핵심 인사이트

  1. 본질: ZTA(Zero Trust Architecture)는 "절대 신뢰하지 말고, 항상 검증하라(Never Trust, Always Verify)"는 원칙 아래, 네트워크 위치(내부/외부)와 무관하게 모든 접근 요청에 대해 신원·기기·컨텍스트를 매번 검증하는 보안 패러다임이다.
  2. 가치: 경계 기반 보안(Perimeter-Based Security)의 내부자 위협·측면이동(Lateral Movement) 취약점을 해결하며, 클라우드·원격근무·BYOD(Bring Your Own Device) 환경에서 기존 VPN 중심 보안 체계를 대체하는 현대적 보안 아키텍처다.
  3. 판단 포인트: 기술사 시험에서는 NIST SP 800-207 ZTA 참조 아키텍처의 구성 요소(PEP, PDP, PA), 제로 트러스트 7대 원칙, 그리고 SDP(Software Defined Perimeter)·SASE(Secure Access Service Edge)와의 관계가 핵심 논점이다.

Ⅰ. 개요 및 필요성

전통적 네트워크 보안은 "성벽(Perimeter)" 모델이었다. 방화벽으로 내부망과 외부망을 구분하고, 내부망에 들어오면 신뢰하는 방식이다. 이 모델은 인터넷-내부망 경계가 명확하고, 직원들이 사무실에서만 일하던 시대에는 효과적이었다. 그러나 클라우드 서비스 사용, 원격근무 확산, 모바일 기기 폭증, SaaS(Software as a Service) 도입으로 인해 "경계"의 개념이 사라졌다.

더 큰 문제는 내부자 위협이다. 2020년 SolarWinds 공격, 2021년 Colonial Pipeline 랜섬웨어 사태 등 주요 사이버 침해 사고는 모두 내부망에 진입 후 측면 이동(Lateral Movement)을 통해 확산됐다. 경계를 통과한 공격자는 내부망에서 자유롭게 이동하며 핵심 자산에 접근할 수 있었다. 이 취약점의 근본 원인은 "내부망 = 신뢰"라는 잘못된 가정이다.

ZTA는 이 가정을 완전히 폐기한다. 내부망이든 외부망이든, 관리 단말이든 개인 기기든, 모든 접근 요청은 의심하고 검증한다. 사용자 신원(MFA, Multi-Factor Authentication), 기기 상태(단말 보안 검사), 위치·시간·행동 패턴(컨텍스트)을 종합하여 동적으로 접근을 허용하거나 거부한다. 미국 바이든 행정부는 2021년 행정명령을 통해 연방 정부 기관에 ZTA 전환을 의무화했으며, 국내에서도 금융보안원과 국정원이 ZTA 도입 가이드라인을 발표하고 있다.

📢 섹션 요약 비유: 전통 보안은 성 안에 들어오면 왕이 다 아는 사람 취급이고, ZTA는 성 안에서도 모든 방 앞에 경비원이 서서 매번 신분증을 확인하는 방식이다.

Ⅱ. 아키텍처 및 핵심 원리

NIST SP 800-207이 정의하는 ZTA 참조 아키텍처는 정책 결정 지점(PDP, Policy Decision Point)과 정책 집행 지점(PEP, Policy Enforcement Point)을 분리하는 구조를 핵심으로 한다.

┌─────────────────────────────────────────────────────────────┐
│          NIST SP 800-207 ZTA 참조 아키텍처                    │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  ┌───────────┐  접근 요청   ┌──────────────────────────┐    │
│  │  주체      ├────────────►│  PEP (Policy Enforcement │    │
│  │ (사용자+   │             │      Point)              │    │
│  │  기기)     │◄────────────┤  접근 허용/차단 집행      │    │
│  └───────────┘  결과 반환  └──────────┬───────────────┘    │
│                                       │ 정책 판단 요청       │
│                              ┌────────▼───────────────┐    │
│                              │  PDP (Policy Decision  │    │
│                              │       Point)           │    │
│                              │  ┌──────┐  ┌────────┐  │    │
│                              │  │  PA  │  │  PE    │  │    │
│                              │  │(정책 │  │(정책   │  │    │
│                              │  │ 관리자│  │ 엔진)  │  │    │
│                              │  └──────┘  └────────┘  │    │
│                              └────────┬───────────────┘    │
│                                       │ 컨텍스트 수집        │
│   ┌──────────┬──────────┬─────────────▼─────────────────┐  │
│   │ ID 공급자 │  CDM     │  위협 인텔리전스   │ PKI/CA    │  │
│   │(IdP,SSO) │ (기기상태)│  피드             │(인증서)   │  │
│   └──────────┴──────────┴───────────────────────────────┘  │
│                                                             │
│  ┌─────────────────────────────────────────────────────┐   │
│  │               보호 대상 리소스 (Resource Plane)       │   │
│  │  앱 서버  │  데이터베이스  │  클라우드 서비스  │ API   │   │
│  └─────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────┘

ZTA 7대 원칙 (NIST SP 800-207 기반)

#원칙설명
1모든 리소스를 리소스로 간주네트워크 위치 무관, 모든 자산을 보호 대상으로 취급
2최소 권한 접근 (Least Privilege)업무 수행에 필요한 최소한의 권한만 부여
3모든 트래픽 검사내부 트래픽도 암호화·검사 대상
4동적 정책 평가매 접근 시 컨텍스트 기반 정책 재평가
5기기 상태 지속 모니터링단말 보안 패치 상태, 악성코드 탐지 결과 반영
6강력한 인증 (MFA)패스워드만으로 불충분, 다중 인증 필수
7지속적 모니터링 및 분석이상 행동(UBA) 탐지로 침해 조기 발견

**PA (Policy Administrator)**와 **PE (Policy Engine)**의 역할: PA는 사용자-리소스 간 세션을 생성·관리하고, PE는 IdP(Identity Provider), CDM(Continuous Diagnostics and Mitigation), 위협 인텔리전스 데이터를 수집하여 접근 허용 여부를 판정한다.

📢 섹션 요약 비유: ZTA의 PEP는 대문 경비원이고, PDP는 본사 보안실이다. 경비원(PEP)은 방문자가 올 때마다 본사(PDP)에 전화해 "이 사람 들여보내도 되나요?"라고 묻고, 본사는 신원·기기·시간대 등을 확인한 후 판단을 내린다.

Ⅲ. 비교 및 연결

구분전통 경계 보안VPN 기반 원격 접속ZTA
신뢰 모델내부망 = 신뢰VPN 연결 = 신뢰위치 무관 항상 검증
접근 단위네트워크 세그먼트전체 내부망 접근개별 앱·리소스 단위
인증1회 로그인 후 지속VPN 인증매 접근 시 재평가
측면 이동 방어취약취약강력 (세분화된 접근)
클라우드 적합성낮음보통높음 (네이티브)
원격근무 지원어려움가능 (성능 병목)최적
운영 복잡도낮음중간높음 (초기 구축)

SDP (Software Defined Perimeter) vs ZTA

SDP는 ZTA를 구현하는 기술 접근법 중 하나로, 인가된 사용자·기기에만 리소스 존재를 "보여주는(Cloaking)" 아키텍처다. ZTA는 철학·원칙 체계이고, SDP·SASE(Secure Access Service Edge)는 그 구현 기술·아키텍처다.

**SASE (Secure Access Service Edge)**는 ZTA, SDP, CASB(Cloud Access Security Broker), SWG(Secure Web Gateway), FWaaS(Firewall as a Service)를 클라우드 엣지에서 통합 제공하는 서비스 프레임워크다. Gartner가 2019년 정의했으며, 클라우드 네이티브 ZTA 구현의 대표 패러다임이다.

📢 섹션 요약 비유: ZTA가 "보안 철학"이라면, SDP는 "보안 잠금장치 설계도"이고, SASE는 "보안 기능 올인원 클라우드 서비스"다. 철학을 실제 제품으로 구현하는 관계다.

Ⅳ. 실무 적용 및 기술사 판단

ZTA 전환 로드맵 (단계적 접근)

ZTA는 한 번에 전환하는 것이 아니라 단계적으로 성숙도를 높여가는 여정이다. CISA(Cybersecurity and Infrastructure Security Agency)의 ZTA 성숙도 모델은 Initial → Advanced → Optimal 3단계를 제시한다.

  1. 초기 단계: MFA 전면 도입, 자산 목록 파악, 마이크로 세그멘테이션(Micro-Segmentation) 시작
  2. 발전 단계: IAM(Identity and Access Management) 고도화, EDR(Endpoint Detection and Response) 연동, 조건부 접근(Conditional Access) 정책 구현
  3. 최적화 단계: AI 기반 동적 정책 자동화, 지속적 모니터링·자동 대응, 전체 리소스에 ZTA 적용

기술사 핵심 논점

  • ZTA와 기존 경계 보안의 차이점 및 전환 필요성 논술
  • NIST SP 800-207 구성 요소(PEP, PDP, PA, PE) 역할 설명
  • 내부자 위협 시나리오에서 ZTA가 어떻게 피해를 최소화하는지 설계
  • SASE와 ZTA의 관계, SASE 도입 시 고려사항

📢 섹션 요약 비유: ZTA 전환은 전통 열쇠(패스워드) 집에서 스마트락(MFA+조건부 접근) 집으로 바꾸는 것과 같다. 하룻밤에 모든 걸 바꿀 수 없으니 방 하나씩 스마트락으로 교체하는 단계적 접근이 현실적이다.

Ⅴ. 기대효과 및 결론

ZTA 도입은 사이버 침해 사고 발생 시 피해 범위를 최소화하는 "격리 효과"를 제공한다. 내부망을 신뢰하지 않으므로 공격자가 내부 진입에 성공하더라도 측면 이동이 극도로 제한된다. 실제로 ZTA를 도입한 구글(Google BeyondCorp)은 VPN 없이도 전직원 원격근무를 안전하게 구현했으며, 이것이 ZTA의 실증 사례로 자주 인용된다.

비용과 복잡도 측면의 도전도 있다. IAM 고도화, 마이크로 세그멘테이션, 지속적 모니터링 체계 구축에는 상당한 투자가 필요하다. 그러나 랜섬웨어 사고 1건이 유발하는 비즈니스 손실과 복구 비용(수십~수백억 원)에 비하면 ZTA 투자는 합리적 보험이다.

결론적으로 ZTA는 단순한 보안 기술이 아니라 "신뢰의 재정의"다. 경계·위치 기반 신뢰에서 신원·행동·컨텍스트 기반 신뢰로의 패러다임 전환이 ZTA의 본질이며, 현대 사이버 위협 환경에서 선택이 아닌 필수 방향성이다.

📢 섹션 요약 비유: ZTA는 "빌딩 출입카드 시스템"의 진화다. 구형 시스템은 1층 입구에서 한 번만 찍으면 어디나 다니지만, ZTA는 층마다, 방마다, 심지어 서랍마다 카드를 다시 인식하고, 그 사람이 지금 그 장소에 있어야 할 이유가 있는지도 확인한다.

📌 관련 개념 맵

개념설명연관 키워드
PEP (Policy Enforcement Point)접근 허용·차단을 집행하는 지점ZTA, 게이트웨이
PDP (Policy Decision Point)접근 허용 여부를 판정하는 두뇌PA, PE, NIST
MFA (Multi-Factor Authentication)다중 요소 인증으로 신원 강력 검증OTP, FIDO2
마이크로 세그멘테이션내부망을 세밀하게 분리해 측면 이동 차단VLAN, SDN
SDP (Software Defined Perimeter)인가 사용자에게만 리소스 존재를 노출ZTNA, 클로킹
SASE (Secure Access Service Edge)ZTA+보안기능 클라우드 통합 서비스Gartner, 클라우드
IAM (Identity and Access Management)신원 및 접근 권한 관리 체계IdP, SSO, RBAC
Lateral Movement내부 침투 후 다른 시스템으로 확산APT, 측면 이동

👶 어린이를 위한 3줄 비유 설명

  1. 제로 트러스트는 집 안이라도 방마다 잠금장치가 있고, 가족이라도 그 방에 들어갈 이유가 있는지 매번 확인하는 방식이에요.
  2. MFA(다중 인증)은 문을 열려면 열쇠(비밀번호)뿐 아니라 지문(생체), 문자 인증번호까지 세 가지를 다 맞춰야 열리는 잠금장치예요.
  3. "절대 믿지 말고 항상 확인"은 학교에서 선생님도, 친구도 처음 보는 사람처럼 항상 이름표를 보여줘야 교실에 들어올 수 있는 규칙이에요.