[송민택 교수의 D-엣지] 보안의 새 원칙, 차단에서 끊임없는 검증으로

SK텔레콤의 유심 인증키 유출부터 시작해, 최근 롯데카드 해킹 사고까지 연이어 보안 사건이 발생하고 있다. 인증 정보의 대규모 유출, 시스템 침해뿐만 아니라, 악성코드를 통한 내부 데이터 접근까지 그 양상도 다양하다. 문제는 특정 기업의 관리 실패가 아니라 현재까지 의존해 온 보안체계가 흔들린다는 신호다. 이제는 규제식 보안에서 벗어나 현실에 맞는 합리적인 보안체계가 필요한 시점이다.

2014년부터 시행된 망분리는 보안의 최후 방어선이었다. 내부망과 외부망을 물리적으로 차단하는 방식인 만큼 단순하고 강력하다. 그러나 공격자는 이미 내부 계정을 탈취하거나 정상 사용자로 위장하는 방식으로 침투하고 있다. 최근 사고들도 방화벽을 정면으로 뚫은 게 아니라, 이메일 첨부파일이나 취약한 단말기를 파고든 결과였다. 일단 안으로 들어오면 망분리 여부와 관계없이 확산은 순식간이다. 결국 망분리에 기댄 보안은 더 이상 답이 될 수 없음을 보여준다.

일부에선 여전히 망분리가 확실한 방법이라고 주장한다. 그러나 물리적 차단만으로는 내부에서 움직이는 공격을 막을 수 없다. 오히려 이중망과 파일 전송 절차는 비용과 운영 부담만을 키운다. 또 망분리에 따른 예외 규정은 새로운 취약점을 생성한다. 비유하자면, 성벽은 높지만 성문은 허술한 셈이다.

해외 주요 금융기관은 망분리를 강제하지 않는다. 대신 제로트러스트로 사용자 신원을 수시로 확인하고, 보안관제센터에서 24시간 위험을 감시하며, 국제 기준에 맞춰 보안 체계를 운영한다. 자체 전산시설인 온프레미스와 클라우드를 혼합해 쓰면서도 데이터 단위 접근 통제와 다중 인증으로 안전을 확보하고 있다. 국내 금융사도 보안관제센터를 운영하지만, 망분리 규제가 발목을 잡아 제로트러스트와 국제표준 기반 체계로의 전환은 지연되고 있다. 결국 한국은 망이라는 벽에 자원을 쓰고 해외는 인증과 검증에 자원을 쓴다는 차이가 생긴다.

제로트러스트는 클라우드 확산과 함께 알려졌지만, 본질은 경계에 의존하지 않는 원칙이다. 온프레미스 환경에서도 그대로 작동한다. 관리자 권한은 필요할 때만 부여하고, 모든 행위는 기록되며, 네트워크 내부도 세분하여 불필요한 접근을 차단할 수 있다. 이는 내부자 위협과 탈취한 데이터를 담보로 금전을 요구하는 랜섬웨어의 확산을 막는데도 효과적인 방법이다.

다만, 망분리와 제로트러스트를 동시에 강제하면 중복 투자만 늘어날 뿐이다. 두 체계를 병행할수록 관리 복잡성은 커지고 현장의 혼란도 가중되기 때문이다. 한마디로 성벽을 쌓고 그 앞에 경비원을 세우는 격이다. 핵심은 망분리의 단계적 해체와 제로트러스트 중심으로의 재편이다.

우선 계정과 인증부터 전면적으로 바꿔야 한다. 다중 인증과 패스키, 최소 권한 원칙은 기본이다. 단말 위협 탐지 대응 체계를 갖추고, 필요하다면 네트워크나 이메일, 클라우드까지 통합 보호해야 한다. 데이터와 업무 단위로 접근 권한의 세분화도 필요하다. 특히 외주와 협력사도 동일한 기준을 적용해야 한다.

감독 당국도 규제의 틀을 바꿔야 한다. 즉, 인증·접근·로깅이 얼마나 철저히 실행되고 있는가로 규제 기준을 맞춰야 한다. 망분리와 제로트러스트를 함께 강제하는 이중 규제는 비용만 늘리고 혁신을 늦출 뿐이다. 따라서 망분리를 단계적으로 줄이고, 제로트러스트 성숙도와 검증 체계를 중심으로 감독을 전환하는 것이 바람직하다.

보안은 망분리와 같은 성벽의 높이로 결정되지 않는다. 끊임없는 확인과 검증이야말로 신뢰의 토대다. 물론 원칙을 바꾼다고 사고가 완전히 사라지지는 않을 것이다. 그러나 지금처럼 낡은 틀에 머물면 피해는 더 커질 뿐이다. 시대에 맞는 합리적인 원칙으로 옮겨갈 때 비로소 새로운 위협에 맞설 수 있다.

송민택 한양대 경영전문대학원 겸임교수 nagaiaida@hanmail.net