“MLPS 2.0(중국 등급보호제도) 심사를 앞두고 있는데, 직원들은 아직도 집 컴퓨터로 회사 내부망에 접속하고 있습니다. 이 부분을 어떻게 개선해야 감점되지 않나요?” — 최근 MLPS 평가를 준비하는 중소기업 대표와 IT 담당자들이 자주 하는 질문입니다. 오늘은 MLPS 2.0이 재택근무·원격 접속에 요구하는 필수 조건, 흔한 감점 항목, 그리고 중소기업이 저비용으로 요건을 충족하는 방법을 정리해 드리겠습니다.
MLPS 2.0이 “원격 접속”에 요구하는 사항
MLPS 2.0(GB/T 22239)은 안전한 통신 네트워크, 보안 영역 경계, 안전한 컴퓨팅 환경 등 여러 계층에서 내부망 원격 접속에 관한 명확한 조항을 두고 있습니다. 중소기업에 적용되는 핵심 요건은 다음과 같습니다:
- 본인 확인: 원격 로그인에는 2단계 인증/강력한 신원 인증이 필요하며, 계정과 비밀번호 하나에만 의존해서는 안 됩니다
- 접근 통제: 필요에 따라 권한을 부여하고, 누가 어떤 시스템에 접근할 수 있는지 통제해야 하며, 접속하자마자 내부망 전체에 들어갈 수 있어서는 안 됩니다
- 통신 암호화: 원격 전송 전 구간을 암호화하여 도청과 변조를 방지
- 보안 감사: 누가, 언제, 어디서, 무엇에 접근했는지 조회 가능한 로그를 보관해야 합니다(일반적으로 6개월 이상)
- 경계 보호: 내·외부망 경계에 접근 통제 장비를 두고, 비인가 장비의 접속을 차단해야 합니다
“기존 VPN / 해외 기반 네트워킹”이 이 부분에서 자주 감점되는 이유
| 평가 항목 | 기존 VPN | ZeroTier/Tailscale |
|---|---|---|
| 접속 후 권한 | 전체 개방, 필요 기반 통제 어려움 | 가상 대형 L2, 세분화 거침 |
| 감사 로그 | 장비에 의존, 세밀한 기록 부족 | 제어 평면이 해외에 위치 |
| 데이터/제어 평면 소재 | 자체 구축으로 통제 가능 | 해외 소재, 국외 경유 우려 |
| 2단계 인증 | 별도 구매 필요 | 미흡 |
간단히 말해, 기존 VPN의 “접속 즉시 전체 개방” 방식은 MLPS가 요구하는 “필요 기반 접근”에 어긋납니다. 해외 기반 네트워킹 도구는 제어 평면과 메타데이터가 국외를 경유하므로 감사와 데이터 규정 준수 심사를 통과하기 어렵습니다.
중소기업이 저비용으로 요건을 충족하는 방법
수십만 위안짜리 대기업용 장비를 도입할 필요는 없습니다. 중소기업에 가장 경제적인 방법은 제로 트러스트(ZTNA) 솔루션으로 원격 접속 부분을 대체하는 것이며, 이는 MLPS의 필수 요건과 정확히 맞아떨어집니다:
- ✅ 강력한 신원 인증 + 단일 기기 로그인 → 본인 확인 요건 충족, 계정이 탈취되어도 측면 이동이 어려움
- ✅ 사용자별 서브넷/IP/포트 권한 부여 → “절대 신뢰하지 않고 필요할 때만 접근” 요건 충족
- ✅ 전 구간 암호화 → 통신 암호화 요건 충족
- ✅ 접속 로그 보관 → 보안 감사 추적성 요건 충족
- ✅ 제어 평면이 국내 데이터센터에 위치, ICP 등록 완료 → 데이터/메타데이터가 국외를 경유하지 않아 규정 준수에 문제 없음
당사가 자체 개발한 sTrust 제로 트러스트는 바로 이 방식으로 설계되었습니다. SaaS로 개통하고, 하드웨어 구매가 필요 없으며, 5분이면 도입이 완료됩니다. 원격 접속 부분을 “감점 항목”에서 “가점 항목”으로 바꿔 줍니다. 이미 TongTech 등 기업에 서비스를 제공하고 있으며, 데이터는 알리바바 클라우드 베이징 데이터센터에 저장되고 감사 로그는 기본으로 보관됩니다.
자주 묻는 질문
Q: 원격 접속만 개선하면 MLPS 심사를 통과할 수 있나요?
A: 아닙니다. MLPS는 체계적인 심사로(호스트, 네트워크, 관리 제도 등 모두 포함), 원격 접속은 중소기업에서 가장 흔한 감점 항목 중 하나입니다. 이 부분을 제로 트러스트로 보완하면 큰 결점 하나를 없앨 수 있습니다. 나머지 항목도 평가 기관과 함께 정리해 드릴 수 있습니다.
Q: 개선 과정에서 업무를 중단하거나 내부망을 개조해야 하나요?
A: 거의 그럴 필요가 없습니다. 제로 트러스트는 기존 네트워크 위에 얹는 접속 계층으로, 직원이 새 클라이언트로 로그인하기만 하면 되고 내부망 구조는 그대로 유지되어 원활하게 전환됩니다.
Q: 이 작업이 당사 IT 업무를 대체하게 되나요?
A: 아닙니다. 저희는 기업 IT와 함께 규정 준수 부분을 실행합니다. 솔루션을 제시하고, 정책을 설정하고, 평가 기관과 연계합니다. IT가 담당해야 할 업무는 그대로 유지되고, 저희는 외부 지원으로서 보안이라는 취약 부분을 보완합니다.
MLPS 심사를 통과하기 위해 원격 접속을 한 번에 해결하고 싶으신가요?
sTrust 제로 트러스트는 제어 평면이 전부 국내에 있고, MLPS 심사를 통과할 수 있으며, 감사 로그를 제공합니다. 5명 30일 무료 체험: strust.siwenlide.com, 전화 400-686-2011.
