제로 트러스트

Zero Trust

네트워크가 이미 침해됐다고 가정하고, 접속 위치나 네트워크 경계만으로는 신뢰를 부여하지 않으며 모든 접근 요청을 그때그때 검증해 허용 여부를 결정하는 보안 개념과 원칙을 말한다.

"절대 신뢰하지 말고 항상 검증하라(Never Trust, Always Verify)"로 요약된다. 내부망을 신뢰하고 외부 위협을 막는 데 집중하던 경계형 보안과 달리, 내부망에서 온 요청이라는 이유로 암묵적 신뢰를 주지 않는다. 접근 요청마다 사용자 신원, 기기 상태, 접속 맥락(위치·시간 등)을 종합해 인증·인가를 거치고, 업무 수행에 필요한 최소 권한만 부여한다. 클라우드 확산, 원격근무 증가 등으로 네트워크 경계가 모호해진 것이 배경으로 거론된다.

2010년 포레스터 리서치의 존 킨더버그(John Kindervag)가 모델을 제시했고, 미국 국립표준기술연구소(NIST)가 2020년 8월 SP 800-207 'Zero Trust Architecture'로 개념과 구성요소(정책 결정·시행 지점 등)를 정리했다. 미국은 2021년 행정명령 14028로 연방기관의 도입을 추진했다. 국내에서는 과학기술정보통신부가 2023년 7월 가이드라인 1.0, 2024년 12월 3일 가이드라인 2.0을 발표했으며 우리말 표현으로 '철통 인증'을 병기했다.

제로 트러스트(ZT)는 개념과 원칙이고, 이를 기업 환경에 구현한 계획이 제로 트러스트 아키텍처(ZTA)다. 단일 제품이나 단일 규격이 아니라 원칙의 집합이어서 조직마다 구현 방식이 다르며, NIST 등의 지침으로 제시된다. 사용자·기기 신원 검증, 최소권한, 지속적 모니터링, 네트워크 세분화 등과 결합해 구현한다.

인터넷망과 업무망의 경계를 나누는 망분리가 경계형 보안이라면, 제로 트러스트는 내부망이라는 이유만으로 신뢰하지 않는 접근 방식이다.