[박정호의 미리 가 본 미래]〈100〉사이버 보안 제로 트러스트 개념이 부상하고 있다

박정호 명지대 특임교수

코로나 19 이후 거의 모든 경제 분야가 디지털로 전환되었다 해도 과언이 아니다. 이로 인해 삶의 다양한 편의성이 높아졌음은 분명하지만, 한 가지 우려되는 부분이 있다. 바로 사이버 보안 문제이다. 특히 코로나 19로 인해 단기간에 거의 모든 분야가 디지털 전환을 강요받게 되면서 아직 디지털 분야에 대한 명확한 이해가 갖추어지지 않은 분야 내지 개인들조차 디지털 전환이 이루어졌고, 이 과정에서 연결성과 개방성이 급격히 확대되며 기하급수적으로 복잡한 구조를 띠게 되었다. 뿐만 아니라 암호화폐에 대한 주목도 역시 급격히 상승하면서 경제 활동의 결과물들이 디지털 자산 거래가 확대됐다. 이 역시 사이버 보안이 더욱 중요해진 배경 중 하나이다.

사이버 보안 문제의 중요도를 높이는 이유는 더 있다. 그것은 해킹의 방식 때문이다. 해킹 사고가 한번 발생하면, 똑같은 보안 사고가 발생할 확률은 극히 낮다. 거의 대부분의 기관 내지 기업들이 해당 해킹 사고를 인지하고 이를 방어하기 때문이다. 하지만 해킹이 지속적으로 유발되는 것은 매번 새로운 해킹 수법이 나오기 때문이다. 사이버 보안 문제가 중요하고도 어려운 문제인 이유는 여기에 있다.

이처럼 사이버 보안 문제가 중요해졌음에도 불구하고, '사이버보안(Cybersecurity)' 문제가 갖는 본질적인 복잡성으로 인해 글로벌 공감대를 형성하는 단일정의는 아직 존재하지 않는다. 다만 각국의 정책입안자 및 관련 전문가들이 적용 분야와 상황에 따라 용어를 정의 후 활용하고 있어 이를 통해 개념을 가늠할 수 있다. 이는 달리 말하면 그만큼 사이버 보안 대상도 다양할 뿐만 아니라 디지털 전환이 이루어진 방식과 우리가 이를 활용하는 방식도 다양하다는 사실을 반증한다 할 것이다.

그나마 국내에서는 과학기술정보통신부가 공고한 '정보보호산업의 진흥에 관한 법률'의 '정보보호'가 유사한 개념이다. 여기서 말하는 정보보호란 정보의 수집, 가공, 저장, 검색, 송신, 수신 중에 발생할 수 있는 정보의 훼손, 변조, 유출 등을 방지 및 복구를 의미한다. 또한 암호·인증·인식·감시 등의 보안기술을 활용하여 재난·재해·범죄 등에 대응하거나 관련 장비·시설을안전하게 운영하는 것을 말한다. 이러한 법률적 개념 정의에서도 들어나듯이 국내에서 말하는 사이버 보안의 1차적 책임은 국가뿐만 아니라 기업과 개인도 스스로 관리해야 할 범주에 해당하는 것들이 많다.

사이버 보안은 알려진 위협을 감지하는 것과, 알려지지 않은 위협을 방지하는 두 가지 임무로 나뉜다. 과거 우리가 알던 컴퓨터 백신은 주로 '컴퓨터가 바이러스에 감염되었음을 알려주는 방식이었다. 후행적으로 알려진 위협을 감지하는 용이었다. 하지만 디지털 의존도가 커지고, 사이버 공격이 고도화되자, 뒤처리만으로 사이버 공격에 따른 피해를 감당하기 버거워졌다. 한 통계자료에 따르면 2021년 사이버범죄에 따른 글로벌 피해 금액은 6조달러다. 미국 GDP의 26%에 달한다. 따라서 이제는 후행적 관리가 아니라 선행적 조치가 요구되고 있다.

이 과정에서 대두되는 개념이 제로 트러스트이다. '제로 트러스트(Zero Trust), 아무도 신뢰하지않는다'는 컨셉으로 명명하고, 더욱 꼼꼼한 보안 시스템 개발에 박차를 가하고 있다. 제로 트러스트는 보안 강화의 한 방편으로 두드러진다. 제로 트러스트는 신뢰성이 보장되지 않은 네트워크에서 서버, 데이터베이스 등 다양한 컴퓨팅 자원에 대한 지속적인 접근 요구에 최소한의 권한을 부여하고 동적 인증을 통해 접근 허가를 허용하는 방식이다. 즉 아직 사이버 보안에 취약한 부분들을 네트워크에서 구분하고 제한하는 방식이다. 최근에 등장한 보안 정보 및 이벤트 관리(SIEM), 위협탐지대응솔루션(EDR), 클라우드 접근 보안 증개(CASB) 등의 플랫폼이 제로 트러스트 보안을 위한 장치들이다. 디지털 영역이 커지면 커질수록 이를 활용하기 위한 수단 못지 않게 안전하게 관리하기 위한 대안도 필요함을 잊지 말아야 할 것이다.

명지대 특임교수 박정호