JD Securtiry Expert

제로트러스트 Zero Trust

"아무것도 신뢰하지 마라"

제로 트러스트(Zero Trust)는 현대 IT 보안 분야에서 중요한 개념으로,

"아무것도 신뢰하지 마라"는 원칙을 가지고 있습니다.

이는 인터넷상에서 정보를 주고받는 모든 행위에 대해 근본적으로 의심하고,

모든 접근을 검증하는 보안 접근 방식을 말합니다.

예를 들어, 크x 브라우저, 카카x 메신저, 알x 백신 등의 소프트웨어를 다운로드하고 사용할 때,

제로 트러스트 접근법은 이러한 애플리케이션들이 안전하다고 가정하지 않고,

그들의 보안 수준을 지속적으로 검증하고 모니터링하는 것을 의미합니다.

제로 트러스트의 등장 배경

전통적인 보안 모델은 내부 네트워크를 신뢰하고 외부를 불신하는 방식으로 구성되어 있었습니다.

이 모델은 방화벽과 가상 사설망(VPN)을 중심으로 하여,

내부 네트워크에 대한 접근을 기본적으로 신뢰했습니다.

하지만 클라우드 컴퓨팅, 모바일 장치, IoT 기기의 대중화로 인해

보안 환경이 변화하면서 이러한 전통적인 접근 방식의 한계가 드러났습니다.

제로 트러스트 모델은 이러한 변화에 대응하여 등장했습니다.

제로 트러스트의 핵심 원칙

기존의 보안체제와 제로트러스트 보안의 차이점

미국의 제로트러스트 보안 가이드라인

사이버보안 및 인프라보안국(CISA)은

2023년 4월 제로 트러스트 성숙도 모델(Zero Trust Maturity Model, ZTMM)의 업데이트 버전을 발표했습니다.

이 업데이트된 모델은 연방 기관들이 제로 트러스트 아키텍처로 전환하기 위한 종합적인 로드맵을 제공하며,

다섯 가지 주요 영역에 걸쳐 구현 지침을 제공합니다. 이 모델은 연방 기관뿐만 아니라

주, 지방, 부족, 영토 정부 및 민간 부문에서도 사용할 것을 권장합니다.

모델의 목적은 기관들이 시간이 지남에 따라 제로 트러스트 아키텍처의 최적화를 향해

소규모 개선을 할 수 있도록 하는 것입니다.

업데이트된 ZTMM의 핵심 초점은 데이터, 네트워크, 인프라에 대한 접근을 최소한으로 유지하고

그 접근의 정당성을 지속적으로 검증하는 것입니다.

새로운 성숙도 모델은 "초기(Initial)" 단계를 도입하고

전체적으로 네 단계의 성숙도(전통적, 초기, 고급, 최적)를 포함합니다.

각 단계에서 CISA는 제로 트러스트 아키텍처 구현을 위한 계획 및 결정을 고려할 때

고려해야 할 여러 새로운 기능을 추가하고 기존 기능을 업데이트했습니다.