제로 트러스트 구성요소와 보안 모델에 대해 알아보자

백악관에서 '국가 사이버 보안에 관한 행정 명령'이라는 공식 문서로 제로 트러스트에 대한 전략과 사이버 보안 가이드를 발표할 정도로 사이버 보안에 대한 중요성이 높아지고 있습니다. 

제로 트러스트(Zero Trust)는 기업이나 조직 내부에서 사용자, 디바이스, 어플리케이션 등에 대한 접근 권한을 모두 검증을 거친 뒤 허용하는 보안 모델입니다. 이는 기존의 신뢰 모델에서는 내부 사용자나 디바이스도 보안 위협의 대상이 될 수 있다는 것을 감안하여 모든 것을 신뢰하지 않고 검증하는 방식입니다.

제로 트러스트는 전 세계 기업들의 보안 전략 중 하나로 자리 잡고 있습니다. 이는 기존의 신뢰 모델에서는 내부의 사용자나 디바이스 등에 대한 접근 권한이 이미 주어졌다는 가정으로 인해, 외부의 공격자나 내부의 적대적인 요소들에 의해 안전성이 보장되지 않을 수 있다는 것을 인식하기 때문입니다.

 

제로 트러스트 구성 요소

제로 트러스트는 인증과 인가의 강화, 모든 사용자와 디바이스의 접근 권한 검증, 최소 권한 원칙, 이상 징후 탐지와 대응 등의 요소로 구성됩니다. 이를 통해 사용자의 신원 확인과 해당 사용자에 대한 권한 부여를 강화하고, 접근 권한에 대한 제어를 강화하여 보안 위협을 최소화할 수 있습니다.

• 인증과 인가의 강화는 사용자의 신원 확인과 권한 부여를 강화하여, 사용자가 제대로 인증되지 않거나 권한이 없는 상황에서의 접근을 방지합니다.
• 모든 사용자와 디바이스의 접근 권한 검증은 사용자가 접근을 시도할 때마다 해당 사용자의 권한을 검증하여 필요한 권한을 부여하거나 거부함으로 보안 위협을 최소화합니다.
• 최소 권한 원칙은 필요한 최소한의 권한만 부여함으로써 접근 권한에 대한 제어를 강화하는 원칙입니다. 이는 권한 부여에 대한 제어를 강화함으로써, 보안 위협을 줄일 수 있습니다.
• 이상 징후 탐지와 대응은, 제로 트러스트에서 반드시 필요한 요소 중 하나입니다. 이는 내부에서 발생하는 이상 징후를 탐지하고, 적절한 대응을 취함으로써, 보안 위협을 신속하게 대처할 수 있도록 합니다.

 

제로 트러스트 보안 모델

제로 트러스트 보안 모델은 기존의 신뢰 네트워크 모델에서 벗어나, 모든 사용자와 디바이스, 어플리케이션에 대한 접근 권한을 검증하고, 허용되지 않은 접근을 차단함으로써 보안 위협을 줄이는 것이 핵심입니다. 이러한 모델은 기업의 보안 전략에서 중요한 위치를 차지하고 있으며, 많은 기업들이 이를 적용하기 위해 노력하고 있습니다.

제로 트러스트 모델의 적용은 기업 내부의 보안 위협을 줄이는 데 큰 도움을 줍니다. 이는 내부의 적대적인 요소들이나 외부의 공격자들로부터 기업의 민감한 정보나 자산을 보호할 수 있는 것을 의미합니다. 또한, 제로 트러스트 모델은 최소한의 권한만 부여하여 접근 권한을 제어함으로써, 권한 부여에 대한 제어를 강화하고 보안 위협을 줄일 수 있습니다.

하지만, 제로 트러스트 모델의 적용은 기존의 보안 모델과는 달리, 더 많은 시간과 비용이 필요합니다. 모든 사용자와 디바이스, 어플리케이션 등에 대한 접근 권한을 검증하고, 허용되지 않은 접근을 차단하기 위해서는 많은 기술과 인력이 필요하기 때문입니다. 또한, 제로 트러스트 모델의 적용은 기존의 보안 모델과 다르게, 보안 팀과 IT팀 간의 긴밀한 협력이 필요합니다.

이러한 측면들을 고려할 때, 제로 트러스트 모델을 적용하는 것은 기업의 보안 전략에서 중요한 선택 중 하나입니다. 이는 보안 위협이 점점 더 심각해지는 시대에, 기업이 보호해야 할 민감한 정보와 자산을 안전하게 보호하기 위해서는 필수적인 요소 중 하나이기 때문입니다.

 

참조

• Executive Order on Improving the Nation's Cybersecurity: https://www.cisa.gov/topics/cybersecurity-best-practices/executive-order-improving-nations-cybersecurity
• 백악관 제로 트러스트 전략: https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity/