[UEM 중심 워크스페이스 전략 2편] 제로트러스트의 출발점은 '엔드포인트' - Omnissa Workspace ONE, 단일 플랫폼으로 답하다 작성일 05-28 40 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">“절대 믿지 말고, 계속 검증하라” - UEM 컴플라이언스, Access 조건부 접근, Tunnel 앱별 VPN, Intelligence 위험 점수까지, Workspace ONE 다섯 축이 한 흐름의 제로트러스트를 만든다</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="BxM3vzZvr8"> <figure class="figure_frm origin_fig" contents-hash="0e3cfb9cdce9480fa0ad2bb8966fe5ab084286e92e4dd3150d36c1a5a83b97b2" dmcf-pid="bMR0Tq5Tw4" dmcf-ptype="figure"> <p class="link_figure"><img alt="다우데이타 Omnissa Workspace ONE 디지털 워크스페이스 플랫폼(제공: 다우데이타)" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202605/28/etimesi/20260528060218967fsjz.jpg" data-org-width="700" dmcf-mid="zb7hjWmjmP" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202605/28/etimesi/20260528060218967fsjz.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 다우데이타 Omnissa Workspace ONE 디지털 워크스페이스 플랫폼(제공: 다우데이타) </figcaption> </figure> <p contents-hash="6c2605dd231786d525ae7280f826e3ddd6c2a0fc4ea46660f136fd54af1359d1" dmcf-pid="KRepyB1ysf" dmcf-ptype="general"><strong>들어가며: 경계는 무너졌고, 신뢰는 더 이상 위치에 있지 않다<br></strong><br>10년 전만 해도 기업 보안의 정답은 분명했다. 사옥 안의 네트워크는 신뢰 영역, 그 바깥은 비신뢰 영역. 방화벽과 VPN으로 둘 사이를 가르고, 일단 안에 들어온 사용자에게는 폭넓은 권한을 부여했다. 이른바 '경계 기반 보안(Perimeter-based Security)'이다.</p> <p contents-hash="7266ceec3a9d8437828e9adca1b333d47a54ebc0ae75856f962181b8b1a0267c" dmcf-pid="9edUWbtWOV" dmcf-ptype="general">이 모델은 클라우드와 재택·하이브리드 근무가 확산되며 빠르게 한계를 드러냈다. 직원의 업무는 더 이상 사옥 네트워크 안에서만 이뤄지지 않는다. SaaS는 외부에 있고, 사용자의 단말은 카페·자택·해외 지사에 흩어져 있으며, 협력사·외주 인력의 접근까지 일상화됐다. '안과 밖'을 가르던 경계선 자체가 사라졌다.</p> <p contents-hash="0e316ac8d3ac9d1d64f9c3d28270d1e63d2f9306ab7859548689aa142897cbbf" dmcf-pid="2dJuYKFYE2" dmcf-ptype="general">대안으로 부상한 것이 제로트러스트(Zero Trust)다. 핵심은 짧은 한 문장으로 요약된다. “Never trust, always verify(절대 믿지 말고, 계속 검증하라)” 사용자·단말·앱·네트워크·데이터 어느 하나도 위치만으로 신뢰하지 않으며, 모든 접근 요청을 매번 동적 정책으로 검증한다는 사상이다.</p> <p contents-hash="10cbfc1edc6da2d7c3cff4b6935ea9aad216214178b3e9a96516c9c63c57894f" dmcf-pid="VJi7G93Gr9" dmcf-ptype="general">미국 NIST는 2020년 8월 'SP 800-207 Zero Trust Architecture' 문서를 통해 제로트러스트의 7대 원칙을 정리했다. 모든 자원을 자원으로 본다, 모든 통신은 위치와 무관하게 보호한다, 자원 접근은 세션 단위로 부여한다, 접근은 동적 정책으로 결정한다, 자산의 무결성과 보안 상태를 지속 측정한다, 모든 자원의 인증·인가는 동적이고 엄격하게 시행한다, 자산·인프라·통신 정보를 최대한 수집해 보안 태세를 끊임없이 개선한다 - 이렇게 일곱 가지다. 한국에서도 과학기술정보통신부와 한국인터넷진흥원(KISA)이 2023년 7월 '제로트러스트 가이드라인 1.0'을, 2024년 12월 '가이드라인 2.0'을 발표했다. 2.0판은 성숙도 모델을 4단계로 세분화하고, 6대 핵심요소(식별자·신원, 기기 및 엔드포인트, 네트워크, 시스템, 앱·워크로드, 데이터)와 2개 교차 기능에 대한 총 52가지 세부 보안 역량을 제시하며, 한국형 제로트러스트 구현 청사진을 한층 구체화했다.</p> <p contents-hash="dd9444b718706742992434ecf03af715b9aa5fb172293c33c378ab1f6162e1c3" dmcf-pid="finzH20HrK" dmcf-ptype="general">여기서 한 가지 분명히 짚을 점이 있다. 제로트러스트는 단일 제품이 아니다. NIST 문서가 명시하듯 ZTA는 '아키텍처적 사상이자 청사진'이며, 실제 구현은 신원·단말·네트워크·앱·데이터 각 영역의 정책과 기능이 한 흐름으로 묶여 작동해야 한다. 그리고 그 출발점은 명백히 엔드포인트다.</p> <p contents-hash="01cb95b53e36d771a4890774fdd1a0a34d9e0dd09a2f5c22ef6e13d950c29828" dmcf-pid="4nLqXVpXmb" dmcf-ptype="general"><strong>왜 엔드포인트가 출발점인가 - ‘디바이스 신뢰성’이 무너지면 모든 게 무너진다<br></strong><br>KISA 가이드라인 2.0이 6대 핵심요소 중 하나로 '기기 및 엔드포인트'를 분리해 다루는 데에는 이유가 있다. 사용자의 신원이 아무리 정확하게 인증돼도, 그가 들고 있는 단말이 이미 침해된 상태라면 인증된 세션 자체가 공격자의 통로로 변질된다. MFA를 통과한 노트북에 키로거가 깔려 있으면 어떤 결과가 나오는지는 자명하다.</p> <p contents-hash="76181958f2697b262aed36c07ef523b98d3f169d2238a27da1b0061fb96d8aa8" dmcf-pid="8aN9t6ztDB" dmcf-ptype="general">따라서 제로트러스트는 모든 접근 요청에서 사용자 신뢰성(User Trust)과 단말 신뢰성(Device Trust)을 동시에 검증해야 한다. 누구인가, 어떤 자격을 갖췄는가, 행위 패턴에 이상은 없는가가 사용자 측 질문이라면, 관리되는 단말인가, OS 패치는 최신인가, 디스크 암호화는 활성화돼 있는가, 알려진 위험 앱이 설치돼 있지는 않은가, 탈옥(Jailbreak)·루팅 흔적은 없는가가 단말 측 질문이다.</p> <p contents-hash="f1df891493d950d34007d3edcda234b67991f7b0f036630b7eb5bb96fb1d92c2" dmcf-pid="6Nj2FPqFEq" dmcf-ptype="general">이 단말 신뢰성을 객관적으로 측정·증빙하는 것이 UEM의 컴플라이언스 엔진이며, 그 측정 결과를 받아 사용자별·앱별로 접근을 동적으로 결정하는 것이 조건부 접근(Conditional Access)이다. 즉 단말의 검진 결과지(컴플라이언스)와 출입증 발급 절차(접근 통제)가 한 시스템 안에서 묶여 있어야 비로소 'Compliance-based Access'가 작동한다. 이 두 영역이 별개의 제품으로 흩어져 있으면 진단서와 출입증이 서로 무관해지고, 정책의 일관성도 사라진다.</p> <p contents-hash="120ad5284cc53b8a61b956199feb1ecc951b0de1a849c52384877796a589c88c" dmcf-pid="PjAV3QB3wz" dmcf-ptype="general"><strong>Omnissa Workspace ONE이 한 플랫폼에서 제공하는 제로트러스트<br></strong><br>Omnissa Workspace ONE의 가장 큰 차별점은, 위에서 말한 '검진센터'와 '게이트'를 같은 플랫폼 안에 갖추고 있다는 점이다. 단일 콘솔, 단일 정책 모델, 단일 데이터 흐름 위에서 제로트러스트의 핵심 빌딩블록이 한 흐름으로 작동한다. 다섯 축의 역할은 다음과 같다.</p> <p contents-hash="850e22ca1443ba3739ca8511a4a3aea2a7eec93aeb3548bbbcdef533f39ab905" dmcf-pid="QAcf0xb0E7" dmcf-ptype="general">먼저 Workspace ONE UEM은 모든 엔드포인트의 컴플라이언스 엔진 역할을 한다. 단말이 정책을 위반하는 순간 - 예를 들어 OS 미패치, 디스크 암호화 비활성, 위험 앱 설치, 탈옥 탐지 - 즉시 컴플라이언스 위반 상태로 표시된다. 이 상태값이 곧 '디바이스 포스처(Device Posture)'다.</p> <p contents-hash="00b07bc3f2a938b70f7c531d4365c7d760dddf355b8416cee00996e9fb42ef61" dmcf-pid="xck4pMKpru" dmcf-ptype="general">이 포스처 정보를 실제 접근 결정에 반영하는 것이 Workspace ONE Access다. Access는 사용자 신원, 단말 컴플라이언스, 접속 위치, 시각, 앱 민감도를 종합해 접근 허용/MFA 추가 요구/차단을 동적으로 결정한다. 이른바 '조건부 접근(Conditional Access)'이며, NIST SP 800-207이 말하는 'Dynamic Policy'의 직접 구현체다. 사내 SaaS, 웹 앱, 클라이언트-서버 앱이 모두 같은 정책 모델 아래로 들어온다.</p> <p contents-hash="16d50ad8259155696a524461d521edcc951ffa8577e32f107151070274bce4c5" dmcf-pid="yu7hjWmjrU" dmcf-ptype="general">세 번째 축은 Workspace ONE Tunnel이다. 전체 트래픽을 모두 사내로 끌어들이는 전통 VPN과 달리, 정해진 업무 앱의 트래픽만 사내·클라우드 자원으로 라우팅한다. 'Per-app VPN'이라 부르는 방식으로, 마이크로 세그먼테이션이 자연스럽게 구현된다. 외부에서 ERP에 접근할 때는 ERP 트래픽만 보호된 터널을 타고, 동일한 단말의 개인 메신저·동영상 트래픽은 인터넷으로 직행한다. 사용자 경험은 단순해지고 공격 표면은 좁아진다.</p> <p contents-hash="1a17e9a7100c6f8f66dcf953956d78ab3c2a3ddb9c59d0a99caed64c58ce5518" dmcf-pid="W7zlAYsAOp" dmcf-ptype="general">네 번째 축인 Workspace ONE Intelligence는 단말·앱·사용자 텔레메트리를 모아 위험 점수(Risk Score)를 산출하고, 임계치 초과 시 자동화 워크플로우를 즉시 실행한다. 사내 시스템 접근 차단, 재인증 요구, 관리자 알림, 컴플라이언스 격리 정책 자동 적용 등이 사람의 수동 개입 없이 분(分) 단위로 끝난다.</p> <p contents-hash="ff4a256ffbb2a95e96ac3b4474579c8e5d0cc06ce4ddc73f59a2663830fac266" dmcf-pid="YzqScGOcw0" dmcf-ptype="general">마지막으로 Workspace ONE Intelligent Hub는 사용자 측 진입점이다. 사용자는 한 화면에서 사내 앱 카탈로그·셀프서비스·정책 알림·재인증 요구를 받고 처리한다. 보안 정책이 강해질수록 사용자 경험은 거칠어진다는 통념을, Hub는 단일 포털로 흡수해 완화한다.</p> <p contents-hash="6cbae14716295db312b264be23d6444019d688e53b961af3bcdf12b401e68344" dmcf-pid="GqBvkHIkE3" dmcf-ptype="general"><strong>한 흐름으로 묶는 시나리오 - 단일 플랫폼이 만드는 차이<br></strong><br>영업사원 A씨가 카페에서 노트북으로 사내 ERP에 접속을 시도한다. 이 한 번의 클릭이 Workspace ONE 안에서 어떻게 처리되는지를 따라가 보자.</p> <p contents-hash="a1ab2878ee7f32832ff242825e0905792ba56a374fce29175a4ecf479dbad175" dmcf-pid="HBbTEXCEmF" dmcf-ptype="general">먼저 Access가 사용자 자격증명과 MFA 결과를 수신한다. 동시에 같은 플랫폼 안의 UEM이 노트북의 컴플라이언스 상태(패치 최신, 암호화 활성, 관리 단말 여부, 위험 앱 미설치)를 즉시 회신한다. Intelligence는 최근 사용자 행동 패턴 기반의 위험 점수를 함께 제공한다. 세 정보가 같은 플랫폼 안에서 교환되기 때문에 정책 평가는 거의 실시간으로 끝나고, 결과에 따라 Access는 ERP에 한해 접근을 허용하거나, 추가 인증을 요구하거나, 차단한다. 접근이 허용되면 Tunnel이 ERP 트래픽만 사내로 라우팅한다.<br></p> <figure class="figure_frm origin_fig" contents-hash="f43751c7ba5a47216e98b9fde8f012563101b1415f00db5aa5bddce92686e397" dmcf-pid="XbKyDZhDrt" dmcf-ptype="figure"> <p class="link_figure"><img alt="다섯 축이 한 플랫폼·한 정책 모델 안에서 연동되어, 신원 확인부터 자동 격리·복구까지 일관된 흐름으로 동작한다(제공: 다우데이타)" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202605/28/etimesi/20260528060220254tntg.png" data-org-width="700" dmcf-mid="qQ65CpYCI6" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202605/28/etimesi/20260528060220254tntg.png" width="658"></p> <figcaption class="txt_caption default_figure"> 다섯 축이 한 플랫폼·한 정책 모델 안에서 연동되어, 신원 확인부터 자동 격리·복구까지 일관된 흐름으로 동작한다(제공: 다우데이타) </figcaption> </figure> <p contents-hash="32a6d2d9ef6f4cfbb6856d3550ffc939bc03ba40c275cc31e9e5ff9eca5a0041" dmcf-pid="ZK9Ww5lwD1" dmcf-ptype="general">오후 3시, 같은 노트북의 컴플라이언스 상태가 'OS 보안 패치 누락'으로 변경되거나 위험 앱 설치가 감지된다고 가정하자. UEM은 단말을 컴플라이언스 위반으로 표시하고, Intelligence는 위험 점수를 즉시 재계산한다. 임계치를 넘기는 순간 Intelligence의 자동화 워크플로우가 발동돼 단말의 사내 시스템 접근 권한을 회수하고, Hub를 통해 사용자에게 패치 적용·재인증 절차를 안내한다. 사용자가 패치를 완료하면 컴플라이언스 상태가 회복되고 접근 권한이 자동으로 복구된다. 모든 단계가 단일 플랫폼 위에서 정책으로 자동화돼 흐른다.</p> <p contents-hash="da20d72098548c8ff5ed917a16a0cd00bebfd89900a2c5664ca868087ded6f13" dmcf-pid="5RepyB1ym5" dmcf-ptype="general">이 흐름이 갖는 의미는 단순하다. 사용자 신원 확인, 단말 신뢰성 검증, 앱별 접근 통제, 실시간 위험 평가, 자동 격리·복구 - 제로트러스트가 요구하는 핵심 동작이 각각 다른 벤더의 다른 콘솔에서 일어나는 것이 아니라, 한 플랫폼의 한 정책 모델 안에서 한 흐름으로 일어난다는 점이다. NIST 7대 원칙 중 다수가 단일 운영 흐름으로 충족되는 셈이다.</p> <p contents-hash="02a1825bb48baae05c6ddf835bd782a8fcd8da7f85d43ca4611c07a25e9d6c15" dmcf-pid="1edUWbtWwZ" dmcf-ptype="general"><strong>다우데이타의 제로트러스트 패키지 - 단일 플랫폼이 주는 운영의 단순함<br></strong><br>다우데이타가 Omnissa Workspace ONE을 제로트러스트 구현 기반으로 제안하는 이유는 분명하다. 한국 기업이 제로트러스트로 전환할 때 가장 자주 부딪히는 벽이 '여러 보안 솔루션을 어떻게 엮어 한 흐름으로 만드느냐'라는 통합 운영의 어려움인데, Workspace ONE은 UEM·Access·Tunnel·Intelligence·Hub 다섯 축을 한 플랫폼에서 제공함으로써 이 통합 부담을 구조적으로 줄여 준다. 단일 콘솔, 단일 정책 모델, 단일 라이선스 체계 안에서 제로트러스트의 본질적 동작이 완성된다.</p> <p contents-hash="628982daa92d7d1b60cecf0ecfe3df0da100de36cab0fc3c9d2e8ac9d568514d" dmcf-pid="tdJuYKFYIX" dmcf-ptype="general">다우데이타는 Omnissa 한국 공식 총판으로서 라이선스 공급뿐 아니라 고객 환경 진단을 통한 제로트러스트 도입 로드맵 설계, UEM 컴플라이언스 정책 정의, Access 조건부 접근 정책 설계, Tunnel 기반 앱별 VPN 구성, Intelligence 자동화 워크플로우 설계, 한국어 SE의 사후 운영 지원을 한 흐름의 패키지로 제공한다. 디지털존을 통해서는 라이선스 구독·갱신, 단말 렌탈, 라이선스 모듈 확장을 온라인에서 손쉽게 처리할 수 있다.</p> <p contents-hash="4a18558b53d817d14a520227e2dbfa6e3a26c2e37d9471da13798afe889f56f8" dmcf-pid="FJi7G93GOH" dmcf-ptype="general">다음 회에서는 이 Workspace ONE 기반 제로트러스트 환경을 고객이 PoC 이전에 직접 체험해 볼 수 있는 다우데이타 Omnissa Workspace ONE 데모센터를 소개한다.</p> <p contents-hash="65e24f4b71f54a9c67b6c7bb74220c5c819927015b948b67659e711a776ba75e" dmcf-pid="3inzH20HIG" dmcf-ptype="general">임민지 기자 minzi56@etnews.com</p> </section> </div> <p class="" data-translation="true">Copyright © 전자신문. 무단전재 및 재배포 금지.</p> 관련자료 이전 LG유플, '에이전트' 넘어 'AI 분신' 띄운다…통신3사, AI 개발 현황은? 05-28 다음 GPU 20만개 품은 머스크의 ‘콜로서스’ 122일 만에 구축… AI 전쟁터 된 데이터센터 05-28 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
