[넋두리 2] 12. 화제의 '제로 트러스트'

이상적이지만 실제 구현은 요원한 용어

최근 정보보안 분야에서 가장 화제가 되고 있는 용어는 바로 '제로 트러스트'라고 할 수 있다. 말 그대로 직역한다면 '신뢰 안 함' 또는 '믿지 않음' 정도가 될 것이다. 실제로 이 용어를 설명하고 있는 자료에서도 '절대 신뢰하지 않고 항상 확인하는 것'이라고 기술되어 있기도 하다.

용어 그대로만 놓고 보면 참 정 없는 표현이기도 하다. 절대 신뢰하지 않는다는 대상이 누가 보아도 임직원일 것으로 예상되기 때문이다. 회사(또는 기관)를 위해 나름 열심히 일하고 있다고 생각하는데 절대로 신뢰하지 않는다고 하면 얼마나 정 떨어지고 힘 빠지는 상황이란 말인가. 그래서 정보보안조직이 '제로 트러스트'를 도입하겠다고 하면 "대체 얼마나 못 미더워서 저렇게까지 하는 거냐"는 푸념, 원망과 함께 도입에 대한 강한 반발에 부딪히게 되곤 한다. 물론 아직까지는 도입했다는 기업이 많지도 않고, 설사 도입했다는 곳도 제대로 구현이 된 것인지도 불분명하다.

오랫동안 정보보안 분야에서 일해온 경험을 토대로 나름 정리를 해보면 기업이나 기관이 '제로 트러스트'를 도입하기 위해서는 두 가지 선결 사항이 필요하다고 생각된다.

첫째는 정보보안조직이 '제로 트러스트'에 대해 올바로 이해하고 임직원에게 전파할 필요가 있다.

'절대 신뢰하지 않고 항상 확인하는 것'이라고 표현되어 있지만 이는 '제로 트러스트'의 설계를 위한 개념일 뿐 실제로 임직원들을 불신하라는 의미는 아니다. 임직원에게 최소한의 권한을 부여하여 사람에 의한 고의나 실수로 인한 사고를 사전에 방지하도록 설계에 반영하라는 의미로 해석하여야 한다. '절대 신뢰하지 않는다'는 말은 애초에 불필요한 권한을 제공하지 않도록 사전에 설계에 반영해야 한다는 말의 다른 표현인 것이다. 이 의미를 되새겨 임직원들에게 전파한다면 도입에 따른 반발이 발생하지 않아도 될 것이다.

둘째는 불필요한 권한을 부여하지 않을 수 있도록 업무가 설계되어 있어야 한다.

실제로 기업이나 기관에서 침해사고가 발생하는 가장 큰 이유는 특정 임직원들에게 불필요한 권한이 부여되어 있기 때문이다. 보지 않아도 되는 자료, 메뉴, 시스템에 대한 접근이 가능한 것이 침해사고 발생의 이유인 것이다. 권한을 회수하면 되지 않는가 생각하겠지만 그리 단순하지 않다. 권한을 부여하는 체계가 특정 자료, 메뉴, 시스템별로 세분화되어 있지 않기 때문에 각 권한별로 불필요한 접근권한이 발생할 수밖에 없는 것이 현재 기업이나 기관들이 가진 권한 체계의 문제점이다. 유일한 방법은 아예 권한을 주지 않는 것인데 이 경우는 업무처리가 불가능하다는 부작용이 생기게 되어 고려 대상이 되지 못한다. 따라서, 권한 체계 전반에 걸친 재설계와 함께 연관된 시스템의 재개발 또는 고도화 프로젝트가 함께 되어야 하는 대규모 사업이 불가피하며, 그만큼 많은 예산의 동반을 요구한다.

최근 들어 '제로 트러스트'와 관련된 정보보안 세미나 및 행사가 많이 개최되고 있다. 보안솔루션 도입을 통한 '제로 트러스트'의 구현이라는 설명을 곁들여서 말이다. 그래서 궁금해진다. 정말 그 보안솔루션을 도입하면 '제로 트러스트'의 도입이 가능한 것인지. 보기에는 참 이상적으로 보이지만 실제 구현은 요원해서 아직 한참 멀었다고 느껴지는 그 '제로 트러스트'가 말이다.