오랫동안 기업 보안의 정석은 ‘성과 해자(Castle-and-Moat)’ 모델이었습니다. 성벽(방화벽)을 높게 쌓고, 일단 성문(VPN)을 통과한 사람은 ‘아군’으로 간주해 모든 권한을 주는 방식입니다.
하지만 클라우드 시대가 도래하며 이 공식은 처참하게 깨졌습니다. 원격 근무가 일상이 되면서 지켜야 할 ‘성벽’ 자체가 사라졌기 때문입니다. 이제 보안 업계의 새로운 표준은 단 하나입니다. “아무도 믿지 마라(Never Trust, Always Verify).” 바로 제로 트러스트(Zero Trust)입니다.
1. VPN의 치명적인 결함: 횡이동(Lateral Movement)
VPN은 한번 로그인하면 내부 네트워크를 자유롭게 돌아다닐 수 있는 ‘프리패스’ 입장권과 같습니다. 해커가 직원의 계정 하나만 탈취하면, 회사 전체 서버가 뚫리는 구조입니다.
실제로 최근 발생한 대형 랜섬웨어 사건의 70% 이상이 VPN 계정 탈취에서 시작되었습니다. 공격자는 마케팅 팀 직원의 PC로 들어와서, 재무 팀 서버까지 ‘옆으로 이동(Lateral Movement)’하며 데이터를 암호화합니다. VPN은 이를 막을 방법이 없습니다.
2. 제로 트러스트의 3대 원칙
제로 트러스트는 특정 솔루션 이름이 아니라, 보안을 설계하는 ‘철학’이자 아키텍처입니다. 미국 국립표준기술연구소(NIST)는 다음 세 가지를 핵심으로 정의합니다.
- 명시적 검증 (Verify Explicitly): “김 대리니까 믿어준다”는 없습니다. 접속할 때마다 ID, 기기 상태, 위치, 접속 시간 등을 매번 검증합니다.
- 최소 권한 부여 (Use Least Privilege): 마케팅 팀 직원에게는 ‘마케팅 폴더’ 권한만 줍니다. 개발 서버에는 접근조차 할 수 없도록 네트워크를 잘게 쪼갭니다(Micro-segmentation).
- 침해 가정 (Assume Breach): “우리는 이미 뚫렸다”고 가정하고 시스템을 설계합니다. 방어막이 뚫려도 피해를 최소화하는 데 집중합니다.
3. 구글의 BeyondCorp: 성공적인 전환 사례
이 개념을 가장 먼저, 그리고 가장 성공적으로 도입한 기업은 구글입니다. 구글은 2014년 중국 해커들의 공격을 받은 후, 사내 VPN을 완전히 없애버리는 프로젝트인 ‘BeyondCorp’를 시작했습니다.
이제 구글 직원들은 스타벅스에서 일하든 본사에서 일하든 똑같은 인증 절차를 거칩니다. 회사 네트워크에 접속하는 것이 아니라, 개별 애플리케이션(지메일, 드라이브, 코딩 툴)에 직접 접속하며 그때마다 인증을 받습니다. 결과적으로 보안성은 높아졌고, 직원들은 느린 VPN을 켜지 않아도 되어 업무 속도가 빨라졌습니다.
💡 도입을 고민하는 기업을 위한 제언
제로 트러스트는 하루아침에 장비를 사서 설치하는 것이 아닙니다. 가장 먼저 해야 할 일은 우리 회사의 ‘중요 데이터가 어디에 있는지’ 식별하고, 직원들의 ‘신원(Identity)’ 관리 시스템을 통합하는 것입니다.
비용이 들고 불편해 보일 수 있습니다. 하지만 랜섬웨어 한 방에 회사의 존폐가 갈리는 지금, 보안은 비용이 아니라 생존을 위한 필수 투자입니다.