[보안칼럼]스마트 업무 환경에 최적화한 제로 트러스트 모델 발굴

새로운 지능화 기법을 활용한 공격자로 말미암아 보안 위협이 다변화하고 있다.

다양한 산업군에서 기반 시설, 서비스 중단, 안전 위협, 개인정보 및 핵심기술 유출, 사이버 사기까지 보안사고가 지속 늘어났다.

현재 발생하고 있지만 대응이 어려운 보안 위협, 앞으로 발생 가능한 보안 위협에 대해 사내 정보자산을 안전하게 보호할 최선의 대안은 '제로 트러스트'다. 글로벌 컨설팅사는 제로 트러스트를 업무 환경에 적용하기 위한 핵심 요소로 사용자, 기기, 네트워크 등 복합적인 상황에서 모든 트래픽을 검증하는 접속 제어의 중요성을 강조하고 있다.

그러나 제로 트러스트를 도입하는 기업 관점에서 제로 트러스트 이미지는 매우 모호하다.

어디서부터 시작해야 할지 명확하지 않거나 마케팅이 가미된 솔루션이라는 인식도 많다.

업무 환경에 필요한 솔루션으로 생각하고 있지만 도입에 확신하기 어려운 것이 현실이다.

필자가 정보보호최고책임자(CISO)로 재직하고 있는 포스코인터내셔널은 글로벌 종합 기업이다. 트레이딩 업무의 특성상 재택근무, 스마트 오피스 근무, 국내외 출장 근무 등 언제 어디서든 사내 업무시스템 환경에 접속이 가능해야 하기 때문에 제로 트러스트 모델 도입에 대한 고민은 COVID-19가 확산되기 이전인 2020년으로 거슬러 올라간다.

포스코인터내셔널은 기존에 외산 가상사설망(VPN)을 도입·사용했다. 사용자 인증 이후 VPN을 통해 연결된 사내 네트워크로 랜섬웨어 등 악성코드의 침투·침해 사고 사례가 재택근무에 따른 VPN 사용 급증과 함께 연이어 발생했다. VPN의 근본적 문제점을 해결하기 위한 대안으로 제로 트러스트 도입을 검토했다.

제로 트러스트 모델 도입을 검토하던 당시에는 참고할 만한 도입 사례 및 솔루션이 부족했다. 포스코인터내셔널은 자체 데이터 센터를 보유했고, 다양한 업무용 소프트웨어(SW)를 사용하고 있었다. 이에 클라우드향 서비스형소프트웨어(SaaS) 제어 또는 데이터 패킷 필터링에 초점이 맞춰져 있는 외산 솔루션은 제로 트러스터 구현을 위해 회사의 업무 환경 적용에 한계가 있었다.

많은 최고정보보호책임자(CISO)가 제로 트러스트 도입을 주저하는 이유도 여기에 있다. 레퍼런스가 충분치 않기 때문에 국내 업무 환경에 적합한지 확신이 없을 것으로 생각된다.

고민 끝에 국내 스타트업이 개발한 제로 트러스트 솔루션을 발굴해서 업무 환경에 최적화한 모델을 국내 최초로 도입했다. 도입·운영 과정에서 솔루션 안정화를 진행하고 다양한 요구사항과 기능을 정의했다. 일련의 솔루션 개선 활동을 통해 제로 트러스트 솔루션의 완성도를 높였다.

일정 부분의 위험을 감수하고 국내 스타트업의 제로 트러스트 솔루션을 도입한 이유는 다음과 같다. 제로 트러스트 모델 구현에 접속 제어 요소가 있으며, 권한이 없거나 안전하지 않은 대상의 접속을 원천 차단하고 권한이 있는 안전한 대상만 일시적으로 접속을 허용하는 개념이 깔려 있었다. 이를 중심으로 단말 보호(백신)와 사용자 인증 및 관제 등 솔루션과의 연동이 가능하고, 기존에 도입된 보안 솔루션의 취약 요소를 보완할 수 있다는 점이 회사가 추구하고 있던 가치와 부합했다.

이미 많은 보안 기술·솔루션이 도입돼 역할을 수행하고 있지만, 어떠한 소프트웨어가 어떠한 서버·서비스에 접속하고 있는지, 접속 제어 관점에서 적절한 권한과 보안 컴플라이언스 통제 및 모니터링과 감사를 수행하고 있는지는 여전히 물음표가 남는다.

업무 수행을 위한 도구로써 소프트웨어와 각종 업무 정보를 처리하고 저장하기 위한 서버는 상호간에 네트워크로 연결돼 있고 백신으로 탐지되지 않는 랜섬웨어와 같은 위험한 소프트웨어나 제로데이 공격·취약점이 내재된 소프트웨어도 네트워크에 연결돼 있다. 권한이 없거나 인증되지 않은 대상도 중요 자원에 접근하기 위해서는 반드시 네트워크에 연결돼야 하므로 모든 위험의 출발점은 소프트웨어와 네트워크라는 공통분모가 존재한다.

포스코인터내셔널이 선제적으로 구축한 제로 트러스 모델과 글로벌 컨설팅사에서 강조하고 있는 접속 제어 중심의 제로 트러스트 모델은 네트워크에 연결된 보호 대상(서버, 서비스, 워크로드 등)을 식별하고, 업무에 사용 가능한 SW와 사용자·단말 등 통신 대상이 보호 대상에 접속하기 위한 최소한의 권한을 부여하고 안전 여부 판단 후 네트워크 접속을 허용한다.

이후에도 지속적 평가를 통해 필요로 하지 않거나 위험 탐지 또는 보안 컴플라이언스를 준수하지 않는 경우, 즉시 네트워크 접속을 차단할 수 있도록 기존의 보안 솔루션을 접속 제어 관점에서 관리한다. 이런 구심점 역할을 하면서 동시에 사각지대에 있었던 취약 요소를 보완해준다.

제로데이 공격과 취약점이 내재된 SW, 랜섬웨어와 같이 허용되지 않은 SW, 권한이 없거나 인증되지 않은 대상을 효과적으로 제어하기 위한 기본 원칙은 '네트워크 접속 차단'부터 시작된다.

포스코인터내셔널은 3년 동안 이 같은 원칙에 근거해 제로 트러스트 모델을 도입·운영한 결과 확연하게 개선된 정량적 효과를 얻었다. 이로 말미암아 국내뿐만 아니라 보안 인력이 없거나 통제가 어려운 세계 80여개 도시에 있는 법인·지사로 이 모델을 확대 적용했다. 국내 최초로 국내외 업무 환경을 통합한 '접속 제어 중심의 제로 트러스트 모델'을 구현한 것이다.

접속 제어 중심의 제로 트러스트는 업무 환경에 공통적으로 적용되는 기초 단위인 소프트웨어와 네트워크 통제를 출발점으로 삼는 간단한 모델이지만 강력한 효과를 갖는 동시에 점진적으로 성숙도를 높여갈 수 있는 효율적 모델이다. 또한 자체 데이터센터와 다양한 업무용 소프트웨어를 사용하고 있는 국내 업무 환경에 적합하며, 향후 클라우드로 확산하는데도 문제가 없다. 또 서비스형소프트웨어(SaaS) 통제 요소로 확장할 수 있기 때문에 단계별 제로 트러스트 모델 도입 관점에서 중복 투자 없이 기초가 튼튼한 아키텍처를 제공할 수 있을 것으로 예상된다.

당사의 도입 경험이 많은 기업의 한국형 제로 트러스트 모델 도입·확산에 도움이 되길 바란다.

김동호 포스코인터내셔널 CISO(상무)