신호탄 쏜 국가망보안개선…`제로트러스트 확산` 촉매제 될까

실시간
뉴스

보안

신호탄 쏜 국가망보안개선…'제로트러스트 확산' 촉매제 될까

디지털데일리 발행일 2025-01-24 00:00:00

김보민 기자

URL복사

[디지털데일리 김보민기자] 국가망보안체계(이하 N²SF) 가이드라인 초안이 공개되면서, 공공 분야에도 제로트러스트 보안 패러다임이 두각을 낼 수 있을지 관심이 주목된다.

23일 국가정보원(이하 국정원)은 N²SF 가이드라인 초안을 각급 기관에 배포하고, 국가사이버안보센터 홈페이지에 원본 자료를 공개했다. 지난해 9월 '사이버서밋코리아(CSK) 2024' 행사를 통해 국가망보안 정책 개선 로드맵을 공개한 이후 약 4개월 만이다.

이번 가이드라인 초안은 참고 항목을 통해 '제로트러스트 보안'을 언급했다. 참고란은 '국가망보안체계 기반 제로트러스트 적용 방법'이라는 제목으로, 이번 망개선 작업이 보안 패러다임 전환에 기여할 수 있다는 점을 시사했다. 제로트러스트는 외부뿐만 아니라 내부에서도 위협이 발생할 수 있다고 가정하는 보안 방법론으로, 사이버 위협이 고도화되고 있는 시점에서 빼놓을 수 없는 패러다임으로 꼽힌다.

가이드라인은 미국 국립표준기술연구소(NIST)가 제시한 개념이 이번 N²SF에 적용됐다는 점을 강조했다. 가이드라인은 "국가망보안체계의 보안통제 항목은 NIST 위험관리프레임워크(RMF)가 제공하는 '오버레이(Overlay)' 개념을 적용할 수 있다"며 "제로트러스트, 공급망 보안, 회복력 등을 위한 오버레이를 위험관리 활동에 적용할 수 있다"고 설명했다.

오버레이는 조직 내 요구 사항에 따라 기존 보안 통제 기준선을 맞춤 설정하는 과정을 뜻한다. 보안 통제를 강화하거나 통제 수준을 개선하고, 보조 지침을 설정해 추가 정보를 제공하는 식이다. 가이드라인은 "범용적인 보안통제 항목을 제로트러스트, 공급망 보안, 회복력 관점에서 특화된 내용으로 설계하고 구현할 수 있게 된다"고 부연했다.

국가망개선 작업이 추진되면 제로트러스트에 대한 이야기를 할 수밖에 없을 것이라는 전망은 이전에도 제기된 바 있다. 앞서 염흥열 순천향대 교수는 'CSK 2024' 발표를 통해 "다층보안체계(MLS·지금의 N²SF)에서도 제로트러스트 요소들이 반드시 구현되고 응용될 것이라고 생각한다"고 의견을 밝혔다.

현재 국내 보안 시장에서 제로트러스트 패러다임은 민간을 중심으로 전개되고 있다. 과학기술정보통신부(이하 과기정통부)는 지난해 12월 제로트러스트 도입을 고민하는 조직을 대상으로 두 번째 가이드라인을 공개했고, 시범 및 실증사업을 추진하며 인식 제고에 집중한 상황이다.

다만 국내 제로트러스트 움직임을 바라보는 시각은 두 갈래로 나뉜다. 정부 가이드라인을 토대로 보안이 성숙기에 접어들었다는 평가와, 주요국 기업과 비교했을 때 추진 속도가 빠르지 않아 새 취약점에 대응하지 못할 수 있다는 우려다. 대기업 외 중견·중소기업들의 경우 제로트러스트 보안에 투자할 여력이 부족한 것이 현실이라는 볼멘소리도 나온다.

후자에 공감하는 이들은 공공 영역에서 추진력이 뒷받침돼야 한다고 입을 모은다. 공공이 모범 사례를 보여야 민간에서도 패러다임 전환이 본격화될 수 있다는 취지다. 뿐만 아니라 업무 중요도에 따라 데이터에 등급을 매겨 관리하자는 국정원의 정책 방향이 제로트러스트 방법론과 맥을 같이 하고 있다는 점 또한 기대 요인 중 하나다.

업계 안팎에서는 국정원이 정부와 공공기관에 실행력을 부여하는 제로트러스트 가이드라인을 별도로 마련할 것이라는 관측이 제기된 바 있다. 특히 과기정통부의 첫 제로트러스트 가이드라인이 나온 2023년 당시에 관련 논의가 본격화됐다는 후문도 나왔다. 다만 국정원은 구체적인 계획과 관련해 아직 정해진 바가 없다는 입장이다.

한편 국정원은 N²SF을 중심으로 정책 시행에 집중할 전망이다. 관계기관과 선도사업을 추진해 안전성을 검증하고, 정보서비스 활용 모델을 참고해 단기 이행이 가능한 사항부터 점진적으로 정책을 진행한다는 계획이다. 신규 정보화 사업의 경우 N²SF 체계를 반영해 추진하고, 기관 보유 시스템 규모와 예산 등을 고려해 전환 계획을 지원할 예정이다.