03. N2SF기반의 제로트러스트 확대
2025년 들어 산업 전반의 사이버 리스크는 발생 빈도, 피해 규모, 전파 속도 모든 측면에서 가파른 상승세를 보이고 있다. 지난 4월 국내 최대 통신사에서 고객 데이터 2,696만 건이 유출되며 기간산업의 신뢰 기반이 크게 흔들렸고, 8월에는 카드사에서 전체 회원의 30%에 달하는 약 297만 명의 신용정보가 유출되는 사태가 발생했다. 이는 단순히 개인정보 유출 건수가 많다는 것을 넘어, 금융·통신이라는 핵심 인프라가 타격을 받았다는 점에서 더욱 심각하다.
[표 3-1] 2025년 국내 주요 침해사고 현황
시기 | 기업명 | 공격유형 | 피해규모 | 유출정보 | 주요 특징 |
01월 | GS25 | 크리덴셜 스터핑 | 약 9만명 | 이름, 성별, 생년월일, 연락처, 주소, 아이디, 이메일 등 | • 타 경로에서 유출된 계정 정보 악용
• 무작위 로그인 시도 |
02월 | GS샵 | 크리덴셜 스터핑 | 약 158만 건 | 이름, 성별, 생년월일, 연락처, 주소, 아이디, 이메일 등 | • 장기간 지속 공격 (2024.06 ~ )
• 대규모 개인정보 유출 |
03월 | 올리브영 | 크리덴셜 스터핑 | 약 4,900건 로그인 성공, 4,000건 이상 정보 유출 | 이름, 수령인 정보, 프로필 사진, 닉네임, 피부타입, 피부고민 등 | • 약 6만개의 IP에서 로그인 시도, 약 5시간 45분간 집중 공격 |
04월 | 법인 보험대리점 GA | SW 공급망 공격 | 약 1,107명 (고객 : 548명, 임직원, 설계사 : 559명) | 이름, 주민등록번호, 전화번호, 보험계약 종류, 증권번호, 보험료 등 신용정보 | • IT업체 개발자 PC가 악성코드 감염
• 영업지원시스템 개발업체 경유 공격 |
04월 | SK텔레콤 | APT | 약 2,696만건 (IMSI기준) | 전화번호, 가입자 식별번호(IMSI)등 유심정보 25종, 9.82GB | • 4년간 지속된 공격 (2021.08 ~)
• 28대 서버에서 33종의 악성코드 발견 |
04월 | 알바몬 | 개인정보 유출 | 약 2만 2천건 | 이력서 정보 (이름, 휴대폰번호, 이메일 주소) | • 구직자 정보 타겟
• 민감정보 유출 |
06월 | 예스24 | 랜섬웨어 | 전체 서비스 5일간 중단 | 미공개 | • 지원이 종료된 Windows OS 사용
• 공격자에게 수십억원 비트코인 지불 |
07월 | 대성학력 개발연구소 | 개인정보 유출 | 약 2만 6천건 | 이름, 휴대폰번호, 이메일, 아이디, 생년월일 주소 | • 암호화 미적용 개인정보 유출
• 교육기관 타겟 |
08월 | 예스24 | 랜섬웨어 (재공격) | 전체 서비스 7시간 중단 | 미공개 | • 2개월만에 재 공격
• 협상에 응한 기업에 대한 반복 공격 사례 |
08월 | 롯데카드 | 서버 해킹 | 약 297만명 | CVC(카드 인증번호), 카드 비밀번호, 개인신용정보 | • 악성코드 2종, 웹쉘 5종 발견 |
한국인터넷진흥원(KISA)에 따르면 2025년 상반기 국내 침해사고 신고는 총 1,034건으로 전년 동기 대비 15% 증가했다. 이는 단순한 수치 증가를 넘어, 사이버 위협이 양적·질적으로 모두 고도화되고 있음을 보여주는 신호다. 공격 양상은 과거의 단순한 물량 공세에서 벗어나 공급망 침투, 계정 탈취, 원격접속 경로 악용 등 정밀성과 은밀성을 갖춘 방식으로 진화하고 있다. 공격자들은 더 이상 무차별 공격에 의존하지 않고, 표적 조직의 취약점을 면밀히 분석한 뒤 가장 효과적인 침투 경로를 선택하는 전략적 접근을 취하고 있다.
[표 3-2] 유형별 침해사고 신고 현황 (출처 : 한국인터넷진흥원, 2025년 상반기 사이버 위협 동향 보고서)
특히 주목할 점은 정상 시스템 도구를 악용하는 LoTL(Living-off-the-Land) 기법의 확산이다. 공격자들은 PowerShell, WMI 같은 운영체제 내장 도구나 정상 관리 프로그램을 활용해 악성코드 설치 없이도 공격을 수행함으로써 기존 보안 솔루션의 탐지를 우회한다. 여기에 클라우드·SaaS 환경에서의 권한 확장 시도가 급증하면서, 초기 침투 이후 더 높은 권한을 획득하고 내부 시스템 전반으로 이동하는 측면이동(Lateral Movement)이 훨씬 용이해 졌다. 클라우드 환경의 특성상 권한 관리가 복잡하고 가시성이 제한적이라는 점이 공격자에게 유리하게 작용하고 있다.
단일 침해사고가 데이터 탈취와 이중 갈취로 연쇄 확대되는 사례가 늘면서 피해 양상도 복잡해지고 있다. 공격자들은 시스템을 랜섬웨어로 암호화하는 것에 그치지 않고, 사전에 탈취한 민감 데이터를 공개하겠다고 협박하는 이중 갈취 전략을 구사한다. 이는 조직에 복구 비용 뿐만 아니라 평판 손실, 법적 책임, 규제 제재 등 다층적 리스크를 안기며, 피해 복구의 복잡도와 비용 부담을 기하급수적으로 증가시키고 있다.
지난 10여 년간 지배적이었던 망분리 아키텍처는 명확한 설계 원칙을 기반으로 한다. 신뢰 경계(Trust Boundary)를 물리적·논리적으로 분리하고, 경계 지점에 게이트웨이 통제를 집중 배치하는 방식이다. DMZ, 내부망, 업무망을 계층적으로 구획하고, 각 구간 사이에 방화벽·프록시·VPN등을 두어 트래픽을 검사한다.
하지만 이 설계는 근본적인 구조적 취약점을 내포하고 있다. 첫째, 경계가 한 번 침투당하는 순간 내부 전체가 노출된다. 측면이동에 대한 내부 방어선이 부재하기 때문이다. 둘째, 클라우드·SaaS 환경에서는 경계 자체가 모호해진다. 데이터와 워크로드가 외부 인프라에 분산되면서, 전통적인 네트워크 경계 개념이 무력화된다. 셋째, 자격증명 탈취 공격은 정상 인증 채널을 통과하므로, 경계 통제만으로는 탐지가 불가능하다.
[그림 3-1] 경계 보안 모델의 근본적인 구조적 취약점
이러한 환경 변화를 반영해 2025년 9월, 국가 망 보안체계(N2SF, National Network Security Framework) 보안 가이드라인 1.0 정식판이 공개되었다. N2SF는 디지털 전환과 보안이라는 두 가지 목표를 동시에 달성할 수 있도록 설계된 실행 프레임워크다.
핵심은 모든 업무정보와 시스템을 기밀(Classified)·민감(Sensitive)·공개(Open)로 분류하고(이하 C/S/O), 권한·인증·분리/격리·통제·데이터·정보자산 등 주요 보안 통제항목을 등급별로 차등 적용한다는 점이다. 업무 중요도와 정보 민감도에 따라 필요한 수준의 보안만 적용함으로써, '아무도 신뢰하지 않고, 항상 검증하며, 최소 권한만 부여한다'는 제로트러스트의 3대 원칙을 실천한다.
기존의 망분리 방식은 네트워크를 물리적으로 일괄 분리함으로써 일정 수준의 보안을 확보했지만, 동시에 업무 민첩성을 크게 제약했다. 특히 AI·클라우드·협업 도구 같은 신기술 도입이 어려워지면서, 보안과 혁신이 상충하는 구조적 딜레마를 낳았다. 반면 N2SF는 네트워크 경계가 아닌 업무·시스템·위치에 부여된 등급을 기반으로 위험을 정밀하게 식별하고, 실제 위협이 존재하는 지점에만 필요한 통제를 배치하는 방식으로 작동한다. 이를 통해 과도한 제약 없이도 실질적인 보안 수준을 높이고, 동시에 조직의 유연성과 혁신 역량을 보존할 수 있다.
[그림 3-2] 현행 망분리 정책과 N2SF 비교
N2SF는 ①준비 → ②등급분류(C/S/O) → ③위협식별 → ④보안대책 수립 → ⑤적절성 평가 및 조정의 5단계를 반복적으로 수행하는 순환 구조로 설계되었다. 이를 통해 보안을 일회성 프로젝트가 아닌 지속적인 운영 프로세스로 자리잡게 하며, 변화하는 위협 환경과 업무 요구사항에 능동적으로 대응할 수 있는 기반을 제공한다. 이는 규정 준수 중심의 점검표를 넘어 운영 내재화를 목표로 한다.
[그림 3-3] N2SF 적용 절차
C/S/O의 기준은 「정보공개법·공공데이터법·보안업무규정」 등 법령에 의거한다. 기밀(C) 은 비밀, 안보·국방·외교·수사 등 기밀정보 및 국민 생활 ·생명·안전과 직결된 정보, 민감(S) 은 비공개 정보로 개인·국가 이익 침해가 가능한 정보, 공개(O)는 기밀·민감정보 이외의 모든 정보 및 별도의 조치를 적용한 비공개 정보로 정의한다.
[표 3-3] 업무 정보 C/S/O 분류 기준
정보 분류 | 분류 기준 | 상세 분류 내용 | |
비공개 정보 | 기밀 정보 (C) | 비밀·안보·국방·외교·수사 등 기밀정보 및 국민생활·생명·안전과 직결된 정보 | 제1호 : 법령상 비밀, 비공개 정보
제2호 : 안보·국방·통일·외교 관련 정보
제3호 : 국민의 생명·신체·재산보호 침해 관련 정보
제4호 : 재판·수사· 등 관련 정보 |
비공개 정보 | 민감 정보 (S) | 비공개 정보 등 개인·국가·이익 침해가 가능한 정보 | 제5호 : 감시·감독·계약·의사결정 관련 정보
제6호 : 이름·주민등록번호·등 개인정보
제7호 : 법인의 경영·영업비밀 정보
제8호 : 부동산 투기·매점매석 등 관련 정보
기타 : 로그 및 임시백업 등 |
공개 정보 | 공개 정보 (O) | 기밀·민감정보 이외의 모든 정보 및 별도의 조치를 적용한 비공개 정보 | 공공 데이터법(제2조)에 따른 공공 데이터로 기밀·민감 정보 이외 모든 정보
가명처리 등 관련 법 등에서 규정하는 요건을 만족하는 행정·민감 정보
기간의 경과 등으로 비공개 필요성 소멸 시 공개한 정보 |
이 분류는 준비 단계에서 식별한 업무정보에 먼저 적용되며, 해당 정보를 생산·저장·처리·이동· 보관·폐기하는 정보시스템에도 동일 등급을 상속한다. 이는 정보와 시스템의 보안 수준을 일관되게 유지하기 위한 원칙이다. 다만 실무 환경에서는 하나의 시스템에서 서로 다른 등급의 정보를 동시에 처리해야 하는 경우가 발생할 수 있다. 이럴 때는 가장 높은 등급으로 시스템 전체를 일괄 상향하거나, 가능하면 등급별로 시스템을 물리적·논리적으로 분리하는 것을 원칙으로 한다. 전자는 구현이 간단하지만 낮은 등급 업무까지 과도한 통제를 받게 되어 업무 효율이 저하될 수 있고, 후자는 초기 구축 비용은 들지만 각 등급에 맞는 적정 수준의 보안을 유지하면서도 업무 유연성을 보존할 수 있다. 이러한 접근은 무분별한 상향 조정으로 인한 업무 제약을 최소화하면서도 보안 기준은 엄격히 유지하려는 균형적 접근이다.
[표 3-4] 시스템 등급 부여 원칙
상황 | 원칙 | 방법 | 비고 |
단일 등급 정보만 처리 | 정보 등급 = 시스템 등급 | 직접 상속 | 가장 이상적인 구조 |
복수 등급 정보 혼재 | 원칙 ① : 상위 등급으로 일괄 상향 | 최고 등급 적용 | 관리 용이, 과잉보안 가능 |
복수 등급 정보 혼재 | 원칙 ② : 등급별 시스템 분리 (권장) | 시스템 분리 운영 | 효율적, 구축비용 증가 |
더불어 위치(물리적·논리적)도 등급화하는데, 일반적으로 인터넷 영역은 공개(O), 업무 영역은 민감(S), 특수 또는 기밀 취급 환경은 기밀(C)을 기본값으로 삼아 네트워크 구간과 업무 공간을 라벨링 한다. 이를 통해 정보와 시스템뿐만 아니라 그것이 위치한 환경까지 통합적으로 보안 등급을 부여함으로써, 접근 통제와 데이터 이동 경로 관리를 보다 정밀하게 수행할 수 있다.
N2SF는 이러한 등급 체계를 기반으로 두 가지 핵심 보안 원칙을 제시한다. 첫째, 정보 생산·저장 원칙은 정보시스템이 자신의 등급보다 높은 등급의 업무 정보를 생산하거나 저장하는 것을 위협으로 식별한다. 예를 들어, O등급 시스템에서 S등급 데이터가 생성되면 안 된다. 둘째, 정보 이동 원칙은 업무 정보가 자신의 등급보다 낮은 등급의 정보시스템으로 이동하는 것을 위협으로 간주한다. 예를 들어, S등급 데이터가 O등급 시스템으로 전송되어서는 안 된다. 이 두 원칙은 위협 발생 지점을 명확히 하고, 그 지점에 보안 통제를 배치하는 기준이 된다.
[표 3-5] 네트워크 영역별 기본 등급
위치 구분 | 기본 등급 | 특징 | 허용 정보 | 접근 통제 |
인터넷 영역 | O (공개) | 외부 접근 가능 | 공개 정보만 | 최소 통제 |
업무 영역 | S (민감) | 내부 업무망 | 민감 정보 처리 | 인증/인가 필수 |
특수/기밀 취급 환경 | C (기밀) | 물리/논리 격리 | 기밀 정보 처리 | 엄격한 접근 통제 |
이후 위치-주체-객체 모델링을 적용해 서로 다른 등급이 교차하는 혼용 지점을 식별하고, 정보의 생산·저장 단계와 이동 단계 두 관점에서 구체적인 보안대책을 배치한다. 여기서 주체(Subject)는 업무정보를 활용하는 정보시스템(사용자나 프로세스)을, 객체(Object)는 접속 대상 정보 시스템(파일이나 데이터베이스 등 보호 대상)을, 위치(Location)는 물리적·논리적 영역을 의미한다. 이들이 어떤 등급의 위치에서 어떤 등급의 정보에 접근하는지를 분석함으로써 위험 시나리오를 체계적으로 도출할 수 있다.
[표 3-6] 위치-주체-객체 매트릭스
구성 요소 | 구성 | 등급 적용 | 검증 항목 |
위치 (Location) | 물리적 위치, 논리적 네트워크 | C / S / O | 접근 위치의 안전성 |
주체 (Subject) | 사용자, 프로세스, 기기 | 인증 등급, 권한 등급 | 신원 확인, 권한 수준, 기기 보안 상태 |
객체 (Object) | 정보, 시스템, 데이터 | C / S / O | 접근 대상의 민감 |
C/S/O 등급 라벨은 정책 결정의 맥락(Policy Context)을 제공하고, 위협식별 단계의 위치-주체-객체 모델링은 보안 정책이 적용되어야 할 경계(Policy Boundary)를 명확히 정의한다. 결과적으로 "누가(주체)·어디서(위치)·무엇에(객체)·어떤 행위로 접근하는가"를 실시간으로 검증하는 ZTNA(Zero Trust Network Access), ICAM(Identity, Credential, and Access Management), 마이크로세그먼테이션 등 제로트러스트 핵심 기술의 배치와 운영이 훨씬 체계적이고 명확 해진다. N2SF가 제시하는 등급 체계와 모델링 절차는 추상적인 제로트러스트 원칙을 실무에 적용 가능한 구체적 실행 지침으로 전환하는 가교 역할을 한다.
[그림 3-4] 경계 기반 보안 모델과 제로트러스트 보안 모델 비교
제로트러스트는 기존 보안 운영 방식을 근본적으로 재편한다. 그 핵심 원칙은 다음 네 가지로 요약할 수 있다. 첫째, 신원 기반 지속 검증이다. 제로트러스트의 접근 메커니즘은 주체(Subject)의 자원(Resource) 접근 시 인증(Authentication)과 권한 부여(Authorization) 프로세스를 통해 신뢰 수준(Level of Confidence)을 동적으로 산정하여 접근 가부를 결정하는 구조로 설계된다. [그림 3-5]와 같이 모든 엔티티(Entity)는 우회가 원천적으로 차단된 정책 결정 지점(PDP, Policy Decision Point)과 정책 집행 지점(PEP, Policy Enforcement Point)을 필수적으로 경유해야 하며, 이러한 제어 평면(Control Plane)을 통과한 경우에 한하여 암묵적 신뢰구간(Implicit Trust Zone) 내 자원에 대한 접근이 허가된다.
[그림 3-5] 제로트러스트 기본 매커니즘(출처 : NIST, SP 800-207 : Zero Trust Architecture)
제로트러스트 모델은 경계 기반 보안의 근본적 한계인 ‘인증 후 신뢰’를 근본적으로 배제한다. 그 대신 신원(Identity), 콘텍스트(Context), 엔드포인트 보안 상태(Endpoint Security Posture)를 세션별로 지속 검증하는 '절대 신뢰하지 않고 항상 검증(Never Trust, Always Verify)' 원칙을 적용한다. 구체적으로, 사용자의 지리적 위치, 접속 시간대, 디바이스 무결성, 네트워크 속성 등의 다차원 속성을 실시간으로 평가하여 접근 권한을 동적으로 조정한다. 이는 최초 인증 시점에 국한되지 않고 세션 생애주기 전반에 걸쳐 신뢰성을 재평가하는 연속적 인증(Continuous Authentication) 체계를 의미한다.
둘째, 애플리케이션 단위 최소 권한이다. 네트워크에 들어오면 모든 자원이 보인다는 가정을 버리고, 애플리케이션 단위로만 자원을 노출하며 필요 최소 권한만 부여한다. 내부 네트워크 진입이 곧 신뢰를 의미하지 않으며, 각 자원 접근 시마다 별도의 인가 절차를 거친다. 네트워크 계층의 가시성은 원천 차단되고, 사용자는 자신에게 허용된 애플리케이션만 접근할 수 있다.
이러한 애플리케이션 단위 최소 권한 원칙은 인증과 권한 부여를 제로트러스트의 3대 원칙에 따라 구현함으로써 실현된다. 조직의 환경과 보안 요구사항에 따라 [그림 3-6]과 같이 4가지 배포 모델을 선택하거나 조합하여 적용할 수 있다.
[그림 3-6] 제로트러스트 배포 모델(출처 : NIST, SP 800-207 : Zero Trust Architecture)
셋째, 데이터 전 생애주기 보호다. 저장(at-rest)·전송(in-transit)·사용 중(in-use) 데이터의 전 생애주기에 걸쳐 암호화와 접근 통제를 기본값으로 적용한다. 데이터의 위치나 상태와 무관하게 보호가 지속되는 데이터 중심 보안 패러다임으로, 네트워크 경계가 아닌 데이터 자체를 보호 단위로 삼는다.
[그림 3-6] 데이터 중심 보안 (출처 : DoD CIO, DoD Zero Trust Reference Architecture Version 2.0, September 2022 )
넷째, 행위 기반 지능형 탐지·대응이다. 행위 기반 탐지의 핵심은 분산된 이벤트를 통합 수집하여 사용자와 엔티티의 정상 행위 패턴을 학습하고, 이상 징후를 실시간으로 감지하는 것이다. 단순한 룰 기반 탐지를 넘어 UEBA(User and Entity Behavior Analytics)를 통해 행위 편차를 분석하고, XDR(Extended Detection and Response)로 복합 공격 패턴을 조기에 포착한다. 나아가 SOAR(Security Orchestration, Automation and Response)를 통한 자동 대응으로 보안 팀의 반응 시간을 획기적으로 단축할 수 있다.
이러한 행위 기반 탐지·대응 체계는 제로트러스트 아키텍처의 핵심 구성요소인 가시성(Visibility & Analytics)과 자동화·오케스트레이션(Automation & Orchestration) 영역과 직결된다. 이는 DoD Zero Trust Reference Architecture의 7대 Pillar 중에서도 6.0 Automation & Orchestration과 7.0 Visibility & Analytics가 제로트러스트 구현의 중추적 역할을 담당하는 이유이기도 하다.
가시성과 자동화 역량을 실제 환경에 구현하기 위해서는 계층적 접근이 필요하다. 하위 계층에서는 User, Device, Network/Environment, Application & Workload, Data 등 각 보안 영역에서 신원 검증, 디바이스 무결성 확인, 마이크로 세그먼테이션, 데이터 암호화 등의 기초 보안 통제를 수행한다. 이들 영역에서 생성되는 보안 이벤트와 컨텍스트 정보는 상위 계층의 분석·자동화 엔진으로 집약되어, Policy Decision Point(PDP), Critical Process Automation, Machine Learning 등의 고도화된 분석 기능을 통해 정책 기반 접근 제어(ABAC)와 위협 대응 자동화로 연결된다.
[그림 3-6] IGLOO ZTA Capability Mapping by Pillars
이 과정에서 PIPs(Policy Information Points) 영역은 제로트러스트 의사결정의 핵심 인프라 역할을 수행한다. PIPs는 이기종 보안 시스템으로부터 속성 정보(Attribute)를 실시간으로 수집·정규화하여 정책 결정 지점과 정책 집행 지점에 제공한다. Endpoint Security(EDR/EPP), Identity & Access Management(ICAM), Threat Intelligence, Data Security 등 분산된 보안 컴포넌트에서 생성되는 시그널을 통합하여 연속적 신뢰 평가를 가능하게 한다. 데이터 분석 환경에서는 UEBA, Threat Intelligence Platform, SOAR, XDR이 유기적으로 연계되어 행위 스코어링(Behavior Scoring), 이상 탐지, 자동화된 차단·격리 조치를 수행한다.
[그림 3-7] IGLOO ZTA Capability Mapping by ZT Components
이러한 PIPs 기반의 통합 분석 체계는 제로트러스트 아키텍처의 신경망으로 작동한다. 최종적으로 앞서 제시한 네 가지 핵심 원칙과 이를 구현하는 아키텍처 구성요소들을 통해 보안 환경의 신뢰성을 강화할 수 있다. 동적 위험 기반 정책을 통해 일관된 보안 정책을 유지하고, 모든 접근 요청을 철저히 검증함으로써 보안 위협을 최소화한다.
[그림 3-8] IGLOO Zero Trust Architecture
이처럼 제로트러스트는 기술적 구현뿐만 아니라 운영 철학의 전환이 핵심이다. 앞서 제시한 네 가지 원칙은 경계 중심에서 신원 중심으로, 정적 방어에서 동적 검증으로, 네트워크 신뢰에서 지속적 위험 평가로의 전환을 의미한다. 이러한 원칙들은 식별된 위협에 대응하는 보안 아키텍처를 설계할 때 핵심 기준으로 작용하며, 보안통제의 선택과 구현 방식을 결정하는 토대가 된다.
제로트러스트는 N2SF의 독립된 단계가 아니라, ①준비 → ②등급분류(C/S/O) → ③위협식별을 거쳐 ④보안대책 수립 단계에서 핵심 설계 원칙으로 적용된다. 이 단계에서는 식별된 위협에 대응하는 구체적인 보안통제를 선택하고 구현계획을 수립하는데, 단순히 통제 항목을 나열하는 것이 아니라 제로트러스트 원칙을 각 통제에 내재화해야 한다. 바로 이 지점에서 제로트러스트의 3대 원칙(아무도 신뢰하지 않고, 항상 검증하며, 최소 권한만 부여한다)이 각 통제 항목(권한·인증·분리/격리·통제·데이터·정보자산)의 설계 기준이 되며, 조직의 환경과 위협 프로필에 따라 통제의 우선순위와 구현 수준을 결정하는 위협 시나리오별 대응 전략을 구체화하는 기반을 제공한다.
[표 3-7] N2SF 보안 통제 항목과 제로트러스트 구성요소의 대응 관계
N2SF 항목 | 제로트러스트 핵심 구성요소 | 핵심 원칙 | 주요 구현 내용 예시 |
권한·인증 | 신원 (Identity) | • 항상 검증 (Always Verify)
• 최소 권한 (Least Privilege) | • 통합 ID 공급자(IDP)와 신원 거버넌스(IGA)로 역할 기반 최소권한 제도화
• FIDO2·패스키, OTP·생체인증 등 MFA 기본값 설정
• 고위험 행위에 수시 재 인증 적용
• 세션 전체에 걸쳐 신뢰를 지속적으로 확인 |
정보자산 | 기기 (Device) | • 자산 신뢰도 기반 통제
• 지속적 검증 | • 보안 패치·보안 에이전트 상태 등을 접근 전제 조건으로 연동(기준 미 충족 기기는 자동 차단·격리)
• EPP/EDR로 단말 위협 실시간 탐지·대응
• CAASM으로 전체 자산 식별 및 취약점 가시화 |
분리/격리 통제 | 네트워크 (Network) | • 네트워크 불신 (Never Trust)
• 마이크로 세그멘테이션
• 기본 거부 (Deny-by default) | • 분리/격리 : 업무·애플리케이션 ·워크로드 단위까지 세밀 분할 (측면이동 원천 차단)
• 통제 : ZTNA로 내부망·외부망 구분 없이 모든 접근 통제 (네트워크 전체 가 아닌 필요한 애플리케이션만 접근 권한 부여)
• NAC·SDP로 신원 기반 동적 연결만 허용 (경계기반 → 신원 기반 보안 패러다임 전환) |
데이터 | 데이터 (Data) | • 데이터 중심 보호
• 암호화 기본값
• C/S/O 등급 통합 | • 저장·전송·사용 중 전 생애주기 일괄 보호
• DLP로 데이터 등급별 전송·복사 ·출력 정밀 차단
• KMS/HSM을 통한 암호키 생명 주기 등급별 차등 관리 |
전 통제 항목 + 탐지·대응 | 가시성 및 분석(Visibility & Analytics) | • 지속적 모니터링
• 위협 가시성
• 자동화된 대응 | • XDR로 애플리케이션·단말·네트워크· 클라우드 전 영역 이벤트 통합 상관 분석
• SOAR로 플레이북 기반 격리·차단 ·알림 자동 실행
• 통합 SOC는 위협 인텔리전스(CTI)를 연동하여, 최신 공격 기법 실시간 반영, 탐지 룰 지속적 개선 |
이러한 대응 관계를 통해 제로트러스트는 추상적 원칙에서 실행 가능한 설계 언어로 전환되며, C/S/O 등급과 위협 모델링 결과를 구체적 보안통제로 체계적으로 변환한다. 예를 들어, S등급 업무망과 O등급 외부 서비스의 혼용이라는 위협 시나리오에 대해 6개 핵심 구성요소 전체에 걸쳐 계층적 방어(Defense in Depth)가 체계적으로 설계된다.
그러나 이론적 설계와 현실 사이에는 간극이 존재한다. 많은 기관이 여전히 다중망, 노후 애플리케이션, 부서별 방화벽 정책, 전용선 기반 업무 흐름 위에 서 있다. 이 모든 것을 단번에 교체하는 것은 비용·혼란·시간 면에서 비현실적이다. 특히 공공기관이나 금융권처럼 24시간 무중단 운영이 필수적인 환경에서는 더욱 그렇다. N2SF가 제시하는 오버레이(Overlay) 개념은 바로 이러한 현실을 인정하면서도, 제로트러스트로의 단계적 전환을 가능하게 하는 전략적 접근이다. 예를 들어, 미국 국방부는 NIST SP 800-53의 표준 보안통제 체계를 버리지 않고, 그 위에 제로트러스트 원칙을 덧씌워 DoD Zero Trust Overlay를 만들었다. 기존 통제 프레임워크를 대체하지 않고 강화한 것이다. 이를 통해 수백 개의 레거시 시스템을 운영하면서도, 새로운 클라우드 환경과 모바일 접근을 동시에 통제할 수 있는 하이브리드 보안 체계를 구축했다. 단계적으로 제로트러스트 체계로 이행하면서도 운영 연속성을 보장한 것이다. N2SF도 동일한 철학을 따른다. N2SF의 오버레이는 [표 3-8]과 같이 세 단계로 구성된다.
[표 3-8] N2SF 오버레이의 3단계
단계 | 계층 | 핵심 내용 | 적용 방식 예시 |
1단계 | 기준선(Baseline) C/S/O 등급별 우선 검토사항 | • 모든 기관이 확보해야 할 최소 필수 보안 통제
• N2SF 부록1의 ‘●’ 표시 항목
• 등급별 차등 적용 | • C 등급 : MFA + 수시 재 인증 + 격리 네트워크 + 전 구간 암호화
• S 등급 : MFA + 디바이스 posture 검증 + 세그멘테이션
• O 등급 : 단말 인증 + 기본 암호화 + 일반 접근 통제 |
2단계 | 제로트러스트 원칙 오버레이 | • 기준선 위에 ZT 3대 원칙 덧쓰우기
• 보안대책 수립 단계의 설계 언어
• 통제 구현 방식 결정 | • 기준선 : S등급은 MFA 적용, ZT 오버레이
• MFA + 조건부 접근 (시간·위치·디바이스 상태) + 고위험 행위 수시 재 인증 |
3단계 | 기관 맞춤 오버레이 | • 기관 고유의 업무 ·위협·기술 ·예산 반영
• 통제의 제외·수정· 추가 허용
• 자율성 과 책임성 균형 | • 통제 제외 : 적용 불가능한 통제 제거
• 통제 수정 : 구현 방식을 기관 상황에 맞게 조정
• 통제 추가 : 부록1 외 자체 통제 정의·적용 |
이러한 단계적 접근은 제도적 일관성과 전략적 유연성을 동시에 달성한다. 1단계 기준선으로 최소 보안 수준을 보장하면서도, 2~3단계 오버레이로 각 기관이 제로트러스트 원칙과 자체 맥락을 순차적으로 반영할 수 있다. 중요한 것은 기준선은 후퇴하지 않되, 그 위에 얼마든지 강화할 수 있다는 원칙이다. 이러한 오버레이 방식은 레거시 환경을 유지하면서도 제로트러스트 체계를 단계적으로 내재화할 수 있는 현실적 경로를 제공한다. 각 단계는 이전 단계 완료를 기다리지 않고 병행 추진 가능하며, 기관의 우선순위와 역량에 따라 순서를 조정할 수 있다. 핵심은 "완벽한 제로트러스트 달성"이 아니라 "현재 위치에서 제로트러스트 방향으로 매 분기 한 걸음씩 전진"하는 것이다.
지금까지의 내용을 정리하면, N2SF는 [표 3-9]와 같은 구조적 통합을 통해 실행 가능한 보안 프레임워크로 작동한다.
[표 3-9] N2SF가 구현하는 통합 보안체계
구성 요소 | 역할 | 작동 방식 |
6개 대항목 보안 통제 (권한·인증·분리/격리·통제·데이터·정보자산) | 제로트로스트 핵심 구성요소와 구조적 정합 | • Identity, Device, Network, Application, Data, Visibility & Analytics 구성 요소를 N2SF 통제 항목으로 직접 구현 |
C/S/O 등급 체계 | 정책 맥락(Policy Context) 제공 | • 모든 계층에 걸쳐 일관된 정책 결정 기준 제공
• 맥락 기반·위험 기반 차등 통제 실현 |
위치-주체-객체 모델링 | 정책 경계(Policy Boundary) 명확화 | • 누가·어디서·무엇에·어떤 행위로 접근하는지 분석
• 위협 발생 지점과 통제 배치 지점 식별 |
제로트러스트 3대 원칙 | 보안 대책 수립 단계의 설계 기준 | • 각 통제의 구현 방식·강도·범위 결정
• 위협식별 결과를 실제 통제로 전환하는 설계 언어 |
오버레이 개념 | 점진적 전환의 현실적 경로 | • 기준선 → ZT원칙 → 기관 맥락을 순차적으로 덧씌워 레거시 보호하며 현대적 보안으로 단계적 이동 |
이처럼 N2SF는 NIST RMF 기반의 위험관리 절차 위에 제로트러스트 아키텍처를 오버레이한 통합형 보안체계다. 단순한 망 분리 정책의 개선이 아니라, 절차적 보안관리(RMF)와 원칙 기반 보안 설계(Zero Trust)를 하나의 실행 가능한 프레임워크로 융합한 것이다.
N2SF가 지향하는 것은 규정 준수 조직에서 공격 회복력 있는 조직으로의 진화다. 규정 준수 조직은 정해진 통제 목록을 체크박스로 확인하며, 통제가 실제로 위협을 차단하는지보다 문서상 구비 여부에 집중한다. 반면 공격 회복력 있는 조직은 위협을 지속적으로 식별·평가하고, 맥락에 맞게 통제를 조정하며, 침해 발생 시 신속히 복구하는 능동적 보안을 실천한다. N2SF의 ⑤적절성 평가·조정 단계는 바로 이러한 지속적 개선을 제도화한다.
보안은 일회성 프로젝트가 아니라 지속적인 운영체계다. 오늘의 정상이 내일의 취약점이 될 수 있다는 인식 아래, 위협 환경의 변화에 맞춰 통제를 지속적으로 조정해야 한다. 사용자 경험을 해치지 않는 범위에서 필요할 때만 단호하게 통제하며, 정기적으로 통제의 적절성을 재평가할 때 조직은 규정 준수를 넘어 공격에 회복력 있는 조직으로 진화할 수 있다. 보안은 한 번 구축하고 끝나는 것이 아니라, 위협과 함께 진화하는 살아있는 운영체계가 된다. 이것이 N2SF가 지향하는 보안의 미래이자, 지속가능한 디지털 신뢰의 출발점이다.
IGLOO Corp. 2025. All rights reserved.