기업 네트워크 개편에서 제로 트러스트가 적용되는 3가지 전형적 단계

1단계：자산 현황을 먼저 파악하고, 그다음 신원 거버넌스를 논하다

제로 트러스트는 처음부터 장비를 사고 소프트웨어를 설치하는 것이 아니라, ‘당신이 누구인가’라는 문제를 철저히 규명하는 것입니다. 저는 자사에 서버가 몇 대인지, 업무 계정이 몇 개인지조차 명확히 설명하지 못하면서 서둘러 제로 트러스트를 도입했다가 돈만 낭비한 기업을 너무 많이 봤습니다.

가장 먼저 할 일은 자산 실사입니다. 서버와 PC뿐만 아니라 각종 업무 시스템의 계정도 포함됩니다. 일부 오래된 시스템은 담당자조차 찾을 수 없는데 계정은 여전히 살아 있습니다. 이런 ‘유령 계정’이 가장 큰 보안 위험입니다. 실사 후에는 단말 지문 데이터베이스를 구축하여 각 단말의 MAC 주소, 운영체제 버전, EDR 설치 여부를 모두 기록해야 합니다. 이 단계를 마쳐야 비로소 진정한 신원 식별 단계로 넘어갈 수 있습니다.

식별이 끝나면 인증입니다. 전통적인 사용자 이름과 비밀번호는 너무 취약하므로 반드시 MFA를 도입해야 합니다. 다중 인증 정책 설계에는 노하우가 필요합니다. 핵심 시스템에는 하드웨어 키 또는 모바일 보안 토큰을 사용하고, 일반 업무 시스템에는 TOTP 일회용 비밀번호로 충분합니다. VPN과 메일 시스템부터 시작하는 것을 권장합니다. 저항이 가장 적고 직원들도 쉽게 받아들입니다. 추진할 때는 갑작스럽게 진행하지 말고 2주 전에 공지하고 IT 부서가 현장 지원을 준비하도록 하십시오.

2단계：권한 부여는 ‘전면 허용’에서 ‘필요 기반’으로

인증은 ‘당신이 정말 당신인가’를 확인하는 것이고, 권한 부여는 ‘당신이 무엇을 할 수 있는가’를 정하는 것입니다. 많은 기업의 현실은 내부 네트워크에 들어가면 전면 허용되어 OA 시스템, 재무 시스템, 연구개발 환경을 마음대로 돌아다닐 수 있다는 점입니다. 경계가 모호해진 오늘날 이러한 방식은 극히 위험합니다.

제로 트러스트의 권한 부여 논리는 ‘최소 권한’입니다. 구체적으로 어떻게 실행할까요? 먼저 업무 시스템을 민감도에 따라 등급을 나눕니다. 예를 들어 연구개발 코드 저장소와 재무 시스템은 고민감도, OA와 메일은 중민감도, 사내 위키는 저민감도입니다. 고민감도 시스템은 MFA 인증을 거치고 단말이 규정을 준수하는 사용자에게만 접근을 허용하고, 중민감도 시스템은 부서와 직급에 따라 허용하며, 저민감도 시스템은 다소 완화하되 기록은 남겨야 합니다.

정책 엔진은 이 메커니즘의 핵심입니다. sTrust의 정책 엔진은 사용자, 단말, 위치, 시간에 기반한 동적 평가를 지원하며, 흑백 논리의 이분법적 판단이 아닙니다. 예를 들어 어떤 직원이 ‘정상 근무 시간’ ‘회사 단말’ ‘베이징 IP 대역’ 세 가지 조건을 동시에 충족하면 바로 허용할 수 있습니다. 그러나 개인 노트북으로 외지에서 로그인하는 경우 시스템은 2차 인증을 요구하거나 접근 권한을 즉시 하향 조정합니다. 이러한 유연성은 전통적인 VPN이 할 수 없는 것입니다.

권한 부여는 유효 기간도 고려해야 합니다. 한 번의 권한 부여가 영구 권한을 의미하지는 않습니다. 저희가 고객 솔루션을 설계할 때 권장하는 것은 일반 업무 권한은 유효 기간 3개월, 민감 시스템 권한은 1개월로 하고 만료 시 자동으로 검토 후 갱신하는 것입니다. ‘직원이 퇴사했는데 권한이 남아 있는’ 전형적인 상황을 피해야 합니다.

3단계：지사 암호화와 지속적 감사를 함께 갖춰야

본사는 잘 갖췄는데 지사는 어떻게 할까요? 많은 기업의 지사와 사무소가 전통적인 VPN으로 접속하며 트래픽은 암호화되지 않고 단말도 관리되지 않아, 본사 방화벽 밖에 또 하나의 구멍을 열어둔 셈입니다. 지사 암호화는 제로 트러스트 전환에서 간과되기 쉽지만 대단히 중요한 부분입니다.

지사의 네트워크 환경이 양호하다면 전용선급 암호화 채널을 구축하여 지사 트래픽과 본사를 연결하고 접근 정책을 통합 관리하는 방안을 고려할 수 있습니다. IT 인력이 부족한 소규모 사이트에는 클라우드 프록시 방식을 권장합니다. 트래픽은 가장 가까운 POP 지점에 근접 접속하고 암호화되어 클라우드로 전송된 후 다시 전달되므로, 지사 전산실에 장비를 쌓아둘 필요가 없습니다.

어떤 방식이든 감사 로그는 완전하게 보존해야 합니다. 제로 트러스트의 핵심 가치 중 하나는 ‘모든 접근에 기록이 남는다’는 것입니다. 로그에는 누가, 언제, 어느 IP에서, 어떤 단말로, 어떤 자원에 접근했고 결과가 어땠는지가 포함되어야 합니다. 이 데이터는 규정 준수 요구사항일 뿐만 아니라 사후 추적의 근거입니다. 저는 한 기업이 랜섬웨어 공격을 당한 후에야 공격자가 석 달 전부터 퇴사한 직원의 계정으로 OA 시스템에 로그인했었다는 사실을 알게 된 사례를 봤습니다. 당시 완전한 감사 로그가 있었다면 조사 시간을 훨씬 줄일 수 있었을 것입니다.

감사는 ‘로그를 얼마나 보관할 것인가’라는 문제도 해결해야 합니다. 기업 데이터가 빠르게 증가하므로 로그 저장 비용을 무시할 수 없습니다. 저희는 보통 3개월 이내의 고빈도 접근 핫 데이터는 로컬에 저장하고, 7일 이내의 전체 로그는 신속하게 조회하며, 3개월을 초과한 로그는 아카이브 스토리지로 전환하여 비용을 60% 이상 절감할 것을 권장합니다.

도입 일정：3개월 안에 3단계 완료

많은 기업이 전환에 얼마나 걸리는지 궁금해합니다. 제 경험으로는 3개월이면 핵심 전환을 완료하기에 충분하며, 반년이나 1년의 장기전으로 끌 필요가 없습니다.

1. 첫 번째 달: 신원 거버넌스 단계. 자산 실사, 단말 지문 수집, MFA 도입을 완료합니다. 이 달이 가장 지루하지만 가장 중요하며, 이후 모든 작업의 기초 품질을 결정합니다.
2. 두 번째 달: 권한 부여 전환 단계. 정책 엔진을 가동하고 핵심 시스템부터 운영합니다. 이 달에는 많은 역사적 잔존 문제가 드러나므로 마음의 준비가 필요합니다.
3. 세 번째 달: 지사 암호화와 감사 체계 정비 단계. 지사 사이트 전환을 마무리하고 로그 체계를 완성합니다. 마무리 단계에서는 초기에 놓친 세부 사항을 종종 발견하게 되는데, 제때 보완하면 됩니다.

일정에 대한 작은 제안이 있습니다. 각 단계가 끝날 때마다 소규모 회고를 하여 목표를 달성했는지 확인하고, 모든 작업이 끝날 때까지 기다렸다가 문제를 발견하지 마십시오. 베이징은 속도가 빠르고 기업은 기다릴 수 없으며, 프로젝트 기간이 길어질수록 변수가 많아집니다.

제로 트러스트 전환은 일회성 프로젝트가 아니라 지속적 운영 과정입니다. 시스템 가동은 시작일 뿐이며, 이후의 정책 최적화, 로그 분석, 위협 대응이 진정한 일상 업무입니다. 지속적인 서비스 역량을 갖춘 파트너를 선택하는 것이 중요합니다. 제품 기능만 보지 말고 이후의 대응 속도가 관건입니다.