[취재.txt] 제로트러스트, ‘공염불’ 되지 않으려면

금융권에서 해킹 피해가 전반으로 확산한 가운데, 지난달 14일 금융당국은 은행·저축은행 등 16개 사의 침해사고를 확인했다고 발표했다. 이들 사고로 총 약 10만 건의 정보가 유출된 것으로 파악됐다. 이후에는 대신증권의 고객정보 유출 사실도 추가로 드러났다.

금융당국은 해결책으로 제로트러스트를 강조했다. 금융권을 대상으로 보안 체계를 제로트러스트 원칙 기반으로 전환할 것을 주문했다. 제로트러스트 원칙은 절대 믿지 말고 항상 검증하라는 내용이다.

이번 대응 구도는 지난해 국내 해킹 사고 당시와 유사한 양상이다. 당시에는 통신사·전자상거래 기업이 해킹 피해를 입었다. 그때도 제로트러스트가 개선 방안으로 공통 강조됐고, 일부 기업은 사고를 반면교사로 제로트러스트 기반 보안 체계를 마련하겠다고 약속했다.

올해 금융권에서 사고가 재발했다. 이번 사고의 원인으로는 외부 공격 표면 관리 실패와 인증·인가 관리 미흡이 지목됐다. 두 문제는 모두 이전부터 지적된 사항이었고, 제로트러스트가 강조돼 왔음에도 기본적 보안 통제의 붕괴가 다시 나타났다.

이처럼 제로트러스트 도입 요구가 일회성 구호로 흐른 배경에는 실행 기반 부족이 있다는 지적이 나온다. 기업에는 제로트러스트 준수 의무가 없고, 어떤 제도에서도 제로트러스트 준수를 요구하지 않는다. 기업이 자발적으로 보안을 강화해도 가시적 결과·혜택이 없어 보안을 비용이 아닌 투자로 보는 인식의 설득력도 약화하고 있다. 여기에 제로트러스트 추진 의지가 있어도 어디서 시작할지 지점을 정하기 어렵고, 어느 수준을 제로트러스트로 볼지에 대한 합의된 기준도 부족하다.

이 같은 현장의 인식은 본지가 9월 개최한 '2026 정보보호 솔루션 컨퍼런스' 참가자 대상 조사에서도 확인됐다. 응답자 94명 중 39명, 비율로는 41.5%에 해당하는 조사 응답자 39명(41.5%)은 제로트러스트 구현의 최대 어려움으로 가이드라인 및 참고 사례 부족을 꼽았다.

제로트러스트 정착의 필요 조건으로는 정부 지원이 제시된다. 정부는 2023년 '정보보호산업의 글로벌 경쟁력 확보 전략'을 통해 2027년까지 제로트러스트 전면 확산을 유도하겠다는 방침을 발표했다. 그러나 목표 시점이 임박한 현시점에서 약속 이행 여부는 불확실하다. 기준 역할을 하는 가이드라인은 2024년 발표된 2.0 버전 이후 정체됐고, 3년째 지속된 시범 사업은 예산이 축소됐다.

제로트러스트 확산 정도를 파악하는 체계도 미흡하다. 과학기술정보통신부는 국회입법조사처에 제출한 자료에서 확산 사업의 성과 관리 지표로 '시범적용 지원 건수'를 사용했다. 그러나 실제로 보안 체계를 전환한 기업 수를 파악하기 위한 실태조사는 부재한 상태다. 이 때문에 지원 건수 중심의 관리만으로는 실제 전환 수준을 확인하기 어렵다.

후속 제도도 진전을 보이지 않고 있다. 지난해 말에는 제로트러스트 의무화의 핵심으로 꼽히는 정보통신망법 개정안이 발의됐지만, 해당 개정안은 이후 진전이 없었다. 공공 조달 우대도 부재하고 세제 지원도 부재한 상황이다. 이처럼 법 개정과 조달 우대, 세제 지원이 뒤따르지 않으면서 제로트러스트를 대안으로 제시한 주장은 실질성이 부족하다는 평가가 나온다.

제로트러스트 규정은 거창한 사이버보안 전략이 아니며, 제로트러스트의 성격은 놓치기 쉬운 작은 지점까지 재점검하라는 경고라고 할 수 있다. 제로트러스트의 위상은 새로운 기본이며, 도입을 강조하는 것만으로는 부족하다. 현실화를 위한 기반 구축이 필요하다.

사고가 날 때마다 동일한 대안이 반복 제시되고 있지만 실행 여건의 변화는 없다. 실행 여건이 그대로이면 결과의 변화를 기대하기 어렵다. 따라서 제로트러스트 현실화를 위한 제도의 재정비와 제로트러스트 현실화를 위한 지원의 재정비가 필요하다. 선언과 실행 사이의 빈틈이 해소되지 않으면 제로트러스트는 공염불이 될 수 있고, 해킹 이후 같은 구호가 반복될 우려가 있다.

출처: 아이티데일리 (IT DAILY) · 김호준 기자
원문: https://www.itdaily.kr/news/articleView.html?idxno=242658

참고자료

• https://www.itdaily.kr/news/articleView.html?idxno=242658