제로트러스트 아키텍처 — 핵심 원칙과 경계방어 모델의 차이

Security · 아키텍처·접근통제 · 아키텍처 개념 [정보성]

“사내망에 들어왔으니 믿어도 된다”는 전제를 걷어내면 보안 설계는 어떻게 달라질까요. 제로트러스트는 방어의 무게중심을 네트워크 경계에서 사용자·기기·리소스로 옮기는 설계 사고이고, NIST는 이를 표준 문서로 못 박았습니다.

보안 아키텍처 논의에서 제로트러스트만큼 자주 불리고 또 자주 뭉개지는 말도 드뭅니다. 벤더 자료마다 원칙의 개수가 다르고, 어떤 글은 NIST의 테넷과 Microsoft의 원칙을 한 목록에 섞어 씁니다. 그런데 이 혼란의 대부분은 “누가 정의한 체계인지”를 안 밝힌 데서 옵니다. 제로트러스트는 하나의 제품도, 단일 권위의 단일 목록도 아니라 서로 다른 기관이 각자 정리한 여러 체계가 같은 전제를 공유하는 묶음입니다. 그 전제가 바로 “위치만으로는 신뢰를 주지 않는다”입니다. 이 글은 특정 사건이나 코드를 분석한 글이 아니라, 공개된 표준·공식 문서가 실제로 정의한 뼈대를 출처별로 갈라 정리하는 정보성 티어 정리본입니다.

핵심 사실 요약

공식 정의 — 보호 대상이 네트워크가 아니라 리소스

NIST(미국 국립표준기술연구소)는 특별간행물 SP 800-207 “Zero Trust Architecture”(2020)에서 제로트러스트를 “정적인 네트워크 기반 경계에서 사용자·자산·리소스로 방어의 초점을 옮기는, 진화하는 사이버보안 패러다임의 집합”으로 정의합니다. 제로트러스트 아키텍처(ZTA)는 그 원칙을 실제 기업 인프라와 업무 흐름의 설계에 적용하는 것입니다.

이 문서의 핵심 가정은 한 문장으로 압축됩니다 — 자산이나 계정에 “no implicit trust granted to assets or user accounts”(암묵적 신뢰를 주지 않음), 즉 물리적 위치·네트워크 위치·자산 소유권만으로는 신뢰를 부여하지 않는다는 것입니다. 보호 단위도 달라집니다. 네트워크 세그먼트가 아니라 리소스를 지키며, 네트워크 위치는 더 이상 그 리소스의 보안 상태를 결정하는 주요 변수로 보지 않습니다. (근거: NIST SP 800-207)

용어의 기원과 첫 실装 사례

“Zero Trust”라는 용어는 2010년 Forrester Research의 애널리스트 John Kindervag가 제시한 것으로 널리 귀속됩니다. 함께 인용되는 보고서 제목은 “No More Chewy Centers: Introducing the Zero Trust Model of Information Security”입니다. 널리 쓰이는 표어는 “never trust, always verify” — 기본 신뢰 없이 계속 검증한다는 뜻입니다.

⚠️미확인 — 2010년·Forrester·Kindervag라는 귀속은 확인되지만, 정확한 발표 월(흔히 9월로 인용됨)과 보고서 전체 제목의 원문 대조는 리서치 단계에서 완료되지 못했습니다(원 보고서가 유료·비공개). 이 글은 “2010년 Forrester의 Kindervag에게 널리 귀속된다” 선에서만 서술합니다.

기업이 이 사고를 실제로 구현한 선구 사례로 꼽히는 것이 Google의 BeyondCorp입니다. 첫 논문 “BeyondCorp: A New Approach to Enterprise Security”는 ;login: 39권 6호(2014)에 실렸고, VPN 없이도 신뢰할 수 없는 네트워크에서 일할 수 있도록 접근통제의 기준을 네트워크 경계에서 사용자와 기기로 옮기는 접근을 제시했습니다.

⚠️미확인 — 이 논문의 저자는 통상 Rory Ward와 Betsy Beyer 공저로 인용되나 일부 집계에서 단독 저자로 표기된 사례가 있어, 공저자 확정은 원문 재확인 대상입니다.

NIST의 7대 테넷 — 체계 ①

SP 800-207이 제시하는 제로트러스트의 기본 전제는 7개의 테넷(tenet)입니다. 아래는 원문의 취지를 우리 말로 재구성한 것입니다.

1. 모든 데이터 소스와 컴퓨팅 서비스를 리소스로 본다. 회사 소유 기기만이 아니라 개인 소유 기기(BYOD)까지 포함될 수 있습니다.
2. 네트워크 위치와 무관하게 모든 통신을 보호한다. 원문 표현대로 “Network location alone does not imply trust” — 사내망에서 나온 요청도 외부망 요청과 동일한 보안 요건을 충족해야 합니다.
3. 개별 리소스 접근은 세션 단위로 허용한다. 최소권한(least privilege)으로 부여하며, 한 리소스에 인증했다는 사실이 다른 리소스 접근권을 자동으로 주지 않습니다.
4. 접근은 동적 정책으로 결정한다. 클라이언트 신원, 애플리케이션·서비스, 요청 자산의 관측된 상태를 보고 판단하며 행위·환경 속성까지 포함할 수 있습니다.
5. 보유·연계 자산의 무결성과 보안 상태를 지속적으로 측정한다. “No asset is inherently trusted” — 본래부터 신뢰되는 자산은 없고, 지속 진단과 패치가 전제입니다.
6. 모든 인증·인가는 동적이며 접근 허용 전에 엄격히 집행된다. 다중요소 인증과 지속적인 재인증 사이클이 여기 들어갑니다.
7. 자산·네트워크·통신의 현재 상태 정보를 최대한 수집해 보안 태세 개선에 쓴다. 텔레메트리를 모아 정책으로 되먹입니다.

여기서 파생되는 중요한 결론이 하나 더 있습니다 — 기업 사설망 전체를 암묵적 신뢰구역(implicit trust zone)으로 취급하지 않는다는 것입니다. 공격자가 이미 내부에 있을 수 있다는 전제에 가깝습니다. (근거: NIST SP 800-207)

Microsoft의 3대 원칙 — 체계 ② (NIST 7테넷과 별개)

Microsoft는 자체 문서에서 제로트러스트를 3개 원칙으로 정리합니다 — ① 명시적으로 검증(verify explicitly): 가용한 모든 신호로 인증·인가한다, ② 최소권한 접근: 필요한 만큼, 필요한 시간만 준다, ③ 침해 전제(assume breach): 공격자가 이미 안에 있다고 가정하고 피해 범위를 제한한다.

이 3원칙과 위 NIST 7테넷은 서로 다른 기관의 별개 체계입니다. 상충하는 것은 아니지만, 두 목록을 한 묶음으로 섞어 “제로트러스트의 N가지 원칙”처럼 제시하면 부정확합니다. 인용할 때는 출처를 갈라 쓰는 편이 맞습니다. (근거: Microsoft Learn · NIST SP 800-207)

논리 컴포넌트 — 누가 결정하고 누가 집행하나

SP 800-207은 ZTA를 구현하는 논리 구성요소를 역할로 쪼갭니다.

• 정책 결정 지점(PDP) — 다시 둘로 나뉩니다.
  • 정책 엔진(PE): 접근을 허용·거부·취소할지 최종 결정하는 주체입니다. 지속 진단(CDM)이나 위협 인텔리전스 같은 외부 입력을 신뢰 알고리즘에 넣어 판단하고, 그 결정은 로깅됩니다.
  • 정책 관리자(PA): 주체와 리소스 사이의 통신 경로를 수립하거나 끊는 역할입니다. 세션 인증 토큰을 발급하고, PE의 결정에 따라 집행 지점에 세션 허용·종료를 지시합니다.
• 정책 집행 지점(PEP) — 주체와 리소스 사이의 연결을 실제로 활성화·감시·종료하는 자리입니다. 이 지점 너머가 리소스를 품은 신뢰구역입니다.
• 제어평면(control plane)과 데이터평면(data plane)을 분리합니다. 구성요소 사이의 통신은 제어평면으로, 애플리케이션 데이터는 데이터평면으로 흐릅니다.

판단 입력으로는 지속 진단·규제 준수 요건·위협 인텔 피드·활동 로그·데이터 접근 정책·공개키 기반구조·신원 관리·보안 이벤트 관리(SIEM) 같은 소스가 열거됩니다.

구현 접근법은 세 가지로 제시됩니다 — 강화된 신원 거버넌스를 중심에 두는 방식, 논리적 마이크로세그멘테이션, 네트워크 기반 세그멘테이션. 문서는 완전한 제로트러스트 해법이라면 이 셋의 요소를 모두 포함하게 된다고 서술합니다. (근거: NIST SP 800-207)

전통 경계방어 모델과의 차이

흔히 “성과 해자(castle-and-moat)“라 불리는 전통 모델은 경계 안쪽을 신뢰하고 바깥을 의심합니다. 방화벽과 VPN으로 입구를 지키고, 그 문을 한 번 통과한 주체에게는 내부에서 비교적 넓은 접근을 허용합니다.

Microsoft는 이 전통 모델이 오늘의 위협에는 충분하지 않은 이유를 이렇게 정리합니다 — 현대적 공격은 신원 탈취·피싱·세션 하이재킹을 쓰며 공격자가 어느 네트워크에 있는지에 의존하지 않기 때문입니다. 같은 결론이 NIST 쪽에서도 나옵니다. 둘째 테넷이 사내망 요청에도 외부망과 동일한 보안 요건을 걸기 때문에, “경계 내부”라는 사실 자체가 면제 사유가 되지 못합니다.

참고 — “castle-and-moat”는 업계에서 통용되는 비유이고 NIST 원문의 표현은 아닙니다. 원문은 “정적인 네트워크 기반 경계” 같은 서술을 씁니다.

연방 운영 프레임워크 — CISA의 성숙도 모델

개념을 조직이 실제로 밟아갈 단계로 번역한 것이 CISA(미국 사이버보안·인프라보안국)의 제로트러스트 성숙도 모델(ZTMM)입니다. 현행 버전은 v2.0이고, 미 관리예산국 지침 OMB M-22-09(2022년 1월)에 정렬되어 있습니다.

• 기둥(pillar) 5개 — 신원(Identity) · 기기(Device) · 네트워크(Network) · 애플리케이션 및 워크로드(Application & Workloads) · 데이터(Data).
• 횡단 역량 3개 — 가시성 및 분석(Visibility & Analytics) · 자동화 및 오케스트레이션(Automation & Orchestration) · 거버넌스(Governance).
• 성숙도 4단계 — Traditional → Initial → Advanced → Optimal. 조직은 기둥별로 서로 다른 단계에 있을 수 있고, 한 번에 도달하는 것이 아니라 점진적으로 올라갑니다.

⚠️미확인 — CISA 랜딩 페이지 본문은 기둥 5개와 횡단 역량 3개가 존재한다는 사실만 명시하고, 개별 명칭과 설명은 ZTMM v2.0 PDF 본문에만 수록됩니다. 위 명칭은 Cloud Security Alliance·Tetrate 등 2차출처로 교차확인한 것이며, 특히 네트워크 기둥을 “Network”로 쓰는지 “Networks” 또는 “Network/Environment”로 쓰는지는 버전별 표기 흔들림이 관찰됩니다. 정확한 문구 인용 시 PDF 원문 재확인이 필요합니다. v2.0 자체의 발행 연월도 이 글에서는 단정하지 않습니다.

대응 관점 — 실무에 옮기면

• “무엇을 지키는가”를 먼저 리소스 단위로 다시 적으세요. 제로트러스트의 출발점은 제품 도입이 아니라 보호 대상을 네트워크 세그먼트에서 리소스로 재정의하는 일입니다.
• 경계 내부 트래픽에도 같은 요건을 거세요. 사내망이라는 이유로 인증·암호화 요건을 면제하고 있다면, 둘째 테넷 기준으로는 이미 제로트러스트가 아닙니다.
• 당장 전면 전환이 어렵다면 성숙도 축으로 끊어 가세요. ZTMM은 기둥별·단계별로 현재 위치를 적게 해 둡니다. 신원 기둥 하나만 먼저 올리는 것도 유효한 진행입니다.
• 인용할 때 체계를 섞지 마세요. NIST 7테넷과 Microsoft 3원칙은 다른 문서입니다. 보고서나 제안서에 쓸 때는 어느 출처의 체계인지 함께 적는 편이 검증을 버팁니다.
• ⚠️미확인 항목은 단정하지 마세요. 기둥 명칭의 정확한 표기, 용어 기원의 정확한 날짜 같은 항목은 1차 원문으로 확인한 뒤 인용하는 것이 안전합니다.

짧은 논평

제로트러스트를 한 줄로 줄이면 “어디에 있느냐로 믿지 말고, 매번 무엇인지 확인하라”입니다. 공격자 관점에서 보면 이 차이가 왜 중요한지 더 분명해집니다. 경계방어의 가치는 입구 하나에 몰려 있어서, 그 입구를 통과하는 자격증명 하나가 내부 전체로 가는 열쇠가 됩니다. 제로트러스트는 그 열쇠의 가치를 낮추는 설계입니다 — 한 번의 통과가 다음 문을 열어주지 않으니까요. 이 틀은 고쳐진 취약점 하나가 아니라 설계 사고라서, 특정 제품으로 끝나지 않습니다 — 그래서 우리는 도구가 아니라 방법을 남깁니다.

References / 참고자료

1차 / 표준·공식 문서

1. NIST (Rose, Borchert, Mitchell, Connelly), “SP 800-207: Zero Trust Architecture” (2020), 제로트러스트·ZTA 정의·7대 테넷·논리 컴포넌트·구현 접근법의 1차 근거 — 랜딩 https://csrc.nist.gov/pubs/sp/800/207/final / 원문 PDF https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-207.pdf
2. CISA, “Zero Trust Maturity Model”, ZTMM 현행 v2.0·OMB M-22-09 정렬·성숙도 4단계의 1차 근거 — https://www.cisa.gov/zero-trust-maturity-model
3. Rory Ward & Betsy Beyer (Google), “BeyondCorp: A New Approach to Enterprise Security”, ;login: 39(6), 2014 — 기업 제로트러스트 실装 선구 사례의 1차 근거 — https://research.google/pubs/beyondcorp-a-new-approach-to-enterprise-security/

2차 / 독립 분석·해설 4. Microsoft Learn, “Zero Trust as a security foundation”, 3대 원칙(명시적 검증·최소권한·침해 전제)과 전통 경계모델 한계 서술의 출처 — https://learn.microsoft.com/en-us/security/zero-trust/zero-trust-overview 5. Palo Alto Networks, “John Kindervag (author page)”, Kindervag가 제로트러스트 모델을 창안했고 Forrester의 VP·수석 애널리스트였다는 귀속의 2차 확인 출처(이 페이지 자체는 “2010년”·보고서 “No More Chewy Centers” 명칭을 명시하지 않음 — 해당 두 항목은 본문 ⚠️미확인으로 처리) — https://blog.paloaltonetworks.com/author/john-kindervag/ 6. Cloud Security Alliance, “CISA’s Zero Trust Maturity Model: An Important Step Forward”, ZTMM 5기둥·3횡단역량 명칭의 교차확인 출처 — https://cloudsecurityalliance.org/articles/cisa-s-zero-trust-maturity-model-an-important-step-forward-in-implementing-zero-trust-security-principles 7. Tetrate, “What Are the Five Pillars of CISA’s Zero Trust Maturity Model?”, 기둥 명칭 보조확인 출처 — https://tetrate.io/learn/what-are-the-five-pillars-of-cisas-zero-trust-maturity-model-ztmm

이 글은 위 공개 표준·공식 문서·해설을 우리 관점에서 다시 쓰고 정리한 것입니다. 특정 문장·문단을 그대로 옮기지 않았으며(짧은 원문 표현은 따옴표와 출처를 달아 인용), 정확한 규범 문구는 각 기관의 1차 원문을 참고하세요. 정보성 티어 글로 소스코드 인용이나 패치 대조는 수행하지 않았으며, ⚠️미확인 표기 항목(Forrester 보고서의 정확한 발표 월·전체 제목, BeyondCorp 공저자 확정, CISA ZTMM 기둥·역량 명칭의 PDF 원문 표기와 v2.0 발행 시점)은 3중 팩트체크에서 1차 원문으로 재확인 대상입니다.