[ET단상] 제로 트러스트, 도입보다 '운영'이 중요하다

크리스 베츠(Chris Betz) 옴니사 CTO 기관과 기업이 디지털 업무환경의 현대화를 추진하면서 한 가지 사실이 분명해지고 있다. 보안을 업무환경과 분리된 별도의 계층으로 운영하는 방식은 더 이상 유효하지 않다는 점이다. 오늘날 정보기술(IT) 및 보안 조직의 고민은 복잡한 업무환경에서 어떻게 실제로 운영할 것인지다. 직원들이 업무에 사용하는 환경은 갈수록 다양해지고 있다. 회사가 관리하는 디바이스뿐 아니라 개인 소유 등 관리되지 않는 기기에서도 업무를 수행한다. 접속 대상도 서비스형 소프트웨어(SaaS), 웹, 가상 애플리케이션, 네이티브 애플리케이션 등으로 확대됐다. 기업은 디바이스의 보안 상태를 지속적으로 점검하고 취약점을 신속하게 줄여야 한다. 시행 중인 보안 정책이 실제 위험을 얼마나 효과적으로 낮추고 있는지도 확인해야 한다. 업무환경이 복잡해질수록 제로 트러스트를 일관되게 적용하고 운영하는 일은 더욱 어려워진다. 제로 트러스트를 제대로 운영하려면 사용자 접근을 관리하는 방식부터 바꿔야 한다. 모든 애플리케이션에 동일한 접근 방식을 적용하는 것은 적절하지 않다. 어떤 애플리케이션은 일반 웹 브라우저를 통한 접속으로 충분하지만, 민감한 정보를 다루는 애플리케이션은 가상 환경에서 실행하거나 한층 강력한 격리 조치를 적용해야 할 수 있다. 중요한 것은 사용자의 상황과 디바이스 보안 상태, 접속 위치, 현재 위험 수준 등을 종합적으로 고려해 적절한 접근 방식을 선택하는 것이다. 접근 제어와 보안 상태 평가, 위협 인텔리전스, 자동화 기능을 함께 활용하면 최초 로그인 단계의 인증에만 의존하지 않고 위험 변화에 따라 보안 정책을 실시간으로 조정할 수 있다. 조직이 유지해야 할 '목표 보안 상태(Desired State)'를 명확히 정의하는 것도 중요하다. 디바이스와 애플리케이션, 보안 설정이 어떤 상태를 유지해야 하는지 기준을 정하지 않으면 보안 운영은 문제가 발생한 뒤 수습하는 사후 대응에 머물기 쉽다. 반대로 목표 보안 상태를 구체적으로 정해두면 현재 환경이 기준을 충족하는지 지속적으로 확인할 수 있다. 설정이나 운영 상태가 기준에서 벗어난 부분을 빠르게 찾아 필요한 조치를 취하는 것도 가능해진다. 목표 상태를 정의한 이후에는 보안 상태와 규정 준수 여부를 지속적으로 점검해야 한다. 실시간 위험 및 취약점 정보를 활용하면 시스템 설정이 기준에서 벗어나는 '구성 변경(Configuration Drift)'을...