잇단 해킹에 주목받는 ‘제로트러스트’…정작 관련 예산은 줄어

금융권 해킹 사고가 잇따르면서 접속자의 신원과 접근 권한을 지속적으로 검증하는 '제로트러스트'가 주목받고 있다. 금융당국도 제로트러스트 원칙에 기반한 보안체계 재구축을 주문했다.

제로트러스트는 내부망에 있다는 위치나 기존에 인증을 받았다는 사실만으로 사용자와 기기를 신뢰하지 않는 보안 개념이자 체계다. 네트워크가 침해될 수 있다는 가능성을 전제로 접근 요청을 검증하고, 업무상 필요한 최소 권한만 부여하는 방식이다.

국회입법조사처는 8월 '2026 국정감사 이슈 분석' 보고서를 발간했다. 이 보고서는 정부가 2027년까지 제로트러스트의 전면 확산을 유도한다는 목표를 세웠지만, 정부 정책과 관련해 예산과 지원 체계가 미진하다고 짚었다.

보고서는 관련 예산이 매년 감소했다고 봤다. 또 기업의 도입 수준을 파악하기 위한 실태조사가 없고, 보안에 취약한 중소기업을 대상으로 한 특화 지원 사업도 미비하다고 지적했다.

최근 금융권 침해사고를 계기로 제로트러스트의 중요성이 부각된 가운데, 금융당국은 금융사들에 제로트러스트 기반 보안 강화를 주문했다. 4일 열린 대응 회의에는 금융권 CEO·관계 부처·기관 관계자가 참석했다. 이억원 금융위원장은 AI 발전에 따라 예상 밖 취약점을 악용하는 해킹 수법이 빠르게 확산하고 있다고 밝히고, 금융사들이 제로트러스트 원칙에 기반한 보안체계 고도화를 가속할 것을 당부했다.

그러나 제로트러스트에 대한 관심 증대와는 별개로 확산 지원용 정부 지원은 축소되고 있다. 정부는 2023년 '정보보호산업의 글로벌 경쟁력 확보 전략'을 발표하고 2027년까지 제로트러스트의 전면 확산을 유도할 계획을 내놨다.

하지만 제로트러스트 도입 시범사업 예산은 2024년 62억 원, 2025년 56억 원, 올해 45억 원으로 매년 감소했다. 이에 따라 정책 목표와 재정 투자 간 괴리가 발생하고 있다.

정부의 제로트러스트 확산 정책이 성과를 지원 건수 중심으로만 관리하고, 실제 확산 현황을 점검·측정할 체계는 미흡한 것으로 나타났다. 과학기술정보통신부가 입법조사처에 제출한 자료에 따르면 정부의 제로트러스트 확산 사업 성과 관리 기준은 시범적용 지원 건수다. 반면 실제 제로트러스트로 보안 체계를 전환한 기업 수를 파악하기 위한 실태조사는 부재한 상태다. 보고서도 정부의 확산 수준 파악용 평가지표와 실태조사 체계가 미비하다고 지적했다.

중소기업 지원은 제한적인 것으로 파악됐다. 지난해 시범사업 수요기업 8곳 중 중소기업은 1개사였다. 중소기업은 인력·예산 측면에서 제로트러스트를 자체 구축·운영할 역량이 부족한데도, 입법조사처는 중소기업 상황을 고려한 별도 지원이 필요하다고 지적하면서도 관련 사업은 없다고 짚었다. 보고서는 공공조달 우대·세재지원 등 도입 인센티브도 부재하다고 지적했다.

입법조사처는 국정감사 점검 과제로 제로트러스트 사업의 적정 예산과 확대 계획, 실태조사·성과지표 개선 방안을 제시했다. 이는 예산과 사업 확장뿐 아니라 실제 도입 현황을 확인할 수 있는 조사와 지표 체계의 보완이 필요하다는 취지로 제시됐다.

다만 실제 국감에서는 관련 문제제기가 두드러지지 않았다. 최형두 국민의힘 의원이 제로트러스트 관련 예산이 매년 감소하고 있다고 지적했지만, 최형두 의원 외 추가 논의는 드물었다.

출처: 아이티데일리 (IT DAILY) · 김호준 기자
원문: https://www.itdaily.kr/news/articleView.html?idxno=242129

참고자료

• https://www.itdaily.kr/news/articleView.html?idxno=242129