용어에서 실행으로: Zero Trust 명확하게 이해하기
Zero Trust: 마치 영원히 떠돌아다니고 있는 것처럼 보이는 용어 중 하나입니다. 하지만 오랜 기간 동안 사용되어 왔음에도 불구하고 SSE, SASE, SWG, ZTNA, CASB, RBI 등 수많은 약어로 인해 이 용어를 둘러싸고 더욱 복잡해진 이 수수께끼는 끝이 없어 보입니다.
수많은 벤더가 저마다 자체 Zero Trust 제품이 모든 보안 문제를 해결할 수 있는 확실한 솔루션이라고 선전하면서 폭풍우의 한가운데에 놓인 기업들은 혼란의 소용돌이에 빠져들고 있습니다. 하지만 모든 전문가들이 말하듯이 Zero Trust 구현은 기성 제품을 구입하는 것처럼 간단하지 않습니다. Zero Trust 구현은 철학에 가깝습니다. 하지만 아쉽게도 기업에서 이러한 철학을 적용하기란 쉽지 않으며, 결국에는 이를 실현할 수 있는 기술이나 솔루션이 필요합니다. 그리고 바로 이 지점에서 혼란이 가장 자주 발생합니다.
사용자 보호
Zero Trust의 둘러싼 여러 겹을 벗겨내어 난해한 것에서 가시적인 것으로 이동해 보겠습니다. Zero Trust의 가장 큰 장점인 사용자 보호 기능에 대해 자세히 알아보죠. 과거에는 네트워크 사용자가 사용자 이름과 비밀번호 문제를 제외하고는 기업 리소스에 거의 무제한으로 액세스할 수 있었습니다. 이는 해커가 사용자의 인증 정보나 장치를 손상할 경우 심각한 문제가 될 수 있습니다. 이상적으로는 생산성을 저해하는 부담을 주지 않으면서 사용자와 장치를 보호할 수 있는 장치가 마련되어야 합니다. Zero Trust는 사용자에게 보이지 않는 뽁뽁이와 같다고 합니다. 다소 기묘한 비유이 긴 하지만, 강화된 보안과 원활한 사용자 경험의 결합이라는 Zero Trust의 핵심을 잘 드러내는 비유입니다.
이제 사이버 보안의 의붓자식이라 불리는 VPN에 대해 알아보겠습니다. 투박하고 다루기 힘든 이 제품은 모뎀 신호음만 없을 뿐 전화 접속 인터넷 시대의 메아리입니다. VPN 클라이언트를 실행하고, 자격 증명을 입력하며, 연결을 기다린 다음, 미로 같은 회사 인트라넷을 탐색하고, 연결을 끊어 일반 인터넷으로 돌아갑니다. 잘 연습된 춤, VPN 탱고입니다.
원격 근무의 등장으로 VPN이 각광을 받기 시작했고, 그 틈새가 보이기 시작했습니다. 기존의 기업용 앱이 SaaS 대안에서 밀려나면서 VPN 업체들은 이를 따라잡기 위해 치열한 경쟁을 벌이고 있습니다. 그 결과는 어떨까요? 연결 병목 현상과 속도 저하, 심지어 연결 실패까지. VPN은 로그인 비밀번호 챌린지를 통해 보안을 유지하며, 일반적으로 온프레미스 사용자에게 부여되는 권한과 동일한 네트워크 액세스 권한을 제공합니다.
결과는 분명합니다. VPN은 지나치게 광범위하고, 사용자 경험을 방해하며, 클라우드 통합에 어려움을 겪고, 확장성 및 유비쿼터스 액세스와 관련하여 어려움을 겪습니다. 취약한 VPN 인프라를 노리는 DDoS 공격 위협까지 더해지면 재앙이 초래될 수 있습니다.
새로운 시대가 등장합니다. "하이브리드 근무" 시대. 클라우드 기반 앱, 원격 사용자, 개인 장치의 폭발적인 증가로 인해 네트워크 경계 보안 모델의 전면적인 개편이 요구되고 있습니다. 기존의 장비 기반 VPN 솔루션은 이러한 속도를 따라잡지 못합니다. 모두 질서 정연하게 Zero Trust 네트워크 액세스(ZTNA)로 들어갑니다.
Zero Trust 철학의 실천
Zero Trust의 철학은 '절대 신뢰하지 않고 항상 확인한다'는 단순한 원칙에 뿌리를 두고 있습니다. ZTNA는 이러한 정신을 구현하여 지나치게 광범위한 네트워크 액세스 없이도 리소스에 대한 직접적이고 세분화된 컨텍스트 인식 액세스를 제공합니다. ZTNA는 뛰어난 사용자 경험, 강력한 보안, 가시성, 확장성을 제공하는 획기적인 솔루션입니다. ZTNA는 오늘날의 하이브리드 인력을 위한 해답입니다.
하지만 잠깐만요. Zero Trust 철학은 원격 액세스에만 국한되지는 않습니다. 당연히 국한되지 않죠. Zero Trust 원칙은 보안 웹 게이트웨이(SWG) 및 원격 브라우저 격리(RBI)를 통해 인터넷 브라우저로 확장됩니다. 이메일도 잊지 마세요. 모든 사이버 공격의 90% 이상이 피싱 이메일에서 시작됩니다. 저는 '절대 신뢰하지 않고 항상 확인한다'는 철학이 이메일 피싱 방지 기능을 통해 이메일 받은 편지함까지 확장되어야 한다고 믿게 되었습니다.
최종 사용자를 보호하는 것이 가장 중요하지만, 중요한 회사 데이터를 보호하는 것도 긴요합니다. CASB와 DLP도 Zero Trust의 일부이며 데이터 유출을 방지하는 데 도움이 됩니다. 인공지 능과 챗봇의 시대에는 그 어느 때보다 이러한 기술이 중요해졌습니다. 네트워크에서 데이터가 이동하는 방식과 위치에 대한 정책을 수립, 적용, 모니터링하는 것도 Zero Trust의 중요한 부분입니다. 그리고 기업에서 소프트웨어 정의 보안 아키텍처로 네트워크를 다시 설계함에 따라 Zero Trust 모델의 중요성은 더욱 커지고 있습니다.
Zero Trust가 약속된 만병통치약이라면 왜 모두가 동참하지 않을까요? 우리가 지금 처음부터 새로 구축해야 한다면 분명히 Zero Trust를 선택해야 할 것입니다. Zero Trust 플랫폼을 선택하고, 선택한 IDP를 연결한 다음, ZTNA와 나머지 무기를 사용하여 사용자에게 프로비저닝을 즉시 시작할 것입니다. 하지만 전환은 즉각적으로 이루어지지 않습니다. 네트워크팀과 보안팀이 동기화되지 않는 경우가 많습니다. 다른 경우에는, 현재 VPN 인프라에 이미 상당한 금액이 투자되어 있어 전환이 지연되는 경우도 있습니다. 변경 사항을 실행하기 위한 리소스가 부족할 수도 있습니다. 하지만 이는 설명일 뿐, 정당화할 수 있는 근거는 아닙니다.
보안에 대한 위협은 실재할 뿐만 아니라 점점 더 커지고 있습니다. 사용자는 이메일에 노출되어 있으며, 잘못 판단하여 이메일을 클릭하면 사이버 공격이 초래될 수 있다는 두려움에 끊임없이 시달리고 있습니다. 사용자를 탓할 것이 아니라 보안 리더인 우리에게 사용자를 보호해야 할 의무가 있습니다. Zero Trust 모델은 '절대 신뢰하지 않고 항상 확인한다'는 원칙을 바탕으로 기존 VPN과 네트워크 기반 보안의 단점을 해결하는 효율적이고 적응력 있는 전략을 제공합니다. Zero Trust를 도입하는 가장 간단한 방법은 여러 벤더의 포인트 솔루션을 조합하는 대신 단일 플랫폼을 사용하는 것입니다. 최종 사용자와 데이터 모두를 위한 계층화된 보호 기능을 갖춘 Zero Trust를 도입하는 것은 복잡할 이유가 없습니다. 하지만 원격 근무, SaaS, AI의 시대에 Zero Trust를 도입하는 것은 전략적 선택이 아니라 필수입니다.
신뢰의 토대
Zero Trust 모델을 수용하는 것은 끊임없이 진화하는 사이버 보안 환경에서 중요한 패러다임을 전환하는 것을 의미합니다. 기존의 경계 기반 방어만으로는 더 이상 충분하지 않다는 사실을 인정함으로써 조직에서는 데이터 보호 강화, 공격면 감소, 정교한 위협에 대한 복원력 향상 등 다양한 이점을 얻을 수 있습니다. Zero Trust를 도입하는 것은 단순한 기술적인 선택이 아니라 조직에서 중요한 자산을 보호하고 불확실한 세상에서 신뢰의 기반을 구축할 수 있도록 지원하는 전략적 필수 요소입니다.
Cloudflare를 통해 조직에서는 보안, 성능, 안정성을 하나의 완전한 패키지로 제공하는 보안 및 서비스형 네트워크(SASE) 결합 상품으로 Zero Trust를 구현할 수 있습니다. Cloudflare는 전 세계에 걸쳐 뻗어 있는 Cloudflare 네트워크를 활용하여 직원이 어디에 있든 빠르고 안정적인 인터넷 연결을 제공합니다. 모든 액세스 요청에 Zero Trust 보안을 적용하면 모든 트래픽이 인증되고 위협으로부터 직원과 데이터를 보호할 수 있습니다. Cloudflare Zero Trust를 사용하면 원치 않는 액세스를 방지하고, 데이터 손실을 완화하며, 하나의 통합 인터페이스를 통해 모든 것을 제어할 수 있습니다. 디지털 변환 여정의 어느 단계에 있든 관계없이 지원받을 수 있습니다.
이 글은 오늘날의 기술 의사 결정자에 영향을 주는 최신 동향 및 주제에 대한 시리즈 중 일부입니다.
작성자
John Engates — @jengates
Cloudflare 필드 CTO
핵심 사항
이 글을 읽고 나면 다음을 이해할 수 있습니다.
사용자 및 데이터를 보호하기 위한 요건이 변경되었습니다
Zero Trust로 포괄적인 보호가 지원됨
신뢰의 기반을 구축하고 제어 능력을 확보하는 방법