기관과 기업이 디지털 업무환경의 현대화를 추진하면서 한 가지 사실이 분명해지고 있다. 보안을 업무환경과 분리된 별도의 계층으로 운영하는 방식은 더 이상 유효하지 않다는 점이다.
오늘날 정보기술(IT) 및 보안 조직의 고민은 복잡한 업무환경에서 어떻게 실제로 운영할 것인지다. 직원들이 업무에 사용하는 환경은 갈수록 다양해지고 있다. 회사가 관리하는 디바이스뿐 아니라 개인 소유 등 관리되지 않는 기기에서도 업무를 수행한다. 접속 대상도 서비스형 소프트웨어(SaaS), 웹, 가상 애플리케이션, 네이티브 애플리케이션 등으로 확대됐다.
기업은 디바이스의 보안 상태를 지속적으로 점검하고 취약점을 신속하게 줄여야 한다. 시행 중인 보안 정책이 실제 위험을 얼마나 효과적으로 낮추고 있는지도 확인해야 한다. 업무환경이 복잡해질수록 제로 트러스트를 일관되게 적용하고 운영하는 일은 더욱 어려워진다.
제로 트러스트를 제대로 운영하려면 사용자 접근을 관리하는 방식부터 바꿔야 한다. 모든 애플리케이션에 동일한 접근 방식을 적용하는 것은 적절하지 않다. 어떤 애플리케이션은 일반 웹 브라우저를 통한 접속으로 충분하지만, 민감한 정보를 다루는 애플리케이션은 가상 환경에서 실행하거나 한층 강력한 격리 조치를 적용해야 할 수 있다.
중요한 것은 사용자의 상황과 디바이스 보안 상태, 접속 위치, 현재 위험 수준 등을 종합적으로 고려해 적절한 접근 방식을 선택하는 것이다. 접근 제어와 보안 상태 평가, 위협 인텔리전스, 자동화 기능을 함께 활용하면 최초 로그인 단계의 인증에만 의존하지 않고 위험 변화에 따라 보안 정책을 실시간으로 조정할 수 있다.
조직이 유지해야 할 '목표 보안 상태(Desired State)'를 명확히 정의하는 것도 중요하다. 디바이스와 애플리케이션, 보안 설정이 어떤 상태를 유지해야 하는지 기준을 정하지 않으면 보안 운영은 문제가 발생한 뒤 수습하는 사후 대응에 머물기 쉽다.
반대로 목표 보안 상태를 구체적으로 정해두면 현재 환경이 기준을 충족하는지 지속적으로 확인할 수 있다. 설정이나 운영 상태가 기준에서 벗어난 부분을 빠르게 찾아 필요한 조치를 취하는 것도 가능해진다.
목표 상태를 정의한 이후에는 보안 상태와 규정 준수 여부를 지속적으로 점검해야 한다. 실시간 위험 및 취약점 정보를 활용하면 시스템 설정이 기준에서 벗어나는 '구성 변경(Configuration Drift)'을 신속히 발견하고 대응 우선순위를 정할 수 있다.
특히 모든 취약점을 일률적으로 처리하기보다 위험도를 기준으로 우선순위를 설정하는 '위험 기반 대응(Risk-based Remediation)'이 필요하다. 현실적으로 발견된 모든 취약점을 즉시 해결하기는 어렵고, 각각의 취약점이 초래하는 위험도 동일하지 않기 때문이다.
따라서 실제 공격에 악용될 가능성이 큰 취약점을 먼저 선별하고, 중요 사용자와 디바이스, 애플리케이션에 영향을 미치는 문제부터 대응해야 한다. 취약점의 개수보다 실질적인 위험 감소에 초점을 맞추는 방식이다.
보안 수준을 높이는 과정에서 사용자 경험도 함께 고려해야 한다. 직원들은 장소나 사용하는 기기에 관계없이 업무환경에 원활하게 접근하기를 기대한다. 기업은 이러한 편의성을 제공하면서도 보안을 유지해야 하는 과제를 안고 있다.
사용자와 접속 환경에 관한 맥락 정보, 위험도에 따라 달라지는 적응형 정책, 자동화된 보안 상태 점검 기능을 활용하면 불필요한 인증이나 접속 제한을 줄이면서 보안을 강화할 수 있다. 기존 보안 솔루션과 업무 시스템을 유기적으로 연동하는 것도 중요하다. 보안 운영과 IT 운영이 긴밀하게 통합될 때 제로 트러스트는 추상적인 원칙을 넘어 실제 업무환경에서 작동하는 전략이 될 수 있다.
옴니사는 제로 트러스트 운영을 지원하기 위해 접근 제어와 보안 상태 관리, 위험 평가, 취약점 대응 기능을 통합 제공하고 있다. 기존 보안 솔루션과 운영 환경을 유연하게 연동해 조직이 변화하는 위험에 지속적으로 대응할 수 있도록 지원한다. 결국 제로 트러스트는 사용자와 디바이스, 애플리케이션 전반에서 신뢰를 지속해서 검증하고, 위험의 우선순위를 판단해 필요한 대응을 자동화하는 운영 모델이다.
인공지능(AI)과 디지털 업무환경이 빠르게 확산하는 지금 기업에 필요한 것은 단순히 또 하나의 보안 솔루션을 추가하는 일이 아니다. 변화하는 업무환경과 위협에 맞춰 보안을 끊임없이 점검하고 개선할 수 있는 운영체계를 구축해야 한다. 제로 트러스트의 성패는 기술을 도입했는지가 아니라, 이를 조직의 일상적인 업무 과정에서 얼마나 효과적으로 운영하느냐에 달려 있다.
크리스 베츠(Chris Betz) 옴니사 CTO pr@omnissa.com