[제138회 정보관리기술사 3교시 6번] 제로트러스트 아키텍처 — NIST SP 800-207 설계와 도입 로드맵

출제 의도 분석

미국 행정부 행정명령(EO 14028, 2021)에서 제로트러스트 아키텍처 채택을 의무화한 이후 국내 공공·금융 분야로 확산 중인 핵심 보안 패러다임입니다. NIST SP 800-207과 연계하여 구성요소를 설명하고, 기존 경계 보안에서의 전환 전략을 단계별로 서술하면 완성도 높은 답안이 됩니다.

가. 제로트러스트 개념과 등장 배경

제로트러스트(Zero Trust)는 “절대 신뢰하지 말고, 항상 검증하라(Never Trust, Always Verify)”는 원칙으로, 내부 네트워크라도 자동으로 신뢰하지 않고 모든 접근 요청에 대해 인증·인가·지속 검증을 수행하는 보안 패러다임입니다.

등장 배경:

• 경계 붕괴: 클라우드·원격근무 확산으로 기존 방화벽 기반 경계 보안의 한계 노출
• 내부 위협 증가: 내부자 공격, 측면 이동(Lateral Movement) 공격으로 내부 신뢰 불합리
• 데이터 중심 보안 요구: 위치가 아닌 사용자·디바이스·데이터 기반 접근제어 필요

나. 제로트러스트 핵심 원칙과 구성요소

3대 핵심 원칙 (NIST SP 800-207):

• ① 모든 리소스 접근 검증: 위치·네트워크에 관계없이 모든 사용자·디바이스·서비스 인증
• ② 최소 권한 적용: 업무 수행에 필요한 최소한의 접근만 허용
• ③ 침해 가정(Assume Breach): 항상 이미 침해됐다고 가정하고 피해 최소화 설계

구성요소	역할	대표 솔루션
정책 엔진(Policy Engine)	접근 허용/거부 결정	OPA(Open Policy Agent)
정책 관리자(Policy Administrator)	정책 엔진 결정을 집행 지점에 전달	IAM, SIEM 연동
정책 집행 지점(PEP)	실제 접근을 허용/차단	API GW, ZTNA Proxy
신원 공급자(IdP)	사용자 인증 및 컨텍스트 제공	Okta, Azure AD, Keycloak
디바이스 신뢰	접속 단말의 보안 상태 검증	MDM, EDR, 인증서

다. NIST SP 800-207 기반 아키텍처 설계

라. 도입 로드맵과 전환 전략

단계	내용	기간
1단계: 가시화	전체 사용자·디바이스·애플리케이션·데이터 인벤토리 구축, 트래픽 가시성 확보	3~6개월
2단계: 신원 강화	MFA(다중 인증) 전면 적용, SSO 구현, 특권 계정(PAM) 강화	6~12개월
3단계: 마이크로 세그멘테이션	애플리케이션·워크로드 단위 격리, East-West 트래픽 정책 적용	12~18개월
4단계: 지속 검증	행동 기반 이상 탐지, 적응형 접근 제어, 자동화된 정책 업데이트	18개월~

기존 VPN 중심 경계 보안에서의 전환은 점진적 병행 운영이 핵심입니다. 중요도 높은 시스템부터 ZTNA를 적용하고, 사용자 경험 저하 없이 단계적으로 VPN을 대체합니다.