제로트러스트(Zero Trust) — 사내망 안쪽은 안전하다는 착각

제로트러스트(Zero Trust)는 "사내망 안쪽에 들어왔다는 이유만으로는 아무것도 믿지 않는다"는 보안 원칙이다. 요청이 어디서 왔든, 얼마나 안쪽에 있든, 접근할 때마다 신원과 권한을 다시 확인한다. 한마디로 "믿지 말고, 매번 검증하라(never trust, always verify)"가 핵심 구호다.

이 개념이 나온 배경은 단순하다. 옛날 방식은 성벽 모델이었다. 방화벽으로 경계를 두르고, 그 안에 들어온 사람은 대체로 신뢰했다. 문제는 공격자가 일단 성벽 하나만 넘으면 내부를 자유롭게 휘젓고 다닐 수 있다는 점이다. 원격근무와 클라우드가 일상이 되면서 "안"과 "밖"의 경계 자체가 흐려졌고, 성벽 모델은 더 이상 현실을 담지 못하게 됐다.

성벽 모델은 왜 무너졌나

전통적인 보안은 사탕 같았다. 겉은 딱딱하고 속은 물렁물렁하다. 방화벽과 VPN이 단단한 껍질을 만들지만, 일단 그 안으로 들어오면 내부 시스템끼리는 서로 신뢰하며 별 검증 없이 통신한다. 공격자가 직원 한 명의 계정을 훔치거나 노트북 한 대를 감염시켜 내부에 발을 들이는 순간, 껍질 안의 무른 부분이 그대로 드러난다.

실제 침해 사고가 커지는 지점은 대개 최초 침투가 아니라 그 다음이다. 공격자는 처음 뚫은 자리에서 조용히 옆으로, 위로 이동하며 더 값진 시스템에 다가간다. 이걸 측면 이동(lateral movement)이라 부른다. 성벽 모델은 이 측면 이동을 막을 장치가 거의 없다. 안쪽은 다 한 식구라고 가정했기 때문이다. 제로트러스트는 바로 이 가정을 폐기하는 데서 출발한다.

제로트러스트의 세 기둥

거창해 보이지만 원리는 상식적이다. 나는 세 가지 축으로 이해한다.

• 명시적 검증 — 누가, 어떤 기기로, 어디서, 어떤 상태에서 접근하는지 매 요청마다 확인한다. 한 번 로그인했다고 무한정 믿지 않는다.
• 최소 권한 — 각자에게 업무에 꼭 필요한 만큼만 권한을 준다. 계정이 털려도 그 계정이 닿을 수 있는 범위가 좁으면 피해도 좁다.
• 침해 가정 — "언젠가 뚫린다"를 전제로 설계한다. 그래서 내부를 잘게 나누고, 모든 활동을 기록하며, 이상 징후를 계속 감시한다.

이 셋을 관통하는 발상은 신뢰의 단위를 네트워크 위치에서 신원과 맥락으로 옮기는 것이다. "어느 네트워크에 있느냐"가 아니라 "당신이 누구이고, 지금 상태가 정상이냐"가 접근 허용의 기준이 된다.

VPN을 넘어서 — 무엇이 실제로 바뀌나

많은 사람이 제로트러스트를 "더 좋은 VPN" 정도로 오해한다. 그러나 방향이 반대다. 전통 VPN은 접속에 성공하면 사내망 전체를 열어준다. 열쇠 하나로 건물의 모든 문을 여는 셈이다. 제로트러스트 접근 방식은 필요한 애플리케이션 하나에만 문을 열어준다. 회의실에 들어갈 권한이 있다고 서버실 문까지 열리지는 않는다.

한 번에 갈아엎는 게 아니다

제로트러스트에서 흔한 착각은 이걸 사서 설치하면 끝나는 제품으로 여기는 것이다. 아니다. 이건 여러 조각을 엮어 만드는 아키텍처이자 사고방식이다. 강력한 신원 인증(다중 인증 포함), 기기 상태 점검, 세밀한 접근 정책, 네트워크 분할, 그리고 지속적인 로깅과 감시가 함께 맞물려야 완성된다. 그래서 현실적인 접근은 가장 민감한 시스템 한두 개부터 신원 기반 접근으로 감싸고, 성공 경험을 쌓으며 범위를 넓혀가는 방식이다.

현실적 한계와 오해

제로트러스트가 만능은 아니다. 검증이 잦아지는 만큼 잘못 설계하면 사용자가 불편을 느낀다. 접근할 때마다 인증을 반복시키면 사람들은 우회로를 찾기 시작하고, 그 순간 보안은 오히려 무너진다. 그래서 좋은 구현은 위험이 낮은 상황에서는 사용자를 매끄럽게 통과시키고, 이상 신호가 감지될 때만 추가 확인을 요구한다. 보안과 편의는 대립이 아니라 균형의 문제다. 나는 제로트러스트의 성패가 기술보다 이 균형 감각에 달려 있다고 본다. 원칙은 단단하게, 경험은 부드럽게. 이게 잘 된 제로트러스트다.

자주 묻는 질문

제로트러스트는 VPN을 완전히 대체하나요?

많은 경우 대체하지만, 성격이 다릅니다. VPN은 접속 성공 시 내부망 전체를 열어주는 반면, 제로트러스트 접근은 필요한 애플리케이션 하나에만 접근을 허용합니다. 전환은 대개 점진적으로 이뤄지며, 한동안 둘이 공존하기도 합니다.

중소 조직도 제로트러스트가 필요한가요?

규모와 무관하게 원칙 자체는 유효합니다. 다만 전면 도입보다 가장 민감한 시스템에 다중 인증과 최소 권한부터 적용하는 식으로 시작하는 게 현실적입니다. 작게 시작해 효과를 확인하고 넓혀가는 접근을 권합니다.

제로트러스트를 도입하면 사용자가 불편해지나요?

잘못 설계하면 그렇습니다. 매번 인증을 반복 요구하면 사람들이 우회로를 찾게 되고 보안이 되레 약해집니다. 좋은 구현은 위험이 낮을 때는 매끄럽게 통과시키고, 이상 징후가 있을 때만 추가 확인을 요구해 균형을 맞춥니다.

제로트러스트는 제품인가요, 개념인가요?

개념이자 아키텍처입니다. 하나의 제품을 설치해 끝나는 게 아니라 신원 인증, 기기 점검, 접근 정책, 네트워크 분할, 지속적 감시를 엮어 만듭니다. "제로트러스트 완성 제품"이라는 광고를 만나면 일단 의심하는 편이 좋습니다.