핵심 POINT
제로트러스트는 사용자, 기기, 애플리케이션, 데이터 접근을 지속적으로 판단하고 통제하도록 설계하는 보안 원칙이자 아키텍처입니다.
대규모 침해 사고, AI 확산, 국가 보안 정책 변화가 맞물리며 지속 검증 기반 보안 체계의 필요성이 커지고 있습니다.
SK쉴더스는 제로트러스트 방법론과 국내 기업·금융 적용 모델을 바탕으로 기업 환경에 맞는 전환 방향을 제시합니다.
최근 기업과 공공기관, 금융, 국방 등 다양한 분야에서 제로트러스트(Zero Trust) 전환이 본격화되고 있습니다. 과거에는 미래형 보안 전략으로 인식됐지만, 이제는 실제 구축과 운영 단계에서 검토되는 보안 패러다임으로 자리 잡고 있습니다. 이는 대규모 사이버 침해와 클라우드 보안 환경의 복잡화, AI 에이전트 확산이 동시에 진행되면서 '한 번 인증하면 신뢰한다'는 방식만으로는 기업 보안 리스크를 관리하기 어려워졌기 때문입니다.
이번 글에서는 제로트러스트가 무엇인지 먼저 쉽게 정리하고, 왜 최근 보안 정책과 AI 보안 환경에서 중요성이 커졌는지 살펴보겠습니다. 이어 SK쉴더스 제로트러스트 브로슈어에 제시된 국내 기업·금융 적용 모델을 바탕으로 실제 구축 시 어떤 영역을 점검해야 하는지도 함께 정리합니다.
■ 차세대 보안 표준, 제로트러스트란?
▲ 경계형 보안 및 제로트러스트 환경 비교 / 출처: A. Kerman (NIST)
제로트러스트는 '절대 신뢰하지 말고, 항상 검증하라(Never Trust, Always Verify)'는 원칙에 기반한 보안 모델입니다. 특정 보안 제품 하나를 의미하는 것이 아니라, 사용자와 기기, 애플리케이션, 데이터에 대한 접근을 지속적으로 판단하고 통제하도록 여러 보안 기술과 운영 절차를 설계하는 보안 원칙이자 아키텍처입니다. 다시 말해 사무실 내부망에서 접속했더라도 자동으로 믿지 않고, 사용자가 누구인지, 어떤 기기로 접속했는지, 어떤 데이터와 애플리케이션에 접근하려는지 매번 확인하는 방식입니다. 핵심은 사용자 인증, 기기 상태 확인, 권한 관리, 접근 통제를 결합해 업무에 필요한 최소 권한만 부여하는 것입니다. 이를 통해 최초 인증만으로 모든 접근을 허용하는 방식이 아니라, 상황 변화에 따라 신뢰 수준을 지속적으로 판단할 수 있습니다.
제로트러스트 모델은 최초 로그인 이후에도 접근 행위를 계속 확인합니다. 예를 들어 평소와 다른 위치에서 대량의 고객 데이터에 접근하거나, 승인되지 않은 애플리케이션으로 데이터를 전송하려는 시도가 발생하면 추가 인증을 요구하거나 접근을 제한할 수 있습니다. 기존 경계형 보안이 내부망을 상대적으로 신뢰하는 방식이라면, 제로트러스트는 침해가 발생한 이후의 내부 이동과 권한 오남용까지 통제하는 데 초점을 둡니다.
■ 제로트러스트 전환이 본격화된 이유
이미지 출처 : Magnific
제로트러스트는 오래전부터 논의돼 온 보안 개념이지만, 실제 전환은 최근 들어 속도를 내고 있습니다. 국내에서도 한국인터넷진흥원(KISA)의 제로트러스트 가이드 발간 이후 필요성에 대한 공감대가 커졌지만, 온프레미스 인프라와 망분리 체계가 오랫동안 자리 잡은 환경에서는 전환 속도가 상대적으로 더뎠습니다. 기존 보안 장비 하나를 교체하는 문제가 아니라, 계정·권한·네트워크·데이터·운영 프로세스를 함께 정비해야 하기 때문입니다.
이러한 흐름이 본격화된 배경에는 반복되는 대규모 사이버 침해 사고가 있습니다. 통신, 금융, 유통 등 주요 산업에서 정보 유출과 랜섬웨어 사고가 이어지며, 기업들은 단순히 외부 침입을 차단하는 방식만으로는 충분하지 않다는 점을 확인했습니다. 공격자는 계정을 탈취하거나 정상 권한을 악용한 뒤 내부망을 이동하고, 최초 침투 이후에는 데이터와 시스템으로 접근 범위를 넓힙니다.
여기에 AI 확산과 국가 보안 정책 변화가 더해졌습니다. 생성형 AI와 AI 에이전트가 업무 시스템과 데이터를 연결하기 시작하면서 접근 주체는 사람을 넘어 자동화된 에이전트까지 확장됐습니다. 동시에 망분리 중심 정책이 클라우드와 AI 활용을 고려한 방향으로 변화하면서, 기업은 보안 거버넌스와 접근 통제 체계를 새롭게 설계해야 하는 과제를 마주하고 있습니다.
제로트러스트·AI·버그바운티…그룹사들이 택한 세 가지 '보안 카드'
■ 국가 사이버보안 정책의 핵심
이미지 출처 : Magnific
정부와 공공 영역에서도 제로트러스트 기반 보안 체계에 대한 논의가 확대되고 있습니다. 클라우드와 생성형 AI 활용을 전제로 업무 환경이 바뀌면서, 기존처럼 내부망과 외부망을 물리적으로 구분하는 방식만으로는 업무 효율성과 보안 요구를 동시에 충족하기 어렵기 때문입니다. 이에 따라 사용자, 기기, 데이터, 업무 중요도에 따라 접근을 세분화하고 지속적으로 검증하는 보안 정책이 더욱 중요한 요소로 자리 잡고 있습니다.
국가망보안체계(N2SF), 한국형 사이버보안 프레임워크(K-RMF), 금융권 자율보안 체계 등은 공통적으로 위험 기반 판단과 세분화된 접근 통제를 강조합니다. 이는 제로트러스트 네트워크 액세스(ZTNA), 지속 검증, 최소 권한 원칙과 맞닿아 있습니다. 앞으로 기업의 보안 정책은 단순한 접속 차단보다 '누가, 어떤 기기로, 어떤 업무 맥락에서, 어떤 데이터에 접근하는가'를 판단하는 방향으로 고도화될 가능성이 큽니다.
결국 보안 정책의 중심은 고정된 경계에서 동적인 검증으로 이동하고 있습니다. 이 변화는 공공기관뿐 아니라 클라우드, 협력사, 원격근무, SaaS를 함께 운영하는 엔터프라이즈 환경에서도 중요한 기준이 됩니다.
■ AI 시대의 보안 패러다임
이미지 출처 : Magnific
AI 시대에 제로트러스트가 다시 주목받는 이유는 접근 주체가 더 이상 사람에만 머물지 않기 때문입니다. AI 에이전트는 사용자의 요청을 해석해 ERP, CRM, 협업 툴, 클라우드 저장소, 외부 API를 호출하고 업무를 자동화합니다. 편의성이 커지는 만큼, AI 에이전트가 가진 권한이 그대로 공격 표면이 될 수 있습니다.
예를 들어 AI 에이전트가 이메일, 문서 저장소, 고객 DB, 클라우드 콘솔에 동시에 접근할 수 있다면 하나의 프롬프트 인젝션이나 API 키 유출만으로도 데이터 조회, 외부 전송, 설정 변경이 연쇄적으로 발생할 수 있습니다. 내부자 위협 역시 사람에게만 국한되지 않습니다. 권한이 과도하게 부여된 자동화 계정이나 서비스 계정도 내부 접근 주체로 관리해야 합니다.
따라서 AI 보안의 핵심은 AI 사용을 막는 것이 아니라, AI 에이전트를 하나의 행위 주체로 식별하고 최소 권한 원칙을 적용하는 것입니다. 이메일 기능을 허용하더라도 읽기, 초안 작성, 외부 발송 권한을 분리하고, 대량 데이터 조회나 외부 전송처럼 위험도가 높은 작업은 추가 인증이나 관리자 승인을 요구해야 합니다. 모든 도구 호출과 데이터 접근은 로그로 남기고, 평소와 다른 패턴이 보이면 즉시 정책을 재평가하는 지속 검증 체계가 필요합니다.
■ SK쉴더스 제로트러스트 적용 사례 살펴보기
지금까지 제로트러스트가 왜 중요해졌는지 살펴봤다면, 다음 질문은 실제 구현 방식입니다. SK쉴더스 제로트러스트는 기업 환경에 따라 거버넌스, 계정·권한, 네트워크, 시스템, 애플리케이션, 데이터, 모니터링을 함께 설계하고 구현하는 방식으로 적용됩니다.
아래는 SK쉴더스 제로트러스트 구축 사례를 바탕으로, 기업과 금융 환경에서 구현되는 주요 보안 체계를 정리한 내용입니다.
이미지 출처 : Magnific
1. 국내 기업: 제로트러스트 거버넌스와 통합 모니터링 체계 구축
국내 기업 환경에서 제로트러스트 추진 협의체와 거버넌스 원칙을 수립하고, 데이터 보호 및 개인정보 보호 방안, 임직원 인식 교육, 의사결정 프로세스까지 함께 정비하는 방식으로 보안 체계를 구축합니다. 여기에 통합 모니터링, 주요 보안 이벤트와 트래픽 기록, SIEM·SOAR, UEBA 기반 분석, 위협 인텔리전스, 자동화 정책을 연계해 정책이 실제 운영 과정에서 지속적으로 검증되도록 구현합니다.
2. 국내 기업: 사용자·디바이스·시스템·데이터 접근 통제 구현
구축 과정에서는 내부망 사용자, 외부망 사용자, 협력사 직원, BYOD 등 다양한 접근 주체를 구분하고, 사용자 인증과 위험 정보를 바탕으로 접근 권한을 판단하도록 설계합니다. ICAM 기반 접근 권한 관리, 통합 계정 권한 관리, 영역별 인벤토리 식별, SDP 기반 접근 제어, 마이크로세그멘테이션, 데이터 권한 관리와 암호화를 결합해 사용자·디바이스·시스템·데이터 단위의 접근 통제를 구현합니다.
3. 국내 금융사: 신원·네트워크·시스템을 연결한 보안 모델 구축
금융권 사례에서는 디바이스와 엔드포인트, 사용자 신원, 네트워크, 시스템, 애플리케이션, 데이터, 시각화·자동화 영역을 나누어 제로트러스트 보안 모델을 설계합니다. 사용자와 디바이스를 지속적으로 식별·검증하고, 위험 정보 판단, 계정·권한 관리, 마이크로세그멘테이션, SIEM·SOAR 기반 보안 이벤트 분석을 결합해 금융권 업무 환경에 맞는 보안 체계를 구현합니다.
4. 국내 금융사: 동적 접근 제어와 보안 이벤트 기반 운영 구현
또 다른 금융권 사례에서는 SSO Proxy, PDP, ICAM/RMS, SDP Agent와 SDP Gateway, PIP를 연결해 인증 요청과 접근 권한을 동적으로 판단하는 구조를 구현합니다. 사용자 행위 로그, 리소스 상태 정보, 보안 로그를 바탕으로 신뢰도를 평가하고, 이상 징후가 발생하면 추가 인증이나 접근 제한을 적용하는 방식으로 운영됩니다.
5. 구축 사례에서 확인되는 공통 구현 방향
SK쉴더스 제로트러스트 구축 사례에서 공통적으로 확인되는 방향은 명확합니다. 첫째, 사용자와 디바이스를 지속적으로 식별하고 검증합니다. 둘째, 계정과 권한을 통합 관리하고 역할·신청·위험도에 따라 접근을 세분화합니다. 셋째, 네트워크와 시스템을 마이크로세그멘테이션하고, 데이터는 식별·분류·권한 관리·암호화 관점에서 통제합니다.
이러한 공통 원칙은 AI 보안 환경에서도 동일하게 적용됩니다. AI 에이전트나 자동화 계정이 업무 시스템에 접근하는 경우에도 동일하게 신원을 확인하고, 허용된 범위의 데이터와 애플리케이션에만 접근하도록 정책을 적용해야 합니다.
특히 클라우드 보안 환경에서는 워크로드, API, SaaS, 데이터 저장소가 분산되어 있으므로 정책결정지점(PDP), 정책시행지점(PEP), 정책정보지점(PIP)을 명확히 정의하고, 로그 기반으로 지속 검증 체계를 운영하는 것이 중요합니다.
결국 제로트러스트 구축은 인증 제품을 도입하는 수준을 넘어, 보안 거버넌스와 운영 체계를 함께 정비하는 과제입니다. 조직은 자산과 데이터의 위치, 사용자와 비사용자 계정, 접근 경로, 정책 집행 지점, 모니터링 체계를 함께 정리해야 합니다.
■ 제로트러스트 전환, 어떻게 준비해야 할까?
제로트러스트 전환은 더 이상 추상적인 이론이나 미래의 개념에 머물지 않습니다. 대규모 침해 사고와 AI 확산, 보안 정책 변화가 동시에 진행되는 지금, 기업은 업무 환경에 맞는 지속 검증 기반 보안 체계를 단계적으로 구현해야 합니다.
SK쉴더스 제로트러스트 방법론은 기업의 제로트러스트 준비 수준을 진단하고, 거버넌스와 사용자·기기·네트워크·데이터·모니터링 영역별 전환 로드맵을 수립하기 위한 접근 방식입니다. 제로트러스트 준비도 평가, 보안 성숙도 평가, 로드맵 수립, 인프라·클라우드·엔드포인트·사용자·데이터 영역별 설계를 포괄하며, 브로슈어의 적용 모델 역시 거버넌스와 기술 통제를 함께 다루는 방향으로 구성되어 있습니다.
성공적인 전환을 위해서는 무엇보다 현재 보안 수준을 객관적으로 진단하고 보호해야 할 자산과 데이터, 사용자와 권한, 접근 경로를 먼저 파악하는 것이 중요합니다. 이후 우선순위가 높은 업무 시스템부터 최소 권한, 지속 검증, 접근 통제를 적용하고, 운영 과정에서 정책을 계속 보완하는 방식이 현실적입니다.
제로트러스트는 하나의 솔루션을 도입하는 프로젝트가 아니라 기업의 업무 환경과 보안 체계를 함께 개선해 나가는 과정입니다. 우리 기업의 보안 환경에 맞는 현실적인 전환 방안을 고민하고 있다면 SK쉴더스 컨설팅을 통해 제로트러스트 로드맵을 점검해 볼 수 있습니다.
■ 자주 묻는 질문 (FAQ)
Q. 제로트러스트와 망분리는 무엇이 다른가요?
A. 망분리는 내부망과 외부망을 분리해 접속 경계를 만드는 방식입니다. 반면 제로트러스트는 위치와 관계없이 사용자, 기기, 애플리케이션, 데이터 접근을 지속적으로 검증하고 최소 권한만 허용하는 보안 모델입니다. 두 방식은 대체 관계라기보다 업무 환경과 보안 정책에 따라 함께 검토될 수 있습니다.
Q. 제로트러스트를 도입하면 기존 보안 장비를 모두 교체해야 하나요?
A. 그렇지 않습니다. 기존 인증, 접근 통제, 로그 분석, 엔드포인트 보안, 클라우드 보안 체계를 활용하면서 부족한 영역을 단계적으로 보완하는 방식이 일반적입니다. 중요한 것은 장비 교체 여부보다 사용자와 권한, 데이터, 업무 시스템을 기준으로 정책을 재설계하는 것입니다.
Q. 중소기업도 제로트러스트를 도입할 수 있나요?
A. 가능합니다. 다만 모든 영역을 한 번에 바꾸기보다 계정 관리, 관리자 권한, 원격 접속, 중요 데이터 접근처럼 위험도가 높은 영역부터 시작하는 것이 현실적입니다. 특히 규모가 작은 조직이라면 최소 권한 원칙과 사용자 인증, 권한 관리 체계를 먼저 정비하는 접근이 효과적입니다.
[콘텐츠 출처]
[기획]뚫리면 끝이다…K-산업, '제로 트러스트' 총력전
제로트러스트·AI·버그바운티…그룹사들이 택한 세 가지 '보안 카드'
AI 에이전트 시대 보안 핵심은 '제로트러스트'…운영 프레임워크 '필요'
