 있도록 제로트러스트 가이드라인을 지속해서 보완·고도화하고, 실증 사업을 통해 다양한 분야로 제로트러스트 보안모델이 확산할 수 있도록 지원하겠다"고 말했다.

임혜선 기자 lhsro@asiae.co.kr