[K-보안 주권⑥] "구호에서 실행으로"…제로트러스트 실구축 확산, AI 에이전트 통제 공백은 과제 작성일 06-27 23 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">N2SF 지침 편입·대형 침해사고 잇따라…마이크로세그멘테이션·ZTNA 구현 확대일로</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="U4ZRNmWIyK"> <p contents-hash="2e99710bcfca4547198ea1e44c3f5211b35ce2bdfb327f61a67654ba5a3d5832" dmcf-pid="u85ejsYCSb" dmcf-ptype="general"><strong>디지털데일리는 [K-보안 주권] 기획 시리즈를 통해 한국이 서 있는 보안 현주소와 향후 나아갈 방향을 짚어본다. 대한민국이 'AI 3대 강국'을 넘어 사이버 방위의 핵심 축인 '보안 주권(소버린 시큐리티)'을 확보하기 위해 필요한 과제와 방향성을 살펴보고 국내 보안 기업과 관계자, 전문가들이 현장에서 말하는 한국의 경쟁력과 미래 전략을 알아본다. <편집자></strong></p> <figure class="figure_frm origin_fig" contents-hash="fd9ad5f611b84051e83a0b0fd11d677951d13db966efa96828b23ea2085c9a0f" dmcf-pid="761dAOGhhB" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202606/27/552796-pzfp7fF/20260627060049043lzfu.png" data-org-width="640" dmcf-mid="3CvTtqPKvV" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202606/27/552796-pzfp7fF/20260627060049043lzfu.png" width="658"></p> </figure> <p contents-hash="2352ee2acaafafa34e82d3361200105052cae042b03b1411fb374cd62c503e24" dmcf-pid="zM0LDl5Tlq" dmcf-ptype="general">[디지털데일리 박재현기자] 국내 기업과 공공기관의 제로트러스트 구축이 선언에서 실행으로 넘어가고 있다. 국가망보안체계(N2SF)가 지난 5월 국가사이버보안지침에 편입되고 통신·금융권 대형 침해사고가 잇따른 결과다. 마이크로세그멘테이션·ZTNA·데이터 흐름 통제 등 관련 솔루션이 공공·금융권에 확산하는 가운데, AI 에이전트와 모델 컨텍스트 프로토콜(MCP) 서버가 새로운 인증 주체로 등장하면서 기존 체계에 또 다른 구멍이 뚫렸다는 경고도 나온다.</p> <p contents-hash="3cff782eed1ded469103e50161a535c5b09db553df50a9b08c002dbe499a8f4c" dmcf-pid="qRpowS1ylz" dmcf-ptype="general">사실 국내 제로트러스트 도입은 수년간 구축 사례가 드물었다. 필요성에 대한 공감대는 넓었지만 어디서 어떻게 시작해야 하는지가 불분명했다.</p> <p contents-hash="6e865145b05840658f3b125e1d662df97225c62b82e7e72e895d916195b6c161" dmcf-pid="BeUgrvtWW7" dmcf-ptype="general">이러한 교착 상태는 지난해부터 해소되기 시작했다. N2SF가 국가사이버보안지침에 편입되면서 공공기관의 제로트러스트 아키텍처 검토가 의무화 수준으로 격상됐고, SKT·KT 통신망 침투와 SGI서울보증·롯데카드 금융권 정보 유출 등 대형 침해사고가 잇따르면서 경계 보안 모델의 한계가 현장에서 직접 확인됐다.</p> <p contents-hash="3d5241ff9a2e55c7548d7c76946f9c7eb5f53eecc52599efc6ed6153839d85b3" dmcf-pid="bduamTFYvu" dmcf-ptype="general"><strong>◆ 제도·침해사고가 동시에 당겼다…선언에서 실행으로</strong></p> <p contents-hash="bb4d0ded4d1cccd132ad489545b2f075a99be61fc40d428d256a42236855704c" dmcf-pid="KJ7Nsy3GvU" dmcf-ptype="general">제도 변화와 침해사고가 같은 시기에 겹쳤다. 하나는 N2SF의 국가사이버보안지침 편입이다. 업무 특성과 데이터 중요도에 따라 보안 체계를 차등 적용하는 이 체계가 의무 사항으로 격상되면서 공공기관의 제로트러스트 아키텍처 검토가 본격화됐다.</p> <p contents-hash="e8f337abe2acc5ba94a96af86042c8125b0f03c76b24ec5e67a0eae5f1bfd023" dmcf-pid="9izjOW0Hhp" dmcf-ptype="general">국가사이버보안 실태평가에 N2SF 적용과 다중인증(MFA) 강화가 주요 항목으로 반영된 것도 실행을 앞당겼다. 선도 기관을 중심으로 검토에서 준비·도입 단계로 넘어가는 움직임이 나타나고 있다.</p> <p contents-hash="14c0e594f05483d7f4586570d958ef1c27dafe5a1ab4eb722292bbae795810f0" dmcf-pid="2nqAIYpXv0" dmcf-ptype="general">다른 하나는 2025년 잇따른 대형 침해사고다. SKT·KT 통신망 침투, SGI서울보증·롯데카드 금융권 정보 유출, 쿠팡 계정 노출이 연이어 터졌다. 사고는 모두 기존 경계 보안 모델이 뚫린 결과였다. 외부에서 내부로 들어오는 길목만 막는 구조로는 이미 안에 들어온 공격자의 횡적 이동을 막지 못한다는 사실이 다시 확인됐다. 제로트러스트가 추상적으로만 여겨지는 개념에서 당장의 직면 과제로 바뀌었다.</p> <p contents-hash="82d476649a701ff43bdc0b3171f01fcdb32ce491bac9ea685955d9e923cab253" dmcf-pid="VLBcCGUZv3" dmcf-ptype="general">제로트러스트 도입 속도는 금융권이 가장 빠르다. 금융권은 망분리 완화 로드맵 공식화 이후 다수의 실증사업과 선도 구축 사례를 통해 적용 가능성을 검증하고 있다. 금융보안원이 제로트러스트 가이드라인을 발표하고 주요 시중은행들이 내부망 접근통제와 ZTNA 파일럿을 진행하면서 도입 속도가 붙고 있다.</p> <p contents-hash="5f293f3179134485c708e4b8d560f55ae8b2b3714e7d28b288b794de8a1280d0" dmcf-pid="fobkhHu5vF" dmcf-ptype="general">공공은 N2SF를 계기로 업무 특성과 데이터 중요도에 따라 보안 체계를 차등 적용하는 방향으로 전환을 검토하고 있다. 국가사이버보안 실태평가에 N2SF 적용과 MFA 강화가 주요 항목으로 반영되면서 선도 기관을 중심으로 검토가 구체화되는 단계다. 다만 복잡한 레거시 시스템과 서비스 연속성에 대한 부담이 민간 대비 전환 속도를 늦추는 요인으로 꼽힌다.</p> <figure class="figure_frm origin_fig" contents-hash="e8a230b200e16bffef2241acb78b3046eac02d4dc1e4bfba70413f5e10582087" dmcf-pid="4mMS578BCt" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202606/27/552796-pzfp7fF/20260627060050353fpbb.jpg" data-org-width="640" dmcf-mid="0DaNsy3GC2" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202606/27/552796-pzfp7fF/20260627060050353fpbb.jpg" width="658"></p> </figure> <p contents-hash="2b254efed0d1c554cfdda481bc65aeaa8cc90546a8610b34551e6e04306d2331" dmcf-pid="8sRv1z6bl1" dmcf-ptype="general">제로트러스트 실구축으로의 전환은 국내만의 흐름이 아니다. 스태티스타에 따르면 전 세계 제로트러스트 보안 시장은 2023년 316억 달러(약 43조원)에서 2032년 1330억 달러(약 181조원) 규모로 성장할 전망이다. 시장 규모만이 아니라 실제 도입률도 빠르게 오르고 있다.</p> <p contents-hash="22b7b4f0fbfba73e80d7e9ab2ed0c29c44af581e6b6f8ef71db61c6f8fc9c1f9" dmcf-pid="6OeTtqPKC5" dmcf-ptype="general">2024년 글로벌 조직을 대상으로 한 조사에서 이미 제로트러스트 전략을 구현하고 있다는 응답이 31%였고, 6개월 이내 도입 예정이 27%, 12개월 이내가 20%였다. 전체 응답의 78%가 단기 실구축 단계에 진입한 셈이다.</p> <p contents-hash="92ebccb86fd3aeb5cb44ff0bc330feb8d75b1aca7fd26625d6a768f5a2e4ac27" dmcf-pid="PIdyFBQ9vZ" dmcf-ptype="general">국내에서 주목받는 마이크로세그멘테이션과 MFA(다중인증)는 이미 글로벌 표준으로 자리 잡은 기술이다. 2023년 미국 기업 대상 조사에서 소프트웨어 정의 마이크로세그멘테이션을 실무에 적용하고 있다는 응답이 42%, MFA 활용 기업이 41%였다. 공격자의 횡적 이동을 차단하고 접근 주체를 상시 검증하는 방식이 세계 공통의 실구축 방향으로 수렴하고 있다.</p> <p contents-hash="56e84a7982479d9f9da1e6667cffc3c7881f0778fc39bd7b5eab18e4f338ccf6" dmcf-pid="QCJW3bx2CX" dmcf-ptype="general">다만, 현업에서는 공통적으로 제로트러스트 도입 장벽으로 세 가지를 꼽는다. 우선 사용자·단말·네트워크·애플리케이션·데이터로 나뉘는 제로트러스트 구성 영역을 단일 솔루션으로 커버할 수 없다는 점, 탈취된 계정이나 감염된 단말을 정상 업무 흐름과 구분하는 신뢰도 평가가 까다롭다는 점, 기존 인프라를 폐기하지 않고 점진적으로 전환해야 한다는 점이다.</p> <div contents-hash="92ec2529cbcd7fd53a6c3ff3bcb62a6b49bdbd064f729b417ab6f1d1edeb3bdf" dmcf-pid="xhiY0KMVTH" dmcf-ptype="general"> 제로트러스트가 어려운 이유도 이와 귀결된다. 솔루션 하나를 추가하는 사업이 아니라 조직 전체의 신뢰 검증 체계를 처음부터 다시 설계하는 작업이다. </div> <figure class="figure_frm origin_fig" contents-hash="0915cea318de54daed55beec61d44f390007c7328906b2c58dfcc92d1fe9e423" dmcf-pid="y4ZRNmWIhG" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202606/27/552796-pzfp7fF/20260627060051661tkvk.jpg" data-org-width="640" dmcf-mid="pCgamTFYW9" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202606/27/552796-pzfp7fF/20260627060051661tkvk.jpg" width="658"></p> </figure> <p contents-hash="3bed39282d895b1d0432354a21af462b184f16d50bf0dc8678b3ee59a8a16c93" dmcf-pid="W85ejsYCWY" dmcf-ptype="general"><strong>◆ 스위치로 쪼개고 흐름으로 검증하고…방향 다른 실구축이 한곳을 향한다</strong></p> <p contents-hash="bbfbb75dec08b3e44722a656681357d623fa2e267a2555169ec35c60186bca02" dmcf-pid="Y61dAOGhTW" dmcf-ptype="general">국내 기업들은 침해 이후 공격자의 내부 이동 차단을 실구축의 출발점으로 삼고 있다. 침해를 100% 막을 수 없다는 전제에서 출발한 설계다.</p> <p contents-hash="d56bdd3abc4bed94db968f74cd558978bd588720567cb7c0901540b69e5e6fa8" dmcf-pid="GPtJcIHlCy" dmcf-ptype="general">파이오링크와 SGA솔루션즈는 네트워크를 잘게 쪼개 횡적 이동을 막는다. 파이오링크의 '티프론트ZT'는 L2/L3 보안스위치를 기반으로 별도 에이전트 설치 없이 사용자·워크로드 단위로 네트워크를 초세분화하고 최소 권한 원칙에 따라 접근을 제어한다. 군·공공·지자체·교육 등 핵심 인프라 영역에 다수의 구축 사례를 두고 있다.</p> <p contents-hash="597d3ea96ee4cc3b7f56a95cd23abb216f6d0c87625d19a863c5605175b90c61" dmcf-pid="HVHxgwTsvT" dmcf-ptype="general">SGA솔루션즈는 같은 마이크로세그멘테이션을 클라우드까지 확장했다. SGA ZTA를 축으로 사용자·단말·자산·정책을 연결하고 서버보안 솔루션 레드캐슬, 클라우드·컨테이너 보안을 묶어 멀티 클라우드 환경의 세분화를 구현했다. 온프레미스 레거시와 퍼블릭 클라우드가 함께 돌아가는 환경에서 일관된 정책을 적용하는 데 무게를 뒀다.</p> <p contents-hash="18c80b44d45e7286b59c5815821bbfad4e7b491d7a15f425400708b0b93b449c" dmcf-pid="XfXMaryOlv" dmcf-ptype="general">지니언스는 접근 주체의 신뢰도를 매 순간 다시 검증한다. '지니안 ZTNA'는 한 번 인증하면 계속 신뢰하는 구조에서 벗어나 접근 전·중·후 전 과정에서 단말 상태를 점검한다. FIDO 기반 생체 인증으로 크리덴셜 스터핑을 막고, 접근 시점에 단말의 패치 수준·악성코드 감염 여부·보안 프로그램 동작 상태를 종합해 권한을 동적으로 부여한다. 지니언스는 ID 보안, 단말 신뢰도 검증, 접근통제를 끊김 없이 연계하는 것이 제로트러스트 구현의 핵심이라고 본다.</p> <p contents-hash="dc85f4934c8a520e29585f8d625f65d8cd0d064122f4c6d0cc199130e4882dad" dmcf-pid="Z4ZRNmWIlS" dmcf-ptype="general">프라이빗테크놀로지와 소프트프릭은 데이터와 API에서 검증한다. 프라이빗테크놀로지의 '패킷고'는 사용자·단말·접속 환경·행위·데이터 흐름을 지속 검증해 권한 없는 접속과 불필요한 데이터 이동을 차단한다. 네트워크 접속 제어를 넘어 데이터가 어디서 어디로 흐르는지를 통제하는 방식으로, 계정이 탈취되더라도 중요 데이터로 가는 경로 자체를 막는다.</p> <p contents-hash="48cf94e8d18ebe47f4a2dedf121b93897ecf33adc686a2a2940f35116a293e90" dmcf-pid="585ejsYCyl" dmcf-ptype="general">소프트프릭은 실제 데이터와 서비스가 오가는 API 접근 행위를 상시 점검한다. 평소와 다른 호출 패턴이나 비정상 데이터 접근을 조기에 차단하는 구조다.</p> <p contents-hash="4d51821125f023321f54e71eb8cd5a5d76bb0b0a9cfa186b064f82c06380395b" dmcf-pid="161dAOGhTh" dmcf-ptype="general">방식은 네트워크·단말·데이터·API로 갈리지만 원칙은 같다. 한 번의 인증으로 끝나는 신뢰를 거부하고 접근 전 구간을 상시 검증한다는 것이다. 제로트러스트가 단일 제품이 아니라 여러 솔루션이 맞물려 작동하는 체계라는 점도 여기서 드러난다.</p> <p contents-hash="2029cbd68c139e801dfd5d858cb593744ade80d4e1c4a5405730c9acb9d17c77" dmcf-pid="tPtJcIHlCC" dmcf-ptype="general"><strong>◆ AI 에이전트가 새 인증 주체로…제로트러스트에 'AI 시대 구멍' 생겼다</strong></p> <p contents-hash="a017be4b260452a67ee8f6c5aae6cfb7e40d491a31c956d45edaedf80fbe3dcf" dmcf-pid="FQFikCXSSI" dmcf-ptype="general">AI 에이전트가 제로트러스트 체계의 새 사각지대로 떠올랐다. 사람을 전제로 설계된 인증 체계에 AI가 새로운 접근 주체로 끼어들면서다.</p> <p contents-hash="af5d05518e89cdf8ee6a3d2c38a6d137bb4ea7482f922ec4db416d6cb21d7132" dmcf-pid="3x3nEhZvSO" dmcf-ptype="general">아톤은 AI LLM 에이전트와 MCP 서버가 기존 제로트러스트 체계가 충분히 고려하지 못한 인증 주체라고 지적했다. AI 에이전트는 사람을 대신해 시스템에 접근하는 또 하나의 주체이고, MCP는 그 에이전트가 외부 도구·데이터에 연결되는 통로다. 대부분의 조직에서 이 에이전트들은 기업 SSO(통합인증)에 연결돼 있지 않고 권한 정의도 없다.</p> <p contents-hash="333fa73c426aeec05c9e8d65ce709d29d80af38ea6756cff1dc8d1211b2960a7" dmcf-pid="0M0LDl5TSs" dmcf-ptype="general">아톤 측은 "에이전트 하나하나가 누가 만들었는지, 어떤 권한을 갖는지, 어떤 MCP에 접속할 수 있는지가 정의되지 않으면 기존 제로트러스트에 AI 시대의 새로운 빈틈이 생긴다"고 경고했다. 외부 공격자가 이 에이전트를 노릴 경우 과거 대규모 침해사고와 유사한 결과로 이어질 수 있다는 설명이다.</p> <p contents-hash="627c7b92d83daa52cd0cbecd42188e9c6b0f0a0690eb761c16ede9193c8b9fd5" dmcf-pid="pBT4JACESm" dmcf-ptype="general">MDM·EDR·SSO·네트워크·웹 접속 관리·데이터 통제가 함께 정비돼야 제로트러스트가 성립하는데, 한 영역만 비어도 전체가 흔들린다. 현재 그 빈 영역이 AI 에이전트 통제다.</p> <p contents-hash="692866c576f3d6dd8bc766b7adc333daf98db9a1e0f436115c0fc74d1956efd0" dmcf-pid="Uby8ichDSr" dmcf-ptype="general">소프트캠프는 제로트러스트를 목표가 아닌 수단으로 봐야 한다고 지적했다. 제로트러스트 구현 자체를 목표 삼는 것이 함정이라는 시각이다. 배환국 소프트캠프 대표는 "제로트러스트는 목표가 아니라 수단"이라며 AI 공격 대응이라는 목표를 먼저 세우고 그 방법론으로 제로트러스트를 채택해야 한다고 봤다. 구현에만 매달리면 정작 AI 공격 대응이라는 실질 과제가 빠질 수 있다는 것이다.제로트러스트 체계는 아직 완성되지 않았다. 경계 보안에서 내부 지속 검증으로 전환하는 작업이 진행 중인 상황에서 AI 에이전트라는 새 인증 주체까지 등장했다. 네트워크·단말·데이터·API 각 레이어를 맡는 솔루션들이 하나의 체계로 맞물려 작동하도록 통합하는 것과, AI 에이전트를 그 체계 안에 포함시키는 것이 남은 과제다.</p> </section> </div> <p class="" data-translation="true">Copyright © 디지털데일리. All rights reserved. 무단 전재 및 재배포 금지.</p> 관련자료 이전 [알쓸신기] ⑫ 인간의 뇌를 닮은 칩 '뉴로모픽' 06-27 다음 [사이테크+] "화성에 거대 마그마 시스템 있었다…생명 거주 가능성 새 단서" 06-27 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
