진승헌 ETRI 신인증·물리보안연구실 책임연구원
![[포럼] 포스트코로나 보안, `제로신뢰`서 출발해야](http://contents.dt.co.kr/images/202204/2022041102102369073001[1].jpg "[포럼] 포스트코로나 보안, `제로신뢰`서 출발해야")
한 설문조사에 따르면 글로벌 기업 76%가 코로나19 팬데믹으로 해킹 공격이 급증했다고 답했고, 대다수 응답자가 원격근무가 주요 요인이라고 지적했다. 특히 팬데믹으로 인하여 직원들의 원격근무 환경, 개인기기 및 홈 네트워크 사용 등이 보안 사각지대를 만들고 있다고 언급했다.
최근 S전자 반도체 유출 시도 사건 등이 벌어지면서 국내에서는 제로 트러스트(Zero-Trust) 보안 모델이 재조명받고 있다. 즉, 아무것도 믿지 못하는 환경을 전제로 보안 모델을 설정하는 것이다. 기존에는 내부는 안전하고 외부는 안전하지 않다는 것을 가정하는 경계보안(Perimeter Security) 모델이 주를 이루었다. 하지만, 코로나19로 인해 사무실 근무와 재택 근무를 병행하는 하이브리드 근무환경이 일반화되면서 직원의 물리적인 위치에 따른 보안 대응보다는 서비스 전(全)단계에서 사용자를 인증하고 행위를 모니터링·제어하면서 침해를 예측·대응하는 개념으로 전환이 필요하다는 것이다.
미국 공공 및 민간 부문 기업에 대한 대규모 해킹 공격이 늘어나자 작년 5월 미국 조 바이든 대통령은 '국가 사이버보안 개선에 대한 행정명령'(Executive Order on Improving the Nation's Cybersecurity)을 내렸다. 이 내용 중에 '연방정부 사이버보안 체계 현대화'를 위하여 제로 트러스트 적용을 제시하였다.
제로 트러스트는 모든 것을 믿을 수 없으니, 항상 검증하라는 개념이다. 조직의 자원(자산, 서비스, 워크플로우, 네트워크 계정 등)을 보호하기 위하여 접근 허가를 하기 전에 사용자가 누구인지, 허가를 받은 단말기인지, 그리고 어떤 접근 권한을 가졌는지 등을 검증한다. 또한, 시스템 이용시에도 인증과 권한 여부에 대한 지속적인 검증을 한다.
이러한 세밀한 검증이 조직의 자산을 안전하게 보호하는 데에는 유효할 수 있지만, 사용자 경험 측면에서 사용자에게 보안 피로를 줄 수 있어, 조직에서 제로 트러스트 도입시에 장애요인이 될 수 있다.
이러한 보안 피로를 줄이기 위해서는 무(無)노력(Zero-Effort) 보안이 필요하다. 이를 위한 요구사항 3가지를 다음과 같이 정리한다. 첫째, 위험기반(Risk-based) 인증이다. 모든 자원 접근에 동일한 수준의 인증 수단을 요구하기보다는 자원의 해킹 시 피해 정도에 따른 인증 수단을 수준별로 제공하는 것이다.
둘째, 지속형(Continuous) 인증이다. 사용자가 시스템에 접속하여 서비스 이용시에 지속적인 인증을 수행하는 것이다. 하지만, 이를 위해 사용자에게 지속적인 입력이나 행동을 요구하기보다는 시스템이 사용자 행위를 인공지능으로 학습하여 정상행위인지 아닌지를 판단할 수 있도록 해야 한다.
셋째, 적응형(Adaptive) 인증이다. 사용자가 서비스를 이용하는 장비가 기존의 PC나 노트북에서 AR·VR(증강현실·가상현실) 글래스나 스마트밴드 등으로 확대될 수 있어서 상황에 맞게 사용자의 서비스 이용 경험을 해치지 않으면서 인증해야 한다.
세상은 점점 더 복잡하게 연결되고 있다. 가상과 현실이 연결된 메타버스 세상에 대한 기대도 넘쳐나고 있다. 많은 연결은 보안 측면에서 보면 더 넓어진 공격 표면(Attack surface)으로 인하여 해킹 공격이 늘어날 개연성이 높아진다. 이러한 환경에서 우리의 자산을 안전하게 지키기 위해서는 제로 트러스트 기반의 정교한 검증이 필요하다. 다만, 이러한 검증이 사용자의 서비스 경험에 대한 저항이 생기지 않도록 무노력 보안이 함께 고려되어야 한다.
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
