[MT시평]한시적 인증을 넘어 지속검증의 시대로

중앙대학교 산업보안학과 장항배 교수

보안 사고가 발생할 때마다 기업들은 더 강력한 자물쇠를 찾아왔다. 겉으로 보기에 출입구는 그 어느 때보다 견고해진 듯하지만 대규모 정보 유출 사고는 좀처럼 줄어들지 않고 있다. 그 이유는 분명하다. 우리는 오랫동안 '누구인가'라는 접근 시점의 검증에만 집중해 왔을 뿐 '언제까지 신뢰할 것인가'라는 신뢰의 지속성에 대해서는 충분히 고민하지 않았기 때문이다.

지난 20여년간 ID와 비밀번호로 대표되는 지식 기반 인증에서 출발한 인증 기술은 일회용 비밀번호와 같은 소유 기반 인증을 거쳐 최근에는 지문이나 얼굴 인식과 같은 생체 기반 인증으로까지 확장됐다.

그러나 이러한 기술적 변화에도 불구하고 인증이 작동하는 보안 구조 자체는 크게 달라지지 않았다. 이들의 방식은 공통으로 로그인 시점의 신원 확인에만 초점을 맞춘다는 점에서 근본적인 한계를 지닌다. 일단 로그인에 성공하면 세션과 권한은 장시간 유지되며 시스템은 이를 전제로 작동하게 된다. 이러한 신뢰의 공백 구간은 인증된 사용자의 권한이 탈취될 경우 최초에 어떤 인증 수단이 사용됐는지는 더 이상 중요하지 않으며 추가적인 방어 역할을 수행하기 어렵게 된다.

이러한 구조적 한계를 보완하기 위해 제시된 개념이 바로 '제로 트러스트'(Zero Trust)다. '항상 검증하고 결코 당연하게 신뢰하지 않는다'는 원칙을 인증 체계에 적용한 것이 지속 인증이다. 지속 인증은 로그인을 하나의 사건이 아니라 연속적인 과정으로 바라본다.

사용자가 시스템에 접속해 있는 동안 접속 환경과 행동 양상을 지속적으로 분석해 신뢰 수준을 평가한다. 접속 위치나 단말기의 변화, 평소와 다른 시간대 이용 여부와 같은 맥락 정보, 입력 방식이나 마우스 움직임과 같은 행동 정보, 그리고 비정상적인 데이터 접근이나 설정 변경 시도와 같은 행위 정보가 종합적으로 활용된다. 이 방식의 특징은 보안을 강화하면서도 사용자 경험을 과도하게 저해하지 않는다는 점이다. 정상적인 상황에서는 보안이 전면에 드러나지 않다가 이상 징후가 감지되는 경우에만 추가적인 검증이나 제한 조치가 수행된다.

지식 기반, 소유 기반, 생체 기반 인증으로 이어진 기술의 발전은 분명 의미 있는 진전이었다. 그러나 이제는 여기에 '지속성'이라는 요소가 결합돼야 할 시점이다. 기업의 보안 전략 역시 질문의 방향을 전환해야 한다. '어떤 인증 수단을 도입했는가'가 아니라 '접속 이후에도 신원을 어떻게 재확인하고 있는가'로, '내부망은 안전한가'가 아니라 '이미 인증된 세션이 악용될 경우 이를 식별하고 차단할 수 있는가'로 바뀌어야 한다.

한 번의 인증을 전제로 한 보안 체계는 점차 현실과 거리가 멀어지고 있다. 신뢰의 유효 기간을 짧게 설정하고 이를 지속적으로 검증하는 접근 방식은 오늘날의 위협 환경에 보다 부합한다. 이제 보안 전략의 성패는 단일한 인증 수단의 강도가 아니라 인증 이후의 신뢰를 어떻게 관리하느냐에 달렸다.

장항배 중앙대학교 산업보안학과 교수