NIST SP 800-207의 7가지 기본 원칙
NIST는 이 원칙들이 이상적인 목표이며 모든 조직이 순수한 형태로 전부 구현하지는 못할 수 있다고 밝힙니다. 아래는 내용을 풀어 쓴 요약입니다.
- 모든 데이터 원천과 컴퓨팅 서비스를 보호해야 할 '자원'으로 본다.
- 네트워크 위치와 관계없이 모든 통신을 보호한다. 내부망에 있다는 이유만으로 신뢰하지 않는다.
- 개별 자원 접근은 세션 단위로 허용하고, 필요한 최소 권한만 준다. 한 자원의 인증이 다른 자원의 접근을 자동으로 열지 않는다.
- 접근은 사용자 신원, 애플리케이션, 요청 기기의 상태, 행동·환경 속성 등을 포함한 동적 정책으로 결정한다.
- 조직이 소유·연관된 모든 자산의 무결성과 보안 상태를 감시하고 측정한다. 어떤 자산도 본래부터 신뢰받지 않는다.
- 자원에 대한 인증과 인가는 접근 허용 전에 동적으로 엄격히 이뤄지며, 신뢰를 계속 재평가한다. 일부 또는 전체 자원에 다중 인증(MFA)을 쓴다.
- 자산·네트워크·통신 상태에 대한 정보를 최대한 수집해 정책 수립과 집행을 개선한다.
누가 판단하고 누가 집행하나: 논리 구성요소
NIST 모델에서 접근 요청은 정책 결정 지점(PDP)과 정책 집행 지점(PEP)을 거칩니다. PDP는 다시 둘로 나뉩니다. 정책 엔진(PE)은 기업 정책과 외부 입력(자산 상태 진단 시스템, 위협 정보 등)을 신뢰 알고리즘에 넣어 접근을 허용·거부·철회할지 최종 결정하고 기록합니다. 정책 관리자(PA)는 그 결정을 실행해, PEP에 명령을 보내 사용자와 자원 사이의 통신 경로를 열거나 닫고 세션용 인증 토큰이나 자격 증명을 만듭니다. PEP는 연결을 활성화하고 감시하고 마지막에 종료하는 지점으로, 노트북의 에이전트와 자원 앞의 게이트웨이처럼 둘로 나뉘거나 하나의 포털로 구성될 수 있습니다. 이 구성요소들은 별도의 제어 평면(control plane)에서 통신하고 실제 애플리케이션 데이터는 데이터 평면(data plane)으로 오갑니다.
NIST는 공항 보안 검색대를 비유로 듭니다. 검색대(PDP/PEP)를 통과한 승객은 탑승 구역 안에서 모두 신뢰받는 '암묵적 신뢰 구역'에 있게 됩니다. 제로 트러스트는 이 구역을 가능한 한 작게 만들고 PDP/PEP를 자원 가까이 옮기는 것을 뜻합니다.
경계 보안과 제로 트러스트 비교
| 항목 | 전통적 경계 보안 | 제로 트러스트 |
|---|---|---|
| 신뢰의 근거 | 네트워크 위치(내부/외부) | 요청마다 신원·기기·맥락 |
| 내부 이동 | 진입 후 비교적 자유로움 | 자원마다 별도 검증, 구역 분리 |
| 보호 단위 | 네트워크 구간 | 개별 자원·서비스·워크플로 |
| 권한 | 넓게 부여되기 쉬움 | 최소 권한, 세션 단위 |
| 기기 상태 | 접속 허용 후 신경 덜 씀 | 접근 판단에 지속적으로 반영 |
NIST는 구현 방식도 세 갈래로 구분합니다. 신원과 속성을 정책의 중심에 두는 강화된 신원 거버넌스 방식, 자원이나 소규모 자원 묶음을 별도 구간에 두고 게이트웨이로 보호하는 마이크로세그멘테이션 방식, 오버레이 네트워크나 소프트웨어 정의 경계(SDP)를 쓰는 네트워크 기반 방식입니다. 완전한 해법은 세 방식의 요소를 모두 포함한다고 설명합니다.
사례로 보기
사례 1. 구글의 BeyondCorp
위키백과는 2009년 오퍼레이션 오로라로 알려진 중국계 APT 공격 이후 구글이 BeyondCorp를 구현하기 시작했고 특권 VPN의 필요를 없앴다고 적습니다. 2014년 ;login: 제39권 6호에 실린 Rory Ward와 Betsy Beyer의 논문 BeyondCorp: A New Approach to Enterprise Security는 방화벽으로 경계를 지키는 방식에서는 공격자가 경계를 넘으면 내부망에서 자유롭게 움직일 수 있고, 모바일·클라우드 확산으로 경계 방어가 어려워졌다고 진단합니다. 해결책으로 구글은 특권 인트라넷에 대한 요구를 없애고 업무용 애플리케이션을 인터넷에 올리되, 네트워크 위치가 아니라 요청 단위로 접근을 통제하는 방식을 택했다고 밝힙니다. 배울 점은 제로 트러스트가 이론만이 아니라 큰 조직이 수년에 걸쳐 도입한 운영 모델이며, 도입의 핵심이 VPN 교체가 아니라 접근 판단 기준의 전환이라는 것입니다.
사례 2. 정부 차원의 도입 요구
위키백과(제로 트러스트 항목) 기준으로 2021년 5월 미국 행정명령 14028이 연방 기관에 제로 트러스트 아키텍처 도입을 지시했고, 2022년 OMB 메모 M-22-09는 기관들이 회계연도 2024년 말까지 구체적인 목표를 달성하도록 요구했습니다. 이는 제로 트러스트가 민간의 개념에서 공공 제도의 요구사항으로 확장된 사례입니다. 다만 요구되는 세부 목표는 문서마다 다르므로 정확한 내용은 원문 확인이 필요합니다.
사례 3. 가상 예시: 재택 직원의 인사 시스템 접속
가상 예시입니다. 경계 보안 모델에서는 직원이 VPN에 접속하면 사내망 주소를 받아 인사, 재무, 개발 서버에 폭넓게 접근할 수 있습니다. 노트북이 악성코드에 감염되면 공격자도 같은 범위를 이동할 수 있습니다. 제로 트러스트 모델에서는 같은 직원이 인사 시스템을 열 때 MFA로 신원을 확인하고, 노트북의 패치·관리 상태를 점검하며, 평소와 다른 접속 위치나 시간대면 추가 인증을 요구하거나 거부합니다. 그리고 허용되더라도 재무 시스템 접근은 별도로 판단합니다. 같은 감염 상황이라도 접근 범위가 업무에 필요한 자원으로 제한되는 점이 달라집니다.
도입을 생각한다면: 체크리스트
- 보호할 자원(데이터, 서비스, 장치)과 접근 주체(사용자, 서비스, 기기)의 목록부터 만든다. NIST는 자산과 흐름에 대한 상세한 파악이 마이그레이션의 전제라고 봅니다.
- 신원 관리와 다중 인증을 먼저 정비하고, 중요도가 높은 자원부터 단계적으로 적용한다.
- 기기 상태(패치, 관리 여부)를 정책 판단에 넣을 수단이 있는지 확인한다.
- PDP/PEP 자체가 공격 대상이 될 수 있으므로 이중화와 보호를 설계한다. NIST는 의사결정 과정의 훼손, 서비스 거부, 자격 증명 탈취와 내부자 위협, 네트워크 가시성 부족을 위협으로 다룹니다.
- 로그와 모니터링을 모아 정책을 계속 고친다(원칙 7).
흔한 오해와 정정
- 오해: 제로 트러스트 제품 하나를 사면 된다. 실제: 신원, 기기, 정책, 모니터링 등 여러 요소를 아우르는 전략입니다.
- 오해: 방화벽을 없애는 것이다. 실제: NIST는 마이크로 경계 같은 개념도 기능으로 포함하며, 많은 조직이 경계 기반과 혼합해 운영한다고 봅니다.
- 오해: 모든 사용자를 의심해 불편해지는 모델이다. 실제: NIST는 보안, 가용성, 사용성, 비용의 균형을 지향한다고 서술합니다.
- 오해: 일반 소비자 서비스에도 그대로 적용된다. 실제: NIST 원칙은 조직 내부나 협력 조직 업무를 대상으로 하며 익명의 공개 소비자 서비스는 범위 밖입니다.
한계와 더 알아볼 점
제로 트러스트는 합의된 단일 표준이 아니라 진화하는 패러다임이며, 이 글의 요약도 NIST SP 800-207과 위키백과로 확인한 범위에 한정됩니다. 위키백과에는 이 문서의 발행 연도를 2018년으로 쓴 서술도 있으나 NIST 문서에 표시된 확정 발행 시점은 2020년 8월이므로 이 글은 후자를 따랐습니다. 효과를 수치로 비교한 근거는 확인하지 못해 싣지 않았습니다. 도입 비용과 사용자 불편도 조직마다 다르므로 보안 전문가와 구체적 설계를 검토하세요.
방화벽·홈 네트워크 보안과 함께 알아보세요
경계 보안의 기본이 되는 방화벽 개념이 궁금하다면 방화벽(Firewall)이란? 기초 개념 정리를, 가정에서 바로 적용할 수 있는 보안 설정이 궁금하다면 홈 네트워크 보안 설정하는 방법을 확인해보세요.
자주 묻는 질문
제로 트러스트를 도입하면 VPN은 필요 없어지나요?
완전히 대체된다고 보기는 어렵습니다. 다만 전통적인 VPN이 "일단 연결되면 내부망 전체에 접근을 허용"하는 방식이었다면, 제로 트러스트 환경에서는 VPN으로 연결된 이후에도 자원마다 별도의 검증을 거치도록 요구하는 경우가 많습니다.
개인 사용자도 제로 트러스트 개념을 적용할 수 있나요?
기업 수준의 정교한 시스템까지는 아니더라도, 다중 인증(MFA) 사용, 계정별 최소 권한 부여, 사용하지 않는 접근 권한 주기적으로 정리하기 같은 원칙은 개인 사용자도 충분히 참고할 수 있습니다.
제로 트러스트는 누가 만든 건가요?
한 사람의 발명이 아니라 여러 흐름이 모인 개념입니다. 위키백과 기준으로 1994년 스티븐 마시의 논문에서 용어가 쓰였고, 2010년 포레스터의 존 킨더백이 모델 이름으로 알렸으며, 2020년 NIST SP 800-207이 공통 틀을 정리했습니다.
PDP와 PEP는 무엇인가요?
정책 결정 지점(PDP)은 접근을 허용할지 판단하는 곳이고, 정책 집행 지점(PEP)은 그 결정대로 연결을 열고 닫는 곳입니다. NIST는 PDP를 정책 엔진과 정책 관리자로 나눠 설명합니다.
중소기업이나 개인은 무엇부터 해야 하나요?
일반적으로 다중 인증 적용, 계정별 최소 권한, 사용하지 않는 권한 정리, 기기 업데이트 관리처럼 작은 단계에서 시작합니다. 구체적 설계는 조직 상황에 따라 전문가와 상의하세요.
더 읽어 보기
다중 인증은 2단계 인증 가이드, VPN의 역할은 VPN 기초 가이드에서 이어서 볼 수 있습니다.