제로 트러스트

예전 보안은 담장 하나를 두르는 모양이었습니다. 회사 네트워크 바깥에서 들어오는 길목에 확인 절차를 세우고, 일단 안으로 들어온 요청은 믿어 주는 구조입니다. 사무실에서만 일하고 서버도 사무실 안에 있던 시절에는 안과 밖이 물리적으로 갈라져 있어 이 그림이 현실과 맞았습니다.

그 전제가 두 가지 변화로 깨졌습니다. 사람이 집과 카페에서 일하기 시작했고, 회사 데이터가 여러 외부 서비스로 나뉘어 들어갔습니다. 고객 명단은 영업 도구에, 문서는 문서 도구에, 코드는 코드 저장소에 있고 어느 것도 담장 안에 없으니 담장 안이라는 자리가 사라졌습니다.

그러면 담장 모델은 위험한 쪽으로 기웁니다. 구성원 한 명의 노트북이 털리면 그 계정으로 들어온 요청은 안에서 온 것으로 취급되어 아무 확인 없이 여러 시스템을 돌아다닙니다. 페이지덱에서도 반년 전에 끝난 외주 개발자의 코드 저장소 접근 권한이 그대로 남아 있던 일이 있었습니다. 그 사람이 나쁜 뜻이 있어서가 아니라, 한 번 들어온 뒤로 다시 확인하는 절차가 없었기 때문입니다.

제로 트러스트는 판단 기준을 위치에서 신원으로 옮긴 방식입니다. 어디서 접속했는지가 아니라 누구이고 어떤 기기를 쓰고 있으며 그 권한이 아직 유효한지를 매번 확인합니다.

지킬 대상을 세고, 사람과 기기에 신원을 붙이고, 자원마다 접근 조건을 정한 다음, 모든 접근을 기록하고 주기적으로 다시 확인하는 순서로 옮겨 갑니다.

1. 지킬 대상을 목록으로 만듭니다. 자산 목록이 먼저 있어야 나머지가 성립합니다. 보호해야 할 시스템과 데이터를 한 표에 모은 것인데, 여기에 없는 시스템은 조건을 걸 때도 점검할 때도 빠집니다.
2. 계정을 한 곳으로 모읍니다. 도구마다 따로 만든 계정이 열 개면 조건을 열 번 걸어야 하고 하나는 반드시 빠집니다. 회사 계정 하나로 여러 서비스에 들어가게 묶어 두면 확인 지점이 하나가 됩니다.
3. 신원 확인을 강하게 만듭니다. 인증은 누구인지 확인하는 절차인데, 비밀번호 하나로는 부족합니다. 휴대폰 승인이나 보안 키처럼 두 번째 수단을 함께 요구하면 비밀번호가 새어 나가도 그것만으로는 들어올 수 없습니다.
4. 자원마다 접근 조건을 적습니다. 누가, 어떤 기기로, 어떤 상태에서 들어올 수 있는지를 자원별로 정합니다. 고객 데이터베이스는 회사가 관리하는 기기에서만, 문서 도구는 어느 기기에서든 두 번째 인증을 통과하면 열리게 하는 식입니다. 권한은 필요한 만큼만 주는 최소 권한 원칙을 기본으로 깔고, 넓은 권한은 기간을 정해 내줍니다.
5. 접근을 기록합니다. 누가 언제 무엇을 열었는지 남겨 두면 사고가 났을 때 확인할 곳이 생기고, 평소와 다른 접근을 골라내는 일도 이 기록이 있어야 가능합니다.
6. 주기적으로 다시 확인합니다. 접근 권한 점검을 분기마다 걸어 필요 없어진 권한을 회수합니다. 권한은 줄 때는 요청이 있어 티가 나지만 필요 없어질 때는 아무도 알려 주지 않습니다.

원격이나 하이브리드로 일하고 외부 서비스를 여럿 쓰는 회사에 맞습니다. 집에서 접속하고 데이터가 네 곳에 나뉘어 있으면 담장을 그릴 자리가 없습니다. 기업 고객의 보안 심사를 받는 회사에도 유리합니다. 심사표가 묻는 것이 대개 누가 무엇에 접근할 수 있고 그것을 어떻게 확인하느냐인데, 이 방식은 그 답을 구조로 갖고 있습니다.

한계는 넷입니다. 첫째, 제품을 사서 끝나는 일이 아닙니다. 계정 체계를 한 곳으로 모으는 작업이 앞에 오고, 그 일은 도구가 아니라 정리 작업입니다. 둘째, 자산 목록이 없으면 시작할 수 없습니다. 각자 법인카드로 결제해 쓰는 도구에 고객 이메일이 쌓여 있다면 그것을 찾아내는 일이 첫 단계입니다. 셋째, 사용자 마찰이 생깁니다. 확인 단계를 지나치게 늘리면 구성원이 우회로를 찾아내고, 그때부터 규칙과 현실이 달라집니다. 넷째, 한꺼번에 바꾸기 어렵습니다. 구성원 마흔다섯 명짜리 회사라면 고객 데이터가 있는 시스템부터 시작해 분기마다 대상을 넓히는 쪽이 현실적입니다.

"사내망에서 접속했다는 것만으로는 안 됩니다. 계정과 기기를 같이 확인해야 해요."

위치를 근거로 믿어 주는 방식을 막는 말입니다.

"제로 트러스트로 가려면 먼저 계정을 한 곳으로 모아야 합니다."

도구 도입보다 신원 체계 정리가 앞선다는 지적입니다.

"그 서버는 네트워크 안쪽에 있으니 괜찮다고 보시면 안 됩니다."

안쪽이라는 구분이 더 이상 보호가 아니라는 뜻입니다.

페이지덱은 외주 개발자의 접근 권한이 반년 동안 남아 있던 일을 계기로 방식을 바꿨습니다. 태오가 사용자 목록을 뽑아 보고 발견했는데, 그 저장소가 어느 표에도 없어 아무도 점검하지 않았던 것이 원인이었습니다.

그다음 분기에 태오는 세 가지를 했습니다. 회사가 쓰는 도구 열네 개를 표로 정리하고, 그중 여덟 개를 회사 계정 하나로 들어가게 묶고, 코드 저장소와 고객 데이터베이스에는 회사가 관리하는 기기에서만 접근할 수 있게 조건을 걸었습니다. 외부 협력자 계정에는 90일 만료를 붙여 기간이 지나면 저절로 닫히게 했습니다. 다음 분기 점검에서 회수할 권한은 두 건뿐이었습니다.

제품을 도입하면 제로 트러스트가 된다고 생각하는 경우가 가장 많습니다. 보안 제품들이 이 이름을 광고 문구로 쓰기 때문입니다. 하지만 이것은 접근을 판단하는 기준을 정한 원칙이고, 제품은 그 원칙을 거는 수단 중 하나입니다. 도구만 붙이면 새 화면이 하나 생기고 예전 권한은 그대로 남습니다. 그렇게 만든 체계는 심사 질문에는 답할 수 있지만 반년 전에 끝난 계약자의 계정은 여전히 열려 있습니다.

아무도 믿지 않는다는 뜻이라서 일하기 불편해진다고 읽는 오해도 흔합니다. 이름이 그렇게 들리니 자연스럽습니다. 그런데 확인을 사람이 아니라 시스템이 하기 때문에 실제 경험은 오히려 단순해지는 쪽이 많습니다. 예전에는 사무실 밖에서 일하려면 네트워크에 먼저 접속해야 했지만, 신원과 기기로 판단하면 그 단계 없이 필요한 자원만 열립니다. 불편해지는 것은 확인의 횟수가 아니라 조건을 현실보다 두 단계 엄하게 적었을 때입니다.