경계 문제 해결
Zero Trust를 통해 기존 보안을 넘어 새로운 경지로 나아가기
현대 기업을 위한 전통적인 경계 보안의 시대는 끝났습니다. 부분적으로는 전통적인 업무 방식이 변화했기 때문이죠. 현재의 직원들은 일주일 동안 작은 지사, 비행기, 홈 오피스, 커피숍, 고객의 사무실에서도 일할 수 있습니다.
대부분의 기술 리더는 Zero Trust 보안이 기업 보호를 위한 레거시 접근 방식에 대한 최선의 대안임을 인식하고 있죠. Zero Trust 보안의 ID 중심의 지속적인 인증은 조직이 사용자가 어디에 있든, 어떤 장치를 사용하든 리소스를 보호할 수 있도록 지원합니다. Zero Trust 모델로 전환하면 조직에서는 경계 보안의 본질적인 한계를 해결할 수 있습니다.
하지만 여전히 많은 회사가 목표에 도달하지 못하고 있죠. 사실, 많은 사람들이 Zero Trust 여정에서 아직 멀리 나아가지 못했습니다. 1에서 10까지의 척도로 따져보면 어떨까요? 사이버 보안 플랫폼 Milestone의 CEO 겸 공동 창업자이자 Cytactic의 파트너인 Menny Barzilay의 말을 빌리면 '4점 정도'입니다. 저 개인적으로는 아무리 후하게 쳐도 6점을 주고 싶네요.
저는 최근에 Cloudflare의 아메리카 지역 현장 CIO인 Khalid Kark 및 Menny Barzilay와 경계 보안 문제에 대해 이야기를 나눴습니다. 우리는 2025년 Cloudflare Signals 보고서에서 강조된 레거시 경계 기반 보안의 취약점에 대해 논의했으며, Zero Trust 모델로 전환하는 것이 이러한 문제를 해결하는 데 어떻게 도움이 될 수 있는지 논의했습니다.
우리는 모두 Zero Trust 여정을 진행하는 것이 오늘날의 위협 환경에서 조직을 보호하는 데 필수적이라는 데 동의했습니다. 하지만 그렇게 하려면 단일 솔루션을 구매하는 것 이상의 노력이 필요합니다.
경계를 아이덴티티 기반 보안으로 대체하기
조직이 새로운 보안 모델로 전환하기 전에, 그들의 원래 방식을 이해하는 것이 중요합니다. 수년간 조직들은 기업 사무실의 물리적 경계와 대체로 일치하는 네트워크 경계를 보호하는 데 사이버 보안 노력을 집중해 왔습니다. 온프레미스 데이터 센터에서 방화벽으로 네트워크 경계를 보호했죠.
오늘날 조직은 물리적 사무실을 훨씬 넘어 확장되었습니다. 직원들은 클라우드 기반 앱을 사용하여 어디서나 일하고 있습니다. Menny Barzilay는 “경계라는 개념은 오늘날의 현실에서 매우 의심스러운 개념입니다”라고 말했습니다.
사이버 보안 리더에게는 해자와 성 모델 대신 조직을 방어할 완전히 새로운 모델이 필요합니다. 대부분은 아이덴티티가 그 모델의 핵심이 될 것이라는 데 동의합니다. 물론, 간단히 사용자의 아이덴티티를 인증하는 것만으로는 충분치 않죠. 조직은 각 액세스 요청과 사용자의 장치 상태에 대한 추가적인 컨텍스트를 통합해야 합니다.
그들이 제대로 해내면, 보안에 막대한 이익이 생기죠. “아이덴티티 문제를 해결할 수 있다면 사이버 보안 문제도 해결할 수 있다는 개념이 있습니다”라고 Barzilay는 말합니다. “올바른 사람이 올바른 장치로 올바른 데이터를 사용하고 있다는 것을 알고 있다면, 사이버 보안 문제는 없는 거죠.”
아이덴티티 문제를 해결하는 것이 Zero Trust 보안 모델을 구현하는 주요 목표입니다. 해당 모델의 핵심 원칙은 절대 신뢰하지 않고 항상 인증하는 것입니다. Zero Trust는 성을 둘러싼 '해자'를 건너는 모든 사람을 신뢰하는 대신(그리고 모든 리소스에 대한 액세스 권한을 부여하는 대신), 네트워크 내부와 외부에 위험이 있다고 가정합니다. Zero Trust 도구는 특정 데이터 및 애플리케이션에 대한 액세스 권한을 부여하기 전에 사용자, 컨텍스트 및 장치를 인증합니다.
Khalid Kark가 최근 논의에서 지적했듯이 Zero Trust는 하나의 구체적인 솔루션이 아닙니다. “이것은 사실 하나의 사고방식입니다.” Menny Barzilay도 동의합니다. “어떤 것도 ‘설계상 신뢰’할 수 없다는 것을 이해하고 인정하는 것입니다. 모든 것을 일일이 인증해야 합니다.”
저는 Zero Trust를 하나의 여정으로 생각하며, 어디에서 시작하는지는 사실상 중요하지 않다고 생각합니다. 하지만 대부분의 조직은 가장 문제가 되는 시나리오를 파악하는 것부터 시작합니다.
"아이덴티티 문제를 해결할 수 있다면, 사이버 보안 문제도 해결할 수 있습니다."
— Menny Barzilay
Milestone의 CEO 겸 공동 창업자, Cytactic의 공동 창업자 겸 파트너
첫 번째 대상 파악: Zero Trust의 핵심 사용 사례 찾기
Zero Trust 보안 모델은 하이브리드 근무와 클라우드 기반 리소스의 급증으로 인해 발생하는 가장 시급한 위협을 해결하는 데 도움이 될 수 있습니다. 예를 들어, 오래된 원격 액세스 솔루션을 대체하고, 섀도우 IT를 제어하며, 사용자 보안을 간소화할 수 있습니 다.
1. 기존 VPN 대체
공격자는 사용자 한 명의 VPN 자격 증명만 훔쳐도 기업 네트워크에 대한 광범위한 액세스 권한을 얻을 수 있다는 것을 알고 있습니다. 아이덴티티 중심 Zero Trust 보안으로 전환하면 이 심각한 문제를 해결하는 데 도움이 될 수 있죠. Zero Trust를 사용하면 사용자를 지속적으로 인증하고 클라우드 워크로드 및 SaaS 애플리케이션 전반에 걸쳐 컨텍스트 인증을 구현할 수 있습니다. 공격자가 여전히 네트워크에 대한 원격 액세스 권한을 얻을 수 있다면 최소 권한 액세스 기능이 침투 범위를 제한하여 내부망 이동을 방지할 수 있죠.
VPN을 Zero Trust 보안으로 대체하면 추가적인 이점도 생깁니다. 사용자는 리소스에 더 원활하게 연결하고, 대기 시간도 짧아집니다. 또한 VPN 솔루션을 확장하는 것보다 더 빠르고 비용 효율적으로 Zero Trust 액세스 사용을 확장할 수 있습니다. 귀사의 IT 팀은 원격 및 하이브리드 액세스 관리를 위한 관리 복잡성을 줄일 수 있죠.
2. 섀도우 IT 제어
클라우드 공급자는 AI 서비스를 포함한 새로운 서비스를 매우 쉽게 도입할 수 있도록 지원합니다. 하지만 그 결과, 개별 직원과 팀이 IT 부서와 상의하지 않고 이러한 서비스에 가입하는 경우가 많습니다. 이러한 종류의 섀도우 IT(또는 섀도우 AI)는 클라우드 앱과 클라우드 환경을 모니터링하고 보호하는 것을 점점 더 어렵게 만듭니다. 간단한 클라우드 기반 협업 도구를 사용해도 민감한 데이터가 위험에 처할 수 있죠.
Zero Trust 보안의 일부로 클라우드 액세스 보안 브로커(CASB), AI 기반 검색 도구 및 자동화된 정책 시행을 구현하면 무단 클라우드 서비스 사용에 대한 실시간 가시성 및 제어를 확보하는 데 도움이 될 수 있습니다.
3. 비밀번호 시대 종식
공격자가 AI를 사용하여 더 정교한 전술을 사용하더라도 아이덴티티는 여전히 주요 공격 벡터로 남아 있습니다. 보고서에 따르면, 2024년 1분기에 Cisco 사고 대응 업무의 25%가 사용자가 사기성 다단계 인증(MFA) 푸시 알림을 수락한 것과 관련이 있습니다. 공격자는 또한 다른 방식으로 활성 세션을 하이재킹하고 자격 증명을 훔쳐 기업을 광범위한 침해 및 계정 탈취에 노출시키고 있습니다.
특히 조직은 여러 가지 아이덴티티 관련 문제에 직면합니다.
자격 증명 재사용: 보고서에 따르면 손상된 자격 증명을 분석한 결과, 모든 인간 로그인 시도의 46%, 기업 로그인 시 도의 60%가 손상된 자격 증명과 관련된 것으로 나타났습니다.
자동화된 자격 증명 공격: 손상된 자격 증명을 분석한 결과, 94%의 로그인 시도가 도난당한 비밀번호를 초당 수천 개 테스트할 수 있는 봇으로 인해 유출된 자격 증명을 사용하는 것으로 나타났습니다.
불충분한 비밀번호: 정적 비밀번호와 기본적인 MFA 방법조차도 세션 하이재킹 및 피싱 방지 자격 증명 도용과 같은 최신 위협에는 효과적이지 않은 경우가 많습니다.
이제는 기존의 비밀번호 기반 보안에서 벗어나야 할 때입니다. 비밀번호 없는 인증, 행동 분석, 자동화된 자격 증명 취소, 기타 기능과 함께 Zero Trust 액세스 제어를 구현하면 단순한 정적 비밀번호 및 기본 MFA의 잠재적 위험을 해결하는 데 도움이 될 수 있습니다.
Zero Trust 여정을 위한 출발점을 확인하세요
적절한 사용 사례를 식별한 후, 애플리케이션을 인벤토리화하고 감사해야 합니다. 그 목표는 각 애플리케이션에 이미 액세스 권한이 있는 사람과 액세스해서는 안 되는 사람을 결정하는 것이죠. 많은 Zero Trust 여정이 이러한 감사를 놓쳐서 실패합니다.
이 지점에서 Zero Trust 보안 솔루션을 선택할 수 있습니다. 사실, Zero Trust는 단일 솔루션이라기보다는 모델이나 철학에 더 가깝습니다. 하지만 적절한 Zero Trust 솔루션을 선택하면 설정한 Zero Trust 원칙과 정책을 강제할 수 있습니다.
Zero Trust 솔루션도 중요하지만, 많은 조직이 솔루션 구매로 시작하고 나서 여정이 중단되곤 합니다. 사용 사례 선택과 감사 수행을 포함하여, 모든 준비 작업을 먼저 수행하는 것이 기대한 결과를 얻을 수 있는 방식으로 시간과 에너지를 투자하는 데 도움이 될 수 있습니다.
어떤 조직에게는 그 여정이 다른 조직보다 더 쉬울 것입니다. Menny Barzilay가 언급했듯이, 스타트업은 처음부터 Zero Trust 보안을 구현하여 레거시 솔루션을 대체하는 데 따른 잠재적 장애물을 피할 수 있겠죠. 하지만 다른 조직의 경우, 원격 액세스 보안과 같은 구체적인 사용 사례를 목표로 함으로써 조직을 발전시킬 수 있는 비교적 빠른 성과를 얻을 수도 있습니다.
안타깝게도 대부분의 회사는 아직 Zero Trust 여정에서 멀리 나아가지 못했습니다. 동시에, AI의 거창한 약속과 두려움 역시 모두 해결해야 합니다. AI는 인간이 아닌 아이덴티티를 관리해야 하는 등의 새로운 장애물을 더할 것이지만, 위협을 보다 효과적으로 드러내고 조직의 보안 태세를 자동으로 개선해 주기도 할 것입니다.
그럼에도 불구하고, Khalid Kark, Menny Barzilay, 그리고 저는 Zero Trust 여정을 추진하는 것이 중요하다는 데 뜻을 함께합니다. Zero Trust는 경계 기반 솔루션의 단점을 해결하는 데 도움을 줍니다. 동시에 보안의 복잡성과 비용을 크게 줄이는 데에도 도움이 됩니다. 여러 도구를 관리하는 대신, 아이덴티티에 집중하여 리소스를 보호하는 통합 접근 방식을 취할 수 있는 것이죠.
Zero Trust로 전환하기
Cloudflare의 클라우드 연결성은 기존 경계 기반 보안에서 Zero Trust 보안 모델로의 전환을 간소화할 수 있는 클라우드 네이티브 서비스 플랫폼입니다. 예를 들어, Cloudflare Zero Trust 네트워크 액세스를 사용하면 레거시 VPN을 대체할 수 있으며, 동시에 보안 상태를 강화하고 더 나은 사용자 경험을 제공하며 관리를 간소화할 수 있습니다. Cloudflare의 플랫폼은 IT에 대한 가시성과 제어를 회복하고 봇 기반 아이덴티티 공격을 차단할 수 있는 서비스도 제공합니다. 이러한 서비스를 함께 사용하면 Zero Trust 여정을 진행하고 레거시 경계 보안 모델을 버릴 수 있습니다.
이 글은 오늘날의 기술 의사 결정자에게 영향을 주는 최신 동향 및 주제에 대한 시리즈중 일부입니다.
이 주제에 관해 자세히 알아보세요.
2025년 Cloudflare Signals 보고서: 대규모 복원력에서 보다 탄력적인 조직을 구축하고 추가적인 중요 보안 동향을 발견하는 데 Zero Trust 보안이 어떻게 도움이 되는지 자세히 알아보세요.
작성자
Steve Pascucci — @StevePascucci
Zero Trust 책임자, Cloudflare
핵심 사항
이 글을 읽고 나면 다음을 이해할 수 있습니다.
기존의 경계 기반 보안이 더 이상 충분하지 않은 이유
Zero Trust가 최신 보안 필수 사항인 이유
Zero Trust 여정을 시작할 위치