제로트러스트 가이드라인 2.0 공개…도입 절차·방법론 보강

과기정통부·KISA 마련…4단계로 구체화한 성숙도 모델’ 정의

기업망 구성 핵심요소 역량 및 성숙도 수준별 특징 설명

[서울=뉴시스] 과학기술정보통신부와 한국인터넷진흥원(KISA)이 '제로트러스트 가이드라인 2.0'을 발표했다. (사진=제로트러스트 가이드라인 2.0 보고서) *재판매 및 DB 금지

[서울=뉴시스]심지혜 기자 = 정부가 '제로트러스트'를 도입하려는 기업들을 지원하기 위해 검토해야 할 사항과 도입 후 보안 수준 및 효과성 분석 방향을 담은 가이드라인을 새롭게 내놨다.

과학기술정보통신부는 한국인터넷진흥원(KISA)과 '제로트러스트 가이드라인 2.0'을 마련했다고 3일 밝혔다.

제로트러스트는 정보시스템 등에 대한 접속 요구가 있을 때 네트워크가 이미 침해된 것으로 간주해 '절대 믿지 말고, 계속 검증하라'는 기조를 담은 새로운 보안 개념이다.

기존의 보안 모델은 네트워크의 내·외부를 구분해 내부자에게 암묵적인 신뢰를 부여하는 ‘경계기반’ 보안 방식이었다. 하지만 인공지능(AI)·클라우드와 같은 새로운 디지털 기술 활용, 재택·원격 근무의 확산으로 기존 보안 모델이 한계를 보임에 따라 보안의 근본적인 패러다임 전환이 필요한 상황이 됐다.

[서을=뉴시스] 제로트러스트 보안 모델 및 구성요소. (사진=과기정통부 제공) *재판매 및 DB 금지

과기정통부는 2023년 7월 제로트러스트 보안 모델의 확산 촉진을 위해 가이드라인 1.0을 발표했다. 기본 개념과 원리, 핵심 원칙 등에 대한 설명을 주요 내용으로 한다.

또한 가이드라인에서 제시한 제로트러스트 보안 보델을 실제 기업환경에 적용하고 검증하는 실증·시범사업을 진행해 국산 제로트러스트 보안 모델의 확산 기반을 마련해 왔다.

제로트러스트 도입 수준 진단…역량 강화 방법론 제시

이번에 발표한 제로트러스트 가이드라인 2.0은 제로트러스트 보안 모델에 대한 개념 소개와 인식 제고를 넘어 실제 기업에서 도입하고 활용하는데 실질적인 도움이 될 수 있도록 하는 데 초점을 맞췄다.

미국 등 해외 최신 정책 문서(전략, 지침 등)를 참고하고 제로트러스트 기존 실증사업 결과를 포함해 도입을 위한 세부 절차와 방법론을 보강하는 등 제로트러스트 보안모델 도입·적용을 희망하는 수요자 관점에서 구성했다고 과기정통부는 설명했다.

우선 각 기업이 제로트러스트 보안 모델을 도입하고자 할 때 현재 수준을 진단·분석하거나 목표를 설정하고 검증하는 데 활용할 수 있도록 기존 3단계에서 4단계로 구체화된 ‘성숙도 모델’을 정의했다.

조직의 보안 위협 대응 능력을 향상시키고 변화하는 사이버 위협 환경에 효과적으로 적응하는 것은 물론 체계적인 로드맵을 마련할 수 있도록 지원한다. 이를 통해 구체화된 개선과 최적화 가능할 것으로 보인다.

기업망을 구성하는 핵심요소에 대한 세부역량과 성숙도 수준별 특징을 설명하고 평가를 위한 체크리스트 제공 및 향상 방안을 제시했다.

특히 단순히 제로트러스트의 기술적 방안을 설명하는 데 그치지 않고, 단계별 고려사항, 조직의 역할, 로드맵 수립을 위한 구체적 방법론과 예시까지 포함했다. 이를 통해 도입을 위한 준비부터 실제 운영·정착까지 도움이 될 수 있도록 했다.

류제명 과기정통부 네트워크정책실장은 "사이버 침해가 갈수록 고도화되고 다양한 디지털 신기술의 확산으로 기업의 보안 관리 포인트가 급격히 증가하는 상황에서 제로트러스트 보안 체계 전환은 시급하다"고 강조했다.

이어 "이번 가이드라인이 앞으로 각 산업 분야의 제로트러스트 보안 모델 도입을 위한 구체적 실무 진행의 좋은 참고서가 될 것으로 기대한다"면서 "정부는 앞으로도 지속적으로 국내 기업의 제로트러스트 확산을 지원하겠다"고 말했다.


◎공감언론 뉴시스 [email protected]