제로 트러스트는 '아무도 믿지 않는다'는 뜻일까요: 경계형 보안과 무엇이 다른지 구조로 정리

제로 트러스트라는 말, 왜 이렇게 막막하게 들릴까요

회의에서 '우리도 제로 트러스트로 가야 한다'는 말이 나오면 고개는 끄덕이는데 속으로는 물음표가 뜨죠. 이름만 들으면 직원도 협력사도 전부 의심하라는 말처럼 들리고, 한편으로는 큰 예산이 드는 새 장비 이야기처럼도 들려요. 이 글은 그 막막함을 풀기 위해 제로 트러스트가 바꾸려는 전제 하나를 짚고, 무엇부터 보면 되는지 순서로 정리해 드릴게요.

먼저 이름부터 정리할게요. 제로 트러스트는 특정 제품의 이름이 아니라 보안을 설계하는 원칙의 이름이에요. 핵심 문장은 짧아요. '네트워크 안쪽에 있다는 사실만으로 신뢰를 주지 않고, 접근할 때마다 확인한다.' 여기서 '아무도 믿지 않는다'가 아니라 '위치만으로는 믿지 않는다'로 읽는 것이 출발점이에요.

경계형 보안은 무엇을 전제로 했나: 성벽과 성 안

제로 트러스트를 이해하려면 그 이전의 방식을 먼저 보는 게 빨라요. 오랫동안 기업 보안은 성벽 모델에 가까웠어요. 회사 네트워크라는 성 안과 인터넷이라는 성 밖을 나누고, 방화벽 같은 경계 장치로 성문을 지키는 방식이에요. 성문을 통과해 안으로 들어온 사용자와 기기는 비교적 넓게 믿어 주는 구조였고요.

이 방식은 사람과 자료가 대부분 사무실 안에 있던 시절에는 잘 맞았어요. 근데 말이죠, 일하는 방식이 달라지면서 성벽이 흐려졌어요. 집이나 출장지에서 접속하는 원격 근무, 회사 밖에 놓인 클라우드 서비스, 개인 스마트폰으로 여는 업무 메일, 외부 협력사의 접속까지 생기면서 '안'과 '밖'의 선을 긋기가 어려워졌거든요. 방화벽 글에서 다룬 것처럼 경계 장치는 지금도 중요한 역할을 하지만, 경계만으로 판단할 수 있는 범위가 좁아진 거예요.

경계형 모델의 약점은 한 번 안으로 들어오면 옆으로 넓게 움직일 수 있다는 점이에요. 피싱으로 직원 한 명의 계정이 도용되면, 그 계정은 성 안의 정상 사용자처럼 보여요. 공격 기법의 세부가 아니라 구조의 문제라서, 이 지점을 어떻게 좁히느냐가 제로 트러스트가 답하려는 질문이에요.

같은 기준으로 나란히 보면 달라지는 네 가지

이게 왜 중요하냐면요, 두 방식의 차이를 막연한 인상이 아니라 같은 기준으로 비교해 두면 회의에서도 문서에서도 설명이 훨씬 쉬워지거든요. 아래는 흔히 쓰이는 네 가지 기준으로 두 방식을 나란히 놓은 정리예요.

• 믿음의 근거 — 경계형은 '회사 네트워크 안에서 접속했는가'를 크게 봐요. 제로 트러스트는 위치보다 '확인된 사용자인가, 관리되는 기기인가, 이 요청이 평소 업무와 맞는가'를 함께 봐요.
• 확인 시점 — 경계형은 성문을 들어설 때 한 번 확인하고 넓게 통과시키는 편이에요. 제로 트러스트는 중요한 자원에 접근할 때마다, 상황이 바뀔 때마다 다시 확인하는 쪽이에요.
• 권한 범위 — 경계형은 안에 들어오면 여러 시스템이 보이는 넓은 권한이 되기 쉬워요. 제로 트러스트는 업무에 필요한 자원만 보이게 좁히는 최소 권한을 기본값으로 둬요.
• 기록과 판단 — 경계형은 성문 통과 기록이 중심이에요. 제로 트러스트는 누가 무엇에 접근했는지를 계속 남기고, 그 기록을 다음 접근 판단의 근거로 다시 써요.

자주 헷갈리는 오해 세 가지와 실제 모습

첫 번째 오해는 '직원을 믿지 않는 문화'라는 생각이에요. 실제로는 반대에 가까워요. 사람을 의심하는 게 아니라 계정이 도용될 수 있고 기기가 감염될 수 있다는 현실을 설계에 반영하는 거예요. 확인이 자동으로 이뤄지도록 잘 설계되면 사용자는 오히려 덜 번거롭고, 사고가 나도 피해 범위가 좁아서 개인이 떠안는 부담도 줄어요.

두 번째 오해는 '제품을 도입하면 완성된다'는 생각이에요. 시장에는 제로 트러스트라는 이름을 단 제품이 많지만, 원칙 전체를 제품 하나가 대신하지는 않아요. 계정 관리, 기기 관리, 권한 설계, 기록 확인이라는 여러 층이 함께 움직여야 해서, 도구는 그 층을 돕는 수단으로 보는 편이 정확해요. 어떤 제품이 맞는지는 조직의 구조에 따라 달라서 이 글에서는 비교하지 않아요.

세 번째 오해는 '방화벽이나 VPN은 이제 필요 없다'는 생각이에요. 경계 장치는 사라지는 게 아니라 여러 겹 중 하나로 자리가 바뀌는 거예요. 성벽을 허무는 게 아니라, 성벽 안의 방마다 문을 달고 출입 기록을 남기는 쪽으로 보강한다고 그리시면 가까워요.

공식 자료로 개념을 더 확인하고 싶으시다면, 과학기술정보통신부와 한국인터넷진흥원(KISA)이 공개한 제로 트러스트 가이드라인이 좋은 출발점이에요. 해외에서는 미국 국립표준기술연구소(NIST)의 제로 트러스트 아키텍처 문서가 자주 인용되고요. 판이 바뀌며 내용이 보완되어 와서, 각 기관 누리집에서 최신본을 확인하시면 돼요.

우리 조직은 어디서부터: 상황별 첫 단계

제로 트러스트는 한 번에 전환하는 프로젝트라기보다 방향이에요. 지금 갖춘 것에 따라 첫 단계가 다르니, 아래에서 가장 가까운 상황을 골라 보세요.

• 작은 조직, 클라우드 업무 도구를 주로 쓰는 경우 — 모든 계정에 2단계 인증을 켜고, 퇴사자·휴면 계정을 정리하는 것부터가 제로 트러스트의 첫걸음이에요. '사용자 확인' 층이 가장 큰 효과를 내요.
• 사내 서버와 VPN으로 원격 접속하는 경우 — VPN에 붙으면 내부 전체가 보이는 구조인지 먼저 확인해 보세요. 업무별로 접근 가능한 시스템을 나누는 권한 정리가 첫 단계로 잘 맞아요.
• 개인 기기로 업무를 보는 일이 많은 경우 — 어떤 기기가 업무 자료에 접근하는지 목록을 만드는 것부터 시작해요. 목록이 있어야 '관리되는 기기인가'라는 질문에 답할 수 있어요.
• 외부 협력사 접속이 잦은 경우 — 협력사 계정의 사용 기간과 접근 범위를 정해 두고, 끝나면 회수하는 절차를 만드는 것이 먼저예요. 위탁·공급망 관리 글의 내용과 자연스럽게 이어져요.

정리: 이미 아는 기본기를 한 방향으로 엮는 일

제로 트러스트는 새로운 마법이 아니라 계정 확인, 최소 권한, 기기 관리, 기록이라는 익숙한 기본기를 '위치로 믿지 않고 접근마다 확인한다'는 한 방향으로 엮는 설계 원칙이에요. 그래서 이미 2단계 인증을 켜고 권한을 정리해 온 조직이라면 생각보다 많이 와 있는 거예요.

이제 이렇게 하시면 돼요. 첫째, 우리 조직에서 '안에 있으니 믿어 주는' 지점이 어디인지 한 줄씩 적어 봐요. 둘째, 위의 상황별 첫 단계 중 하나를 골라 작게 시작해요. 셋째, 누가 무엇에 접근했는지 기록이 남는지 확인해요. 이 세 가지만 정리해도 제로 트러스트가 막연한 유행어가 아니라 우리 조직의 다음 할 일 목록으로 바뀌어요. 방향이 보이면 예산 이야기도, 제품 이야기도 훨씬 차분하게 할 수 있어요.