[뉴스토마토 이지은 기자] 정부가 제로트러스트 가이드라인 1.0을 공개했습니다. 제로트러스트(Zero Trust)는 보안위협이 언제 어디서든 발생 가능하다는 점을 가정해 요건을 갖추지 않은 사용자·기기에 대해서 접근을 제한하는 패러다임에서 출발했습니다. 전통적인 경계기반 보안으로 진화하는 사이버 위협에 대응이 어려워지면서 제로트러스트 개념이 등장했고, 국내에서는 지난해 2월 사이버보안 패러다임 전환 연구반 가동과 같은 해 10월 한국 제로트러스트 포럼을 발족하면서 국내에서 연구가 본격화됐습니다. 

 

박윤규 과학기술정보통신부는 7일 열린 제로트러스트 현장 간담회에서 "지난해 10월 모델 도입을 위해 제로트러스트 포럼을 발족한 후 1년도 안 돼 제로트러스트 가이드라인을 발표하도록 준비했다"며 "순수 국산기술로 실증할 준비가 됐다"고 말했습니다. 

 

 

제로트러스트 가이드라인 1.0은 국내 정부·공공, 기업 관계자들이 제로트러스트 아키텍처 개념을 쉽게 이해해 향후 국내 정보통신 환경에 적합한 제로트러스트 보안체계를 도입할 수 있도록 지원하는 것을 목적으로 하고 있습니다. 조직 내 사이버보안 계획 수립, 운영 등을 담당하는 보안 담당자의 제로트러스트 전략 수립에 도움이 되도록 내용을 구성했습니다. 

 

미국을 중심으로 제로트러스트가 논의돼 왔고, 국가별로 기본원리 등이 다르지 않다는 점을 감안해 NIST 문서 등을 최대로 참고했습니다. NIST 가이드 라인에 따른 7원칙은 리소스 식별, 안전한 통신 확보, 접근권한 부여, 접근권한 정책, 보안상태유지, 선인증 후접속, 보안상태 개선 등입니다. 국내 환경을 고려해 원격근무·망분리 등 모델은 추가했습니다. 도입하고자 하는 기업과 공공기관에 따라 네트워크 구조, 조직내 정책 등이 다르다는 점을 감안해 이를 모두 아우를 수 있도록 상위 수준에서 기술했습니다. 

 

정부는 제로트러스트 실증사업도 전개합니다. 이를 위해 SGA솔루션즈 컨소시엄·프라이빗테크놀로지 컨소시엄을 선정했습니다. SGA솔루션즈는 미국 국립표준기술연구소 제로 트러스트 실증 모델 구현을 목표로, 에스지엔, 지니언스(263860), 소프트캠프와 컨소시엄을 꾸렸습니다. 프라이빗테크는 네트워크 보안을 제로 트러스트 핵심으로 보고, LG유플러스(032640) 등 대기업을 비롯해 한국지능정보사회진흥원(NIA)과 한국주택금융공사 등 공공기관과 실증을 벌일 계획입니다.

 

과기정통부는 이번 제로트러스트 가이드라인 1.0을 기반으로 실증과 검증을 진행하고, 이를 기반으로 가이드라인 2.0으로 고도화에 나선다는 방침입니다. 박 차관은 "내년 상반기에는 가이드라인 2.0을 발표할 것"이라며 "새로운 보안체계를 선도적 도입하고 비즈니스 기회를 만드는 게 중요하다"고 말했습니다.  

 

이지은 기자 jieunee@etomato.com