제로 트러스트 아키텍처(Zero Trust Architecture, ZTA)는 네트워크 내부와 외부 모두를 신뢰하지 않고, 모든 접근 요청을 매번 검증하는 'Never Trust, Always Verify' 원칙의 보안 모델입니다. 2010년 포레스터의 존 킨더백(John Kindervag)이 개념을 제시했고, 2020년 NIST SP 800-207 표준으로 정립됐으며, 구글 BeyondCorp 도입과 2021년 미국 행정명령 EO 14028로 글로벌 표준이 됐습니다. 클라우드·원격 근무·SaaS 확산으로 사라진 네트워크 경계를 대체하는 차세대 기업 보안 패러다임입니다.
목차
- 원격 근무 전환에서 만난 제로 트러스트의 효용
- 경계 보안의 종말과 제로 트러스트 등장 배경
- 제로 트러스트 아키텍처란 무엇인가
- NIST SP 800-207 핵심 7원칙
- 구글 BeyondCorp와 기업 도입 사례
- 한국 기업의 제로 트러스트 도입 단계
- FAQ
- 같이 읽으면 좋은 것들
원격 근무 전환에서 만난 제로 트러스트의 효용
2021년 봄, 국내 한 IT 서비스 기업의 보안팀에 외부 컨설팅을 들어간 적이 있었습니다. 코로나로 원격 근무가 본격화되면서 VPN 동시 접속 한도가 매일 오전 9시 30분에 한계를 치고, 영업팀 사원이 사내 시스템에 접속을 못 해 30분씩 대기하는 상황이 한 달 넘게 이어진 시점이었습니다. VPN 라이선스를 두 배로 증설하자는 안이 올라왔지만, 그 비용보다 더 큰 문제는 따로 있었습니다. VPN 안으로 들어온 누구든 사내 네트워크 전체에 접근 가능한 구조였고, 한 번 자격이 탈취되면 전사 시스템이 다 위험에 빠지는 모델이었습니다.
그때 컨설팅 결과로 제안한 게 ZTNA(Zero Trust Network Access) 전환이었습니다. 6개월 동안 IDP(Identity Provider) 통합·디바이스 위생 검증·앱별 접근 정책 분리를 단계적으로 도입했더니, VPN을 완전히 걷어내고 모든 사내 앱에 클라우드 게이트웨이로 접근하는 구조가 만들어졌습니다. 동시 접속 한도 문제가 사라졌고, 사원이 어디서 접속하든 노트북·신원·요청 컨텍스트를 함께 검증하니까 보안팀의 가시성도 오히려 좋아졌습니다.
가장 인상적인 사건은 도입 4개월 차에 일어난 피싱 사고였습니다. 한 사원이 가짜 로그인 페이지에 자격을 입력했는데, 평소와 다른 지역·다른 디바이스에서 접근 시도가 들어오자 ZTNA가 자동으로 차단했고, MFA 푸시 알림이 사원 휴대전화로 가서 본인이 거부 버튼을 눌렀습니다. 만약 전통적 VPN이었다면 자격 탈취가 곧 사내 네트워크 진입을 의미했을 텐데, 제로 트러스트 구조에서는 자격 하나 탈취된 것만으로는 아무 일도 일어나지 않는다는 걸 실전으로 확인한 사례였습니다.
경계 보안의 종말과 제로 트러스트 등장 배경
전통적 기업 보안 모델은 "성벽과 해자(castle-and-moat)" 비유로 자주 설명됩니다. 회사 네트워크 경계에 방화벽·IPS·게이트웨이를 두텁게 세우고, 일단 그 안에 들어온 사용자·디바이스는 신뢰하는 구조였습니다. 1990년대부터 2010년대 초까지는 이 모델이 작동했습니다. 직원은 사무실에서만 일했고, 시스템은 사내 데이터센터에 있었으며, 외부 접근은 VPN을 통해 제한적으로 이뤄졌습니다.
문제는 2010년대 중반부터 IT 환경이 근본적으로 바뀐 데서 시작됐습니다. 첫째, 클라우드 전환이 일어났습니다. SaaS·IaaS 도입으로 회사 자산이 더 이상 사내 네트워크 안에만 있지 않게 됐습니다. 둘째, 모바일·BYOD로 직원이 어디서든 어떤 기기로든 일했습니다. 셋째, SaaS 폭증으로 평균 기업이 사용하는 SaaS가 100개를 넘어섰습니다. 넷째, 결정타는 2020년 코로나 원격 근무 전환이었습니다. 모든 직원이 갑자기 외부에서 일하기 시작하니까 경계 모델이 사실상 무너졌습니다.
게다가 사이버 공격의 양상도 변했습니다. 2013년 타깃(Target) 사가 HVAC 협력사 자격 탈취로 1억 1000만 명의 카드 정보를 잃은 사건, 2020년 솔라윈즈(SolarWinds) 공급망 공격으로 미국 정부 18개 기관과 포춘 500 기업이 침투당한 사건, 2021년 콜로니얼 파이프라인 랜섬웨어 사건이 연이어 터졌습니다. 공통점은 모두 "경계 안으로 들어온 자격을 신뢰한 게 화근"이었다는 점입니다.
존 킨더백이 2010년 포레스터 보고서 No More Chewy Centers에서 제로 트러스트 개념을 처음 정리했고, 구글이 2009년 오로라(Aurora) 공격 이후 내부적으로 시작한 BeyondCorp 프로젝트를 2014년부터 공개하면서 실전 사례가 누적됐습니다. 2020년 NIST가 SP 800-207로 표준 문서를 발표하고, 2021년 5월 바이든 행정부가 행정명령 EO 14028로 연방기관 제로 트러스트 의무화를 명령하면서 제로 트러스트는 선택이 아닌 표준이 됐습니다.
제로 트러스트 아키텍처란 무엇인가
제로 트러스트는 단일 제품이 아니라 보안 전략·아키텍처입니다. 핵심 원칙은 단순합니다. 네트워크 위치(사내·외부)만으로 신뢰하지 않는다. 모든 접근 요청은 매번 검증한다. 사용자·디바이스·요청 컨텍스트를 종합해 동적으로 결정한다.
기존 경계 모델과 비교하면 발상의 전환이 분명해집니다.
| 비교 항목 | 경계 모델 | 제로 트러스트 |
|---|---|---|
| 신뢰 기준 | 네트워크 위치 (사내 IP) | 신원·디바이스·컨텍스트 |
| 검증 시점 | 진입 시 1회 | 모든 요청마다 |
| 접근 범위 | 광범위 (네트워크 단위) | 최소 권한 (앱·리소스 단위) |
| 가시성 | 경계 내부 블랙박스 | 모든 트래픽 로깅 |
| 사고 차단 | 경계 침해 시 무력 | 횡적 이동 제한 |
제로 트러스트의 핵심 구성 요소는 보통 5가지로 정리됩니다.
- 신원(Identity): IDP·MFA·SSO를 통해 사용자를 강력히 인증
- 디바이스(Device): 디바이스 상태·패치·EDR 신호를 검증
- 네트워크(Network): 마이크로세그멘테이션으로 횡적 이동 차단
- 애플리케이션(Application): 앱별 접근 정책 분리
- 데이터(Data): 분류·암호화·DLP로 데이터 보호
이 5개 축을 모두 강화하면서 정책 결정 엔진(Policy Engine)이 매 요청마다 "이 사용자가 이 디바이스로 이 시간에 이 리소스에 접근해도 되는가"를 실시간 판단하는 구조입니다.
NIST SP 800-207 핵심 7원칙
NIST(미국 국립표준기술연구소)가 2020년 8월 발표한 SP 800-207이 사실상 글로벌 제로 트러스트 표준 문서입니다. 7가지 핵심 원칙(tenets)을 제시합니다.
7대 원칙 요약
- 모든 데이터 소스와 컴퓨팅 서비스는 리소스로 간주한다.
- 모든 통신은 네트워크 위치와 무관하게 보안된다. (내부망 트래픽도 암호화)
- 개별 기업 리소스 접근은 세션 단위로 부여한다. (한 번의 인증이 영구 권한이 아님)
- 리소스 접근은 동적 정책으로 결정한다. (사용자·디바이스·요청 속성을 종합)
- 모든 자산의 무결성과 보안 상태를 모니터링한다.
- 모든 리소스 인증·인가는 동적으로, 접근 허용 전에 엄격히 시행한다.
- 자산·네트워크·통신 상태에 대한 정보를 최대한 수집해 보안 태세 개선에 활용한다.
이 원칙들을 구현하는 논리적 컴포넌트로 NIST는 PE(Policy Engine), PA(Policy Administrator), PEP(Policy Enforcement Point) 세 가지를 정의합니다. PE는 결정을 내리고, PA는 그 결정을 시스템에 전달하며, PEP는 실제 트래픽을 통과시키거나 차단하는 게이트웨이 역할을 합니다.
CISA 제로 트러스트 성숙도 모델
미국 사이버보안인프라보안국(CISA)은 2023년 Zero Trust Maturity Model v2.0을 발표하면서 신원·디바이스·네트워크·앱·데이터 5개 축마다 4단계 성숙도(Traditional·Initial·Advanced·Optimal)를 정의했습니다. 기업이 자사 현재 위치를 진단하고 다음 단계로 가는 로드맵을 짤 때 표준 도구로 쓰입니다.
구글 BeyondCorp와 기업 도입 사례
구글 BeyondCorp: 제로 트러스트의 첫 대규모 실전
구글이 2009년 중국발 오로라 공격으로 소스코드 일부가 유출되는 사건을 겪은 뒤, 내부적으로 시작한 게 BeyondCorp 프로젝트입니다. 핵심 발상은 "VPN을 없애고, 모든 직원이 인터넷에서 직접 사내 앱에 접속하게 한다. 대신 모든 요청을 신원·디바이스 검증을 거친다"였습니다.
5년에 걸친 전환 끝에 구글은 2014년부터 BeyondCorp 논문을 시리즈로 공개했고, 2017년 무렵 약 8만 5천 명 직원 전원이 VPN 없이 일하는 환경으로 완전히 이동했습니다. 디바이스 인벤토리·신뢰 등급 시스템·액세스 프록시 3축이 뼈대였고, 이게 후속 ZTNA 제품(Cloudflare Access·Zscaler ZPA·Palo Alto Prisma Access·Akamai EAA 등)의 청사진이 됐습니다.
마이크로소프트 Zero Trust Adoption: 글로벌 표준화
마이크로소프트는 2019년부터 자사 Azure AD·Defender·Intune 기반 제로 트러스트 스택을 패키지화해서 전 세계 기업에 보급하고 있습니다. Forrester의 2023년 조사에서 글로벌 기업 1,500개 중 약 61%가 "제로 트러스트 전략을 공식 채택했다"고 답했고, 이 중 절반 가까이가 마이크로소프트 스택 일부를 사용하고 있는 것으로 나타났습니다.
Coinbase: 제로 트러스트 + DevOps 통합
암호화폐 거래소 Coinbase는 2022년 보안 블로그에서 제로 트러스트 도입 사례를 공개하면서 "코드형 정책(Policy as Code)"을 강조했습니다. 모든 접근 정책을 Git 저장소에 정의하고, PR 리뷰를 거쳐 머지하면 자동으로 PEP에 배포되는 구조입니다. 정책 변경의 감사 추적이 깔끔하고, 보안과 DevOps가 같은 워크플로를 공유한다는 게 장점이었습니다.
한국 기업의 제로 트러스트 도입 단계
국내 기업의 제로 트러스트 도입은 2022년부터 본격화됐습니다. 과학기술정보통신부와 KISA가 2023년 제로트러스트 가이드라인 1.0을 발표하고 2024년에는 가이드라인 2.0으로 업그레이드하면서 공공·금융권 도입이 가속됐습니다. 금융보안원도 2024년 금융권 제로 트러스트 도입 권고안을 마련해 시중은행·증권사의 보안 아키텍처 전환을 유도하고 있습니다.
민간 기업에서는 네이버·카카오·쿠팡·토스 같은 빅테크가 BeyondCorp 모델을 자체 구현해 운영 중이고, 대기업·중견기업은 Cloudflare Zero Trust·Zscaler·Cato Networks 같은 SASE/ZTNA 서비스를 도입하는 흐름이 뚜렷합니다.
실전 가이드: 제로 트러스트 도입 4단계
- 가시성 확보: 자산·신원·트래픽·디바이스 인벤토리를 먼저 만듭니다. 보이지 않는 걸 보호할 수 없습니다.
- 신원 강화: IDP 통합·MFA 의무화·SSO 적용으로 신원 기반을 다집니다. 가장 ROI가 높은 첫 단계입니다.
- 최소 권한 적용: VPN을 ZTNA로 대체하고, 앱별 접근 정책을 분리합니다. 횡적 이동 차단 효과가 큽니다.
- 지속 모니터링·정책 자동화: 모든 요청을 로깅하고, SIEM·UEBA로 이상 행위를 탐지하며, 정책을 코드화해 자동 배포합니다.
흔히 빠지는 함정
도입 과정에서 자주 보이는 실수가 두 가지 있습니다. 첫째, "제로 트러스트 제품 하나 사면 끝"이라는 오해입니다. 제로 트러스트는 아키텍처이지 제품이 아니어서, 신원·디바이스·네트워크·앱·데이터 5축을 모두 강화해야 효과가 납니다. 둘째, 점진적 전환 없이 빅뱅 마이그레이션입니다. 한 번에 모든 앱을 ZTNA로 옮기면 운영 충격이 커서 실패 확률이 높아집니다. 보통 1년 이상 단계적 전환이 권장됩니다.
FAQ
제로 트러스트는 VPN을 완전히 대체하나요?
장기적으로는 그렇습니다. ZTNA(Zero Trust Network Access)가 사실상 VPN의 후속 기술입니다. 다만 단기적으로는 공존하는 경우가 많은데, 기존 레거시 시스템 일부는 ZTNA 적용이 어려워 VPN을 유지하거나, 점진적 전환 단계에서 두 가지가 병행됩니다. 대부분 기업이 3~5년 로드맵으로 VPN을 단계적으로 걷어내는 흐름입니다.
중소기업도 제로 트러스트를 도입할 수 있나요?
가능하고, 오히려 작은 조직일수록 도입 부담이 적습니다. Cloudflare Zero Trust나 Google BeyondCorp Enterprise처럼 사용자당 월 7~15달러 수준의 SaaS형 ZTNA가 많이 나와 있어, 별도 인프라 투자 없이 시작할 수 있습니다. 핵심은 IDP·MFA부터 강화하고 단계적으로 확장하는 것입니다.
제로 트러스트 도입 비용은 얼마나 드나요?
규모와 깊이에 따라 천차만별입니다. SaaS형 ZTNA만 도입하면 사용자당 연 1020만 원대에서 시작할 수 있고, 본격적인 SASE 패키지에 IDP·EDR·DLP까지 통합하면 사용자당 연 50100만 원대로 올라갑니다. 다만 사고 비용 절감·VPN 라이선스 제거·운영 효율 등으로 3~5년 내 ROI가 양전하는 사례가 일반적입니다.
제로 트러스트와 SASE는 어떻게 다른가요?
SASE(Secure Access Service Edge)는 네트워크와 보안을 클라우드에서 통합 제공하는 아키텍처이고, 제로 트러스트는 그 안에서 접근 제어 원칙을 다룹니다. SASE의 보안 측면(ZTNA·SWG·CASB·FWaaS) 중 ZTNA가 제로 트러스트 구현체입니다. 둘은 대립이 아니라 보완 관계로, 대부분 기업이 SASE 도입과 함께 제로 트러스트 원칙을 적용합니다.
제로 트러스트 도입 후 사용자 경험이 나빠지지 않나요?
오히려 좋아지는 경우가 많습니다. VPN 접속 단계가 사라지고, SSO 한 번이면 모든 사내 앱에 바로 접근할 수 있습니다. MFA가 추가되긴 하지만 푸시 알림·생체 인증으로 마찰이 거의 없습니다. 도입 초기에는 정책 튜닝 과정에서 오탐(false positive)이 발생할 수 있어, 사용자 피드백을 받아 정책을 조정하는 운영 절차가 중요합니다.