[기고] 망분리 완화 후 최소 권한의 원칙이 더욱 중요한 이유

양희정 BeyondTrust 한국 비즈니스 총괄·공학박사 올해로 한국의 망분리 정책은 도입 20년을 맞이한다. 2006년 국가기관을 시작으로 2013년 금융권까지 확산된 물리적 망분리는, 외부 인터넷을 통한 침투 경로를 원천적으로 막아주는 든든한 울타리 역할을 해왔다. 그런데 지난해 8월 금융위원회가 발표한 '금융분야 망분리 개선 로드맵'과 올해 추진되고 있는 국가망보안체계(N2SF) 전환을 계기로, 정책의 흐름은 '일률적인 물리적 분리'에서 '데이터 등급에 따른 리스크 기반 통제'로 서서히 옮겨가는 모습이다. 생성형 인공지능(AI)과 클라우드를 업무에 자연스럽게 들여오고 싶은 현장의 목소리가, 20년 가까이 이어져온 규제에 변화의 물꼬를 튼 셈이다. 다만 한 가지 짚어보고 싶은 지점이 있다. 물리적 망분리는 다소 투박한 방식이었지만, '외부에서 내부로의 경로' 자체를 막아준다는 점에서는 효과가 분명했다. 반면 논리적 망분리나 가상 데스크톱 인프라, 제로트러스트 기반 통제로 옮겨가면, 접근 자체는 허용하는 대신 '누가, 무엇을, 얼마나' 접근할 수 있는지를 훨씬 세심하게 들여다봐야 한다. 울타리를 낮추는 만큼, 문 앞에서의 신원 확인과 권한 관리는 그만큼 촘촘해질 필요가 있다. 그리고 바로 이 지점에서 최소 권한의 원칙이 다시금 주목받고 있다. 최소 권한의 원칙은 먼 이야기가 아니다. 2011년에 있었던 금융기관 전산망 마비 사고를 돌아보면, 서버 유지보수를 맡았던 협력업체 직원의 노트북이 필요 이상의 관리자 권한을 갖고 있었던 탓에, 노트북 한 대에서 내려진 명령이 핵심 서버 전체를 멈춰 세울 수 있었다. 2014년 카드사 개인정보 유출 사건에서도, 시스템 테스트를 위해 파견된 외주 개발자에게 필요 이상의 개인정보 접근권한이 주어지면서 1억 건이 넘는 고객정보가 밖으로 흘러나갔다. 두 사고 모두, 물리적 망분리 여부와는 별개로 업무에 필요한 범위를 넘어서는 권한이 남아 있다면 작은 사고 하나가 조직 전체로 번질 수 있음을 보여준다. 실제로 한 보안 업계 조사에서는, 로컬 관리자 권한을 없애고 실행을 통제하는 것만으로도 마이크로소프트 크리티컬 취약점의 75%가 완화됐다는 결과가 나오기도 했다. 망분리가 완화되는 시기, 최소 권한을 실천하는 방법은 크게 세 가지 정도로 생각해볼 수 있다. 우선 전사 계정과 권한에 대한 가시성을 확보하는 일이다. 사람 계정뿐 아니라 애플리케이션, 서비스 계정, AI 에이전트 같은 ...