PE Notes · 보안
제로트러스트
내부망을 믿던 경계 보안과, 신원·기기·맥락을 매번 검증하는 제로트러스트를 기둥과 성숙도, PEP·PDP로 비교합니다.
데이터가 클라우드로 나가고 직원이 집과 카페에서 접속하면, “성 안은 안전하다”는 전제가 먼저 무너집니다. 는 위치를 신뢰의 근거로 두지 않고, 모든 요청을 그때그때 검증합니다. 구호는 “Never Trust, Always Verify”입니다. 이 글은 원칙, CISA 기둥과 성숙도, 경계 모델과의 비교를 한 표에 올립니다.
원칙과 경계 모델
경계 보안은 방화벽 안쪽을 믿고, 바깥만 막습니다. 한번 들어온 계정이 옆으로 옮기면 내부 트래픽은 그대로 통과합니다. 제로트러스트는 그 내부도 매번 다시 봅니다.
| 원칙 | 한 줄 |
|---|---|
| 명시적 검증 | 신원·기기·위치·행동을 모아 인증·인가한다. |
| 필요한 만큼만, 필요할 때만 (JIT/JEA). | |
| 침해 가정 | 이미 뚫렸다고 보고 범위를 자르고 암호와 탐지를 붙인다. |
| 비교축 | 경계 기반 | 제로트러스트 |
|---|---|---|
| 신뢰 | 내부=신뢰, 외부=불신 | 위치 무관, 항상 검증 |
| 접근 기준 | IP·방화벽 규칙 | 신원·기기·행동·맥락 |
| 내부자·측면 이동 | 내부 트래픽을 믿음 | 마이크로 세그먼트로 차단 |
| 클라우드·원격 | VPN으로 보완 | 네이티브 (앱 단위 접근) |
| 구현 | 비교적 단순 | 전사 아키텍처 변경 |
방화벽과 VPN이 사라지는 것이 아닙니다. 그것만으로는 경계가 흐릿한 환경을 못 닫는다는 뜻입니다.
다섯 기둥과 성숙도
CISA ZT Maturity Model 2.0은 구현을 다섯 기둥과 네 단계로 나눕니다. 한 제품이 아니라 운영 성숙도입니다.
| 기둥 | 하는 일 | 수단 |
|---|---|---|
| Identity | 사람·서비스 계정을 지속 검증 | MFA, SSO, IAM |
| Devices | 기기 상태와 무결성 | EDR, MDM, 인증서 |
| Networks | 구역을 잘게 나누고 암호 | SASE, SD-WAN |
| Apps & Workloads | 앱·API 접근을 매번 확인 | API 게이트웨이, WAF, CASB |
| Data | 분류·암호·유출 방지 | DLP, DSPM |
| 단계 | 이름 | 특징 |
|---|---|---|
| 1 | Traditional | 정적 정책, 수동, 사일로 |
| 2 | Initial | 일부 자동화, 신원 기반 시작 |
| 3 | Advanced | 전사 MFA, 세그먼트, 실시간 분석 |
| 4 | Optimal | 자동, 위험 점수, 적응형 인가 |
은 네트워크 기둥의 뼈대입니다. 한 구간이 뚫려도 옆 구간으로 못 가게 합니다. 와 는 그 정책을 클라우드 가장자리에서 집행하는 형태입니다.
도입 순서와 PEP·PDP
NIST SP 800-207의 뼈대는 자산 목록, 정책 점, 파일럿, 확산, 개선입니다. 요청은 가 받고, 허용·거부는 가 정합니다.
| 단계 | 할 일 |
|---|---|
| 파악 | 데이터·앱·흐름을 그리고 갭을 잰다. |
| 설계 | PEP·PDP, 세그먼트, IAM을 정한다. |
| 파일럿 | 고위험 자산에 MFA·기기 검증을 먼저 단다. |
| 확산 | 신원 → 기기 → 망 → 앱 → 데이터 순으로 넓힌다. |
| 개선 | 행동 분석, 감사, 공급망 접근에도 같은 원칙을 적용한다. |
파트너와 패키지가 내부처럼 드나들면 도 같은 검증 대상입니다. 접근통제 토픽의 ABAC이 PDP의 정책 언어가 되고, 방화벽 토픽의 VPN은 ZTNA로 역할이 줄어듭니다.