오늘날 IT 환경은 클라우드, 원격근무, 다양한 디바이스 등으로 복잡해지면서 내부와 외부의 경계가 모호해졌습니다. 이에 따라 내∙외부를 구분하지 않고 모든 사용자와 디바이스, 애플리케이션을 기본적으로 신뢰하지 않는 보안에 원칙을 두는 제로트러스트가 등장했습니다.

지난 수년 동안 기업들은 네트워크의 경계를 중심으로 방화벽이나 침입 탐지 시스템(IDS, IPS), VPN 등으로 외부의 위협을 차단하고 내부는 신뢰할 수 있다는 전제로 설계된 전통적인 보안 방식인 경계 기반 보안(Perimeter-based security)에 주력해 왔습니다. 하지만, 이 방식에는 여러 가지 한계가 존재했습니다.

• 내부 사용자는 기본적으로 신뢰하기 때문에 내부자의 악의적 행동이나 계정 탈취 등에 취약하고 내부 네트워크에 한 번 침입한 공격자는 비교적 자유롭게 활동
• 클라우드, 모바일, 원격 근무, 다양한 디바이스 등과 같은 디지털 혁신으로 네트워크 경계가 점점 불명확
• 피싱, 제로데이 취약점 등 공격 방식의 다양화와 내부를 교란하는 교묘한 기법의 증가
• 하이브리드/멀티 클라우드 환경 사용 증가에 따라 통합 보안 적용이 어렵고 서로 다른 정책과 접근 제어가 혼재

전통적인 보안 기술의 개념을 완전히 뒤바꾼 신개념 보안 전략은 내부와 외부를 포함한 네트워크와 사용자, 기기, 데이터 접근을 지속적으로 인증하고 세밀히 통제함으로써 보안을 강화한다는 개념으로 통합보안의 새로운 패러다임으로 등장한 제로트러스트(Zero Trust)입니다.
미국 국립표준기술연구소 NIST(National Institute of Standards and Technology)가 2020년에 발표한 특별 간행물 800-207에서 기술한 바와 같이 제로트러스트 방식은 아래와 같은 몇 가지 기본 원칙과 구성 요소를 기반으로 합니다.

[Zero Trust 기본 원칙]

• Never Trust, Always Verify : 네트워크 내부든 외부든 모든 요청은 신뢰하지 않고 검증이 필요함
• Least Privilege Access : 최소 권한 원칙을 적용해 사용자가 꼭 필요한 리소스에만 접근하도록 제한
• Assume Breach : 보안 사고는 언젠가 발생한다는 전제로 설계 내부 위협과 수평 이동에 대비

[Zero Trust Architecture 구성 요소]

• Policy Enforcement Point (PEP)
  사용자나 디바이스가 리소스에 접근하기 전에 정책을 적용하고 허용/거부하는 지점
• Policy Decision Point (PDP)
  요청된 접근 권한에 대해 허용 여부를 판단하는 정책 결정 엔진
• Policy Engine (PE) & Policy Administrator (PA)
  -PE : 인증정보, 컨텍스트, 정책을 바탕으로 접근 허용 여부 결정
  -PA :  결정된 정책을 실행하고, PEP에 지시
• Continuous Diagnostics and Mitigation (CDM)
  보안 상태를 실시간으로 모니터링하고 위협을 감지하여 지속적인 위험 평가를 수행

국내 과학기술정보통신부와 한국인터넷진흥원이 2024년 12월 국내 기업이 제로트러스트 보안 모델을 도입하는데 참조할 수 있는 「제로트러스트 가이드라인 2.0」을 발표했습니다. 제로트러스트 가이드라인 1.0은 제로트러스트에 대한 개념과 원칙을 소개했다면, 제로트러스트 가이드라인 2.0은 제로트러스트 성숙도 모델, 도입 절차, 체크리스트 등 실제 기업에서 도입 및 활용하는 데 도움이 되는 내용을 담았습니다.

이니텍에서도 이러한 세계적인 보안 전략 흐름에 발맞춰 미국 국립표준기술연구소 NIST의 제로트러스트 아키텍처의 기본 원칙과 구성요소를 적용하고 KISA 제로트러스트 가이드라인 2.0을 기반으로 한 이니텍 통합보안 제로트러스트 아키텍처를 제시하고 핵심 파트너들과 컨소시엄을 구성했습니다. 컨소시엄은 이니텍, 아스트론, 엠엘소프트, 피앤피시큐어, 큐비트시큐리티가 참여했으며, GRC와 신뢰 평가, ICAM 플랫폼, 분석, 가시성, 리스크 스코어링, XDR 기술을 연계해 도입 기관 맞춤형 제로트러스트 아키텍처를 제시했습니다. 이니텍은 차별화된 PDP, PEP 기능을 기반으로 ICAM 플랫폼을 개발 및 상용화를 추진합니다.

그간 이니텍이 주력해 온 국내 보안 시장을 넘어 약 787억 달러로 추정되는 글로벌 제로트러스트 보안 시장에 도약과 더불어 이니텍은 미래 디지털 혁신에 적합한 제로트러스트 기반의 최적화된 융합보안체계와 보안 전략을 선도할 계획입니다.