신뢰를 설계하는 ‘제로 트러스트’ 원칙[기고/조원우]

동아일보
입력 2025년 6월 26일 03시 00분

코멘트: 개

좋아요: 개

코멘트: 개

“요즘엔 앱 하나 쓰는 것도 불안하다.” 최근 지인에게 들은 이 같은 토로는 이제 많은 이들에게 낯설지 않은 현실이 됐다. 개인의 모든 데이터가 디지털로 연결된 시대, 사이버 위협은 더 이상 보이지 않는 위험이 아니다. 사용자들은 일상 속에서 이를 실시간으로 체감하고 있으며, 그만큼 불안도 깊어지고 있다.

이 같은 불안은 사회 전반에 경고음을 울린다. 특히 ID 도용, 데이터 유출, 랜섬웨어, 피싱 등의 사이버 공격은 갈수록 정교해지고 있으며, 관련 사고도 끊이지 않고 있다. 실제로 한국인터넷진흥원이 발표한 ‘2024년 하반기 사이버 위협 동향 보고서’에 따르면 국내 사이버 침해 신고 건수는 전년 대비 48% 증가했다.

이러한 위협은 전 세계적으로 더 거세지고 있다. 마이크로소프트(MS)는 하루 평균 84조 개의 보안 신호를 분석하고, 초당 7000건 이상의 위협을 실시간으로 탐지하며 대응하고 있다.

과거의 보안 방식은 경계를 나누는 방식이었다. 내부는 안전하고, 외부는 위협이라는 전제를 바탕으로 설계됐다. 하지만 오늘날처럼 모든 것이 디지털로 연결되고, 장소와 기기의 경계가 사라진 환경에서는 이 전제가 더 이상 유효하지 않다.

신개념 보안 체계인 ‘제로 트러스트(Zero Trust)’는 조직의 보안 철학과 운영 방식을 근본적으로 재구성하는 전략적 접근을 뜻한다. 사용자의 권한, 접속 기기, 네트워크 상태 등을 끊임없이 점검하고 검증하는 것이 핵심이다. 이는 ‘신뢰하지 말고, 항상 검증하라’는 원칙에서 출발한다.

올 4월 MS는 시큐어 퓨처 이니셔티브(SFI) 보고서를 통해 제로 트러스트 원칙에 기반한 6가지 보안 실천 방향을 제시했다. 그중에서도 ‘ID 보호’를 가장 중요한 항목으로 꼽았다. 또한 보안 팀은 실제 침입을 가정한 상황에서 체계가 제대로 작동하는지 수시로 모니터링하고, 그 과정에서 드러난 허점은 즉시 보완해야 한다. 하지만 만약 해커가 내부에 침입했다면 더 이상 움직이지 못하게 해 피해를 최소화해야 한다. 보고서는 이를 위해 시스템 간 불필요한 연결을 제거하고, 운영 환경과 일반 사용자 공간을 철저히 분리해야 한다고 제언한다. 조직 내 연결된 ‘통로’는 최소한으로 줄이고, 꼭 필요한 문만 열어두는 방식이다.

무엇보다 중요한 건 위협에 빠르게 대응할 수 있는 체계를 조직 전체에 미리 마련해 두는 일이다. 이를 위해선 개발과 배포 단계부터 보안을 기본값으로 삼아야 한다. 정기적인 공격 시뮬레이션을 시행해 대응 체계를 점검하고, 운영체제와 애플리케이션은 자동 업데이트를 통해 취약점이 쌓이지 않도록 관리해야 한다.

인공지능(AI)의 성장 잠재력은 분명하다. 하지만 기술의 진보는 언제나 새로운 위협을 동반해 왔다. 이제 조직의 미래는 인간의 속도와 정밀도를 압도하는 AI 기반 공격 형태에 얼마나 효과적으로 대응할 수 있는가에 달려 있다.

수많은 위기는 결국 작은 취약점 하나에서 시작됐다. 지금 우리에게 필요한 것은, 제로 트러스트 원칙을 바탕으로 기술 안에 신뢰를 설계하는 환경을 함께 만들어가는 일이다.