과기정통부, 철통 인증 지침(제로트러스트 가이드라인) 2.0 발표 |
- 기업 철통 인증(제로트러스트) 도입 수준을 진단하고 역량 강화를 위한 방법론 제시 - - 기업 철통 인증(제로트러스트) 도입 시 실질적인 지침서 역할 기대 - |
과학기술정보통신부(장관 유상임, 이하 ‘과기정통부’)와 한국인터넷진흥원(원장 이상중, 이하 ‘KISA’)은 산·학·연 전문가들과 함께 국내·외 최신 동향, 도입 사례를 분석하고 수요·공급기관 대상 의견 수렴을 거쳐 국내 기업들이 철통 인증(제로트러스트) 보안 모형을 도입하는데 참조할 수 있는 ｢철통 인증 지침(제로트러스트 가이드라인) 2.0｣을 마련하였다고 밝혔다.
철통 인증(제로트러스트, Zero Trust)는 정보체계 등에 대한 접속 요구가 있을 때 연결망이 이미 침해된 것으로 간주하여 “절대 믿지 말고, 계속 검증하라(Never Trust, Always Verify)”는 새로운 보안 개념이다.
기존의 보안 모형은 연결망의 내·외부를 구분하여 내부자에게 암묵적인 신뢰를 부여하는 ‘경계기반’ 보안 방식이었다. 하지만, 인공지능·인터넷 기반 자원공유(클라우드)와 같은 새로운 디지털 기술 활용, 재택·원격 근무의 확산으로 기존 보안 모형이 한계를 보임에 따라 보안의 근본적인 체계 전환이 필요한 상황이 되었다.
이에 2023년 7월 과기정통부는 철통 인증(제로트러스트) 보안 모형의 확산을 촉진하고자 ｢철통 인증 지침(제로트러스트 가이드라인) 1.0｣을 마련하여 기본 개념과 원리, 핵심 원칙 등에 대한 설명을 통해 도입 필요성에 대한 인식을 제고하기 위해 노력하였다. 또한, 지침(가이드라인) 1.0에서 제시한 철통 인증(제로트러스트) 보안 모형을 실제 기업환경에 적용하고 검증하는 실증·시범사업을 진행하여 국산 철통 인증(제로트러스트) 보안 모형의 확산 기반을 마련해 왔다.
이번에 발표하는 ｢철통 인증 지침(제로트러스트 가이드라인) 2.0｣은 철통 인증(제로트러스트) 보안 모형에 대한 개념 소개와 인식 제고를 넘어 실제 기업에서 도입하고 활용하는데 실질적인 도움이 될 수 있도록, 미국 등 해외 최신 정책 문서(전략, 지침 등)를 참고하고 철통 인증(제로트러스트) 기존 실증사업 결과를 포함하여 도입을 위한 세부 절차와 방법론을 보강하는 등 철통 인증(제로트러스트) 보안모형 도입·적용을 희망하는 수요자 관점에서 구성하였다.
특히, 각 기업이 철통 인증(제로트러스트) 보안 모형을 도입하고자 할 때 현재 수준을 진단·분석하거나 목표를 설정하고 검증하는 데 활용할 수 있도록 기존 3단계에서 4단계로 구체화된 ‘성숙도 모형’을 정의하였으며, 기업망을 구성하는 핵심요소에 대한 세부역량과 성숙도 수준별 특징을 설명하고 평가를 위한 점검표 제공 및 향상 방안을 제시하였다.
또한, 단순히 철통 인증(제로트러스트)의 기술적 방안을 설명하는 데 그치지 않고, 단계별 고려사항, 조직의 역할, 단계별 이행안 수립을 위한 구체적 방법론 및 예시를 포함하여 도입을 위한 준비부터 실제 운영·정착까지 도움이 될 수 있도록 하였다.
과기정통부 류제명 네트워크정책실장은 “사이버 침해가 갈수록 고도화되고 다양한 디지털 신기술의 확산으로 기업의 보안 관리 요소가 급격히 증가하는 상황에서 철통 인증(제로트러스트) 보안 체계 전환은 시급하다”면서,
“본 지침(가이드라인)이 앞으로 각 산업 분야의 철통 인증(제로트러스트) 보안 모형 도입을 위한 구체적 실무 진행의 좋은 참고서가 될 것으로 기대하며, 정부는 앞으로도 지속적으로 국내 기업의 제로트러스트 확산을 지원하겠다”고 말했다.
지침(가이드라인)은 과기정통부, 한국인터넷진흥원(KISA), 한국정보보호산업협회(KISIA) 홈페이지를 통해 2024년 12월 3일(화) 14:00부터 무료로 내려받아 사용할 수 있음 |
