제로트러스트 아키텍처

사내망에 들어왔다는 이유만으로 계속 믿어도 될까

어느 회사의 직원 계정이 탈취되었다고 하자. 공격자는 정상 직원처럼 원격 접속을 통과한 뒤 사내망 안의 여러 시스템을 차례로 찾는다. 시스템들이 “사내망에서 온 요청”이라는 사실만 보고 넓은 접근을 허용한다면, 최초 침입 한 번이 고객정보·설계문서·운영서버로 번질 수 있다. 건물 안에 들어온 사람에게 모든 방 열쇠를 주는 것과 비슷한 실패다.

여기서 없애야 할 것은 신뢰 자체가 아니라 네트워크 위치나 회사 소유 기기라는 이유만으로 미리 주어지는 암묵적 신뢰다. 업무시스템은 누가 어떤 자원에 무슨 행동을 요청하는지, 기기와 접속 상황은 어떤지, 허용 뒤에도 조건이 유지되는지를 확인해야 한다. 확인 결과가 정책을 만족하면 필요한 범위만 허용하고, 조건이 깨지면 범위를 줄이거나 허용된 연결을 끝낸다.

제로트러스트는 이 판단을 가능하게 하는 하나의 제품명이 아니다. 보호할 자원, 판단에 쓸 신호, 결정을 내릴 역할, 결정을 실제로 집행할 지점과 운영 절차를 함께 설계하는 보안 접근이다. 따라서 “원격 접속 제품을 샀다” 또는 “다중인증을 켰다”만으로는 이 장의 질문에 답할 수 없다.

뒤의 사례에서 쓸 직원 S7은 고객 C42의 연락처 읽기만 담당한다. 기기 D4가 관리 상태를 잃거나 업무 배정이 끝나면 같은 VPN 연결 안에 있어도 읽기 조건이 달라진다. 아래의 신호·정책·세션을 설명할 때 이 한 요청을 계속 떠올린다. 구체적인 60초·10분 조건은 뒤의 자체 정책 ZT-L1에서 정하며 일반 표준 수치로 외우지 않는다.

한 문장으로 말하면

제로트러스트 아키텍처(Zero Trust Architecture, ZTA)는 접속 위치나 소유만으로 미리 믿지 않고, 주체가 자원에 접근할 때 정책과 관찰 신호로 명시적으로 판단하며 그 판단을 계속 다시 확인하는 구조다.

이 문장의 “제로”는 모든 사람의 신뢰값을 영원히 0으로 둔다는 뜻이 아니다. 요청을 확인한 뒤에는 정책에 따라 접근을 허용할 수 있다. 다만 허용은 “이 사용자는 안전한 사람”이라는 무기한 보증이 아니라 이 주체가 지금 이 조건에서 이 자원에 이 행동을 할 수 있다는 범위가 정해진 결정이다.

여기서 세션(session)은 한 번의 접근결정으로 시작해 허용된 업무 연결이 유지되다가 종료되는 구간이다. 지속평가는 이 구간 안에서도 조건이 유지되는지 다시 살핀다는 뜻이다.

정확히 말하면

보호대상과 행위자. 제로트러스트 아키텍처는 데이터·서비스·애플리케이션·기기 같은 자원(resource)을 보호의 중심에 두고, 접근하려는 사람·서비스·기기를 주체(subject)라 한다. 자원은 네트워크 주소 하나와 같지 않으므로, 같은 서버 안에서도 고객정보 조회와 관리자 설정 변경을 서로 다른 보호 대상과 권한으로 다룰 수 있다.

신원 확인과 행동 허용. 주체가 누구인지 증명하는 일은 인증(Authentication, AuthN)이고, 확인된 주체가 요청한 행동을 해도 되는지 결정하는 일은 인가(Authorization, AuthZ)다. 예를 들어 직원 로그인이 성공했다는 사실은 인증 결과이고, 그 직원에게 담당 고객 조회만 허용한다는 결정은 인가 결과다.

접근결정은 요청 또는 세션 단위로 내린다. 이 말은 네트워크 전송 조각 하나하나마다 사용자에게 비밀번호를 다시 묻는다는 뜻이 아니다. 한 업무 세션을 시작하기 전 주체·기기·자원·행동·환경의 상태를 확인하고, 세션 중에도 정해 둔 주기나 위험 사건이 생길 때 조건을 다시 평가한다는 뜻이다.

허용된 통신도 사내·외 위치와 관계없이 자원 위험에 맞게 보호한다. 통신을 보호하는 한 가지 기술만으로 제로트러스트가 완성되는 것은 아니며, 통신 보호와 자원별 최소권한 판단·집행이 함께 있어야 한다.

정책은 최소권한(least privilege)을 적용한다. 최소권한은 “권한을 거의 주지 않는다”가 아니라 업무에 필요한 자원·행동·시간·조건까지만 허용한다는 원칙이다. 예를 들어 상담원에게 전체 고객 데이터베이스 관리권한을 주는 대신 담당 고객의 필요한 정보 항목 조회를 근무시간 동안만 허용할 수 있다.

접근결정을 담당하는 세 논리 역할도 여기서 구분한다. 정책엔진(Policy Engine, PE)은 정책과 관찰 신호를 평가해 접근을 허용할지 결정하고, 정책관리자(Policy Administrator, PA)는 그 결정을 통신경로 또는 세션의 설정·변경·종료 명령으로 조정하며, 정책집행지점(Policy Enforcement Point, PEP)은 주체와 자원 사이에서 그 명령을 실제로 집행한다. 세 역할은 논리적 책임이므로 반드시 서로 다른 물리 제품이나 서버여야 하는 것은 아니다.

제로트러스트의 경계도 분명하다. 통신 암호화, 강한 인증, 세분화된 네트워크 중 하나만 적용한 상태를 제로트러스트 전체와 같다고 부르지 않는다. 반대로 기존 방화벽이나 가상사설망을 모두 버려야만 제로트러스트가 되는 것도 아니다. 기존 통제는 남을 수 있지만, 위치만으로 넓은 권한을 주는 판단을 자원 중심의 명시적·동적 판단으로 바꾸어야 한다.

전체에서 어디인가: 결정과 업무 흐름을 분리해 본다

아래 그림은 외부 문서의 도식을 복제하거나 따라 그리지 않고, 이 절의 설명 순서에 맞춰 새로 구성한 맥락도다. 위쪽은 접근 여부를 판단하고 세션을 조정하는 제어 평면, 아래쪽은 허용된 업무 데이터가 오가는 데이터 평면이다. 두 평면은 논리적 책임의 구분이며 반드시 서로 다른 물리 네트워크나 제품이어야 한다는 뜻은 아니다.

아래 SVG에서 제어 평면, 데이터 평면, 주체로 돌아가는 응답과 관찰의 환류를 함께 읽는다.

이 그림에서 읽어야 할 핵심은 세 가지다. 첫째, 주체와 자원 사이의 실제 흐름은 정책집행지점을 지나야 한다. 둘째, 정책엔진은 주체·자원·환경 신호와 정책을 바탕으로 결정을 내리고, 정책관리자는 그 결정을 세션 명령으로 조정한다. 셋째, 허용 뒤의 관찰 결과가 다시 판단으로 돌아가므로 접근은 한 번의 로그인으로 끝나는 고정 상태가 아니다.

상자 안의 대상과 화살표의 조건을 함께 읽으세요. 좁은 화면에서는 같은 관계를 세로로 재배치한 도식을 보여 줍니다.

위쪽 제어 평면은 정책과 신원·기기·행위·위협·자원 신호를 대입해 결정과 명령을 만든다. 아래 데이터 평면에서는 S7의 C42 읽기와 결과·재인증 요구·종료 알림이 PEP를 지난다. PEP와 자원의 관찰은 PE로 되돌아가며, 결정·명령·실제 집행은 서로 다른 책임이다. 선은 논리 관계이고 배치 제품 수를 뜻하지 않는다.

먼저 알아둘 것

앞 장에서 배운 경계·상태·피드백은 각각 책임 범위, 다음 판단을 바꾸는 현재 정보, 관찰 결과를 다음 행동으로 되돌리는 고리이며, 분산 노드와 응용 프로그램 인터페이스(API)는 여러 구성요소가 독립적으로 고장 나면서도 정해진 계약으로 협력한다는 뜻이다.
보안의 주체·자원·기밀성·무결성·가용성, 인증·인가·책임추적성, 위협·취약점, 신뢰경계·최소권한·심층방어는 누가 무엇을 어떤 위험에서 어느 정도 보호할지 정하는 공통 언어다.
보안 거버넌스·접근통제 모델·보안엔지니어링은 이 결정을 정책, 역할, 설계, 구현, 검증과 개선으로 이어 주며, 이 절에서는 이를 새로 정의하지 않고 제로트러스트에 적용한다.

여섯 역할의 책임을 섞지 않는다

제로트러스트의 구성요소는 제품 목록보다 논리적 책임으로 이해해야 한다.

정책엔진, 정책관리자, 정책집행지점은 반드시 서로 다른 세 서버나 세 제품일 필요가 없다. 한 제품이 여러 논리 역할을 수행할 수도 있고 여러 제품이 한 역할을 나눌 수도 있다. 답안에서는 제품 수가 아니라 누가 결정하고, 누가 세션을 조정하며, 어디서 실제 흐름을 막거나 통과시키는지를 분리해 써야 한다.

논리 역할이 여러 분산 노드와 제품에 나뉘면 신호 입력, 정책결정, 세션 명령과 집행 결과를 주고받는 API 계약에 값의 의미·오류·시간·버전을 명시해야 한다. 어느 인터페이스가 실패했는지 알 수 없으면 허용과 거부의 근거도 추적할 수 없다.

신호원도 하나의 고정 제품명이 아니다. 신원 확인 결과, 기기의 관리·보안 상태, 비정상 행위 관찰, 위협 정보, 자원의 민감도처럼 정책결정에 필요한 사실을 제공하는 논리적 출처다. 값만 보내면 충분하지 않고 언제 관찰했는지, 어느 주체·기기와 연결되는지, 누락되거나 위조되었을 가능성은 없는지도 함께 판단해야 한다.

어떻게 작동하는가 ① 신호를 정책결정으로 바꾼다

정책엔진은 “직원이 맞는가?” 하나만 묻지 않는다. 먼저 요청을 주체, 자원, 행동, 조건으로 구조화한다. 예를 들어 “직원 김○○이 회사 관리 노트북에서 고객관리 서비스의 담당 고객 연락처를 읽으려 한다”처럼 표현한다. 그다음 아래 다섯 종류의 신호를 정책에 대입한다.

1. 신원 신호: 계정과 인증 결과가 요청 주체와 맞는가
2. 기기 신호: 요청 기기가 등록·관리되고 요구 상태를 만족하는가
3. 행위 신호: 평소와 크게 다른 위치·시간·요청량·행동은 없는가
4. 위협 신호: 계정·기기·접속원이 위험 대상으로 관찰되었는가
5. 자원 신호: 요청 자원의 민감도와 업무 영향은 어느 정도인가

이 다섯 종류는 모든 구현이 같은 필드나 하나의 위험점수를 써야 한다는 뜻이 아니다. 조직은 자원 위험과 업무에 맞춰 필요한 신호를 선택한다. 다만 어떤 신호를 쓰든 출처·최신성·완전성·무결성을 확인하지 않으면 정교한 정책처럼 보여도 잘못된 입력으로 잘못된 결정을 내린다.

정책결정은 허용과 거부 두 값으로만 끝날 필요가 없다. 추가 인증을 요구하거나, 읽기만 허용하거나, 허용 시간을 짧게 두거나, 더 안전한 기기에서 다시 요청하도록 조건을 붙일 수 있다. 이때도 결론은 최소권한의 네 축인 자원·행동·시간·조건으로 설명할 수 있어야 한다.

어떻게 작동하는가 ② 요청에서 종료까지 이어 본다

접근은 다음 여섯 단계로 흐른다. 각 단계의 출력이 다음 단계의 입력이 되므로 중간 하나를 빼면 “인증을 강화한다” 같은 단편적 답이 된다.

요청에서 PE 판단과 PEP 설정 명령까지 · 상태 따라가기

직원 S7의 요청을 PEP에서 받고 판단 경로로 전달한다. 모든 단계에서 S7·PEP·PE·근거·PA·명령의 위치를 유지하며 값과 허용 조건을 함께 확인합니다.

참여자 약어: S=주체, SIG=신호. PEP·PE·PA의 정확한 역할과 메시지 1–7은 아래 상세를 함께 읽습니다.

요청에서 PE 판단과 PEP 설정 명령까지

위에서 아래로 시간순으로 읽습니다. 각 단계에 송신자와 수신자를 함께 표시합니다.

주체

직원 S7

PEP

실제 집행

PA

세션 조정

PE

정책 판단

신호

상태 근거

1. 단계 1 · 주체 → PEP

   접근 요청 · 요청 · 실선/닫힌 화살촉

2. 단계 2 · PEP → PA

   판단 요청 · 요청 · 실선/닫힌 화살촉

3. 단계 3 · PA → PE

   판단 요청 · 요청 · 실선/닫힌 화살촉

4. 단계 4 · PE → 신호

   근거 조회 · 요청 · 실선/닫힌 화살촉

5. 단계 5 · 신호 → PE

   근거 응답 · 응답 · 점선/닫힌 화살촉

6. 단계 6 · PE → PA

   허용·거부 결정 · 응답 · 점선/닫힌 화살촉

7. 단계 7 · PA → PEP

   설정 명령 · 명령 · 실선/닫힌 화살촉

신호를 받은 PE가 결정하며 PA는 그 결정을 PEP의 세션 설정 명령으로 조정한다. 다음 그림은 허용된 업무 흐름과 조건 변화만 이어서 보여 준다.

이 예의 조건

• 위에서 아래로 요청·근거 조회·판단·명령을 읽는다. 실선은 요청 또는 명령이고 점선의 닫힌 화살촉은 응답이다. 신호를 받은 PE가 결정하며 PA는 그 결정을 PEP의 세션 설정 명령으로 조정한다. 다음 그림은 허용된 업무 흐름과 조건 변화만 이어서 보여 준다.
• 원본의 주체·PEP·PA·PE·신호 다섯 참여자를 같은 순서로 유지하고, 메시지 1부터 7까지 요청·근거 응답·허용·거부 결정·설정 명령을 읽는다. 실선 닫힌 화살촉은 요청 또는 명령, 점선 닫힌 화살촉은 응답이다. 참여자 약어와 번호별 메시지는 바로 아래 상세에 대응한다.
• 이 원문의 교육용 사례·조건 안에서 상태를 대조합니다. 실제 구축·실험 결과나 원문에 없는 성능 보장을 추가하지 않습니다.

예의 값과 변화

관찰·상황	값·보충 정보	변화·이유
접근 요청 직원 S7의 요청을 PEP에서 받고 판단 경로로 전달한다.	값·보충 정보 S7·PEP: S7 요청·집행 전 PE·근거: 판단 요청 PA·명령: PA 전달	변화·이유 PEP가 자의로 정책 판정을 대체하지 않는다.
근거 조회 PE가 상태 신호의 근거를 요청하고 응답을 확인한다.	값·보충 정보 S7·PEP: 요청 보류 PE·근거: 신호 조회·응답 PA·명령: 결정 대기	변화·이유 현재 근거를 얻기 전에 허용 명령을 내지 않는다.
PE 판정 PE가 확인한 근거로 허용·거부를 결정한다.	값·보충 정보 S7·PEP: 같은 요청 유지 PE·근거: 허용 / 거부 결정 PA·명령: 결정 수신	변화·이유 판정은 PE의 역할이다.
PA 설정 명령 PA가 결정에 맞춰 PEP의 세션 설정을 지시한다.	값·보충 정보 S7·PEP: PEP 명령 수신 PE·근거: 정책 결정 유지 PA·명령: 세션 설정 명령	변화·이유 설정 명령과 실제 집행 확인을 구별한다.

요청에서 PE 판단과 PEP 설정 명령까지 · 상태 따라가기

직원 S7의 요청을 PEP에서 받고 판단 경로로 전달한다. 모든 단계에서 S7·PEP·PE·근거·PA·명령의 위치를 유지하며 값과 허용 조건을 함께 확인합니다.

참여자 약어: S=주체, SIG=신호. PEP·PE·PA의 정확한 역할과 메시지 1–7은 아래 상세를 함께 읽습니다.

요청에서 PE 판단과 PEP 설정 명령까지

위에서 아래로 시간순으로 읽습니다. 각 단계에 송신자와 수신자를 함께 표시합니다.

주체

직원 S7

PEP

실제 집행

PA

세션 조정

PE

정책 판단

신호

상태 근거

1. 단계 1 · 주체 → PEP

   접근 요청 · 요청 · 실선/닫힌 화살촉

2. 단계 2 · PEP → PA

   판단 요청 · 요청 · 실선/닫힌 화살촉

3. 단계 3 · PA → PE

   판단 요청 · 요청 · 실선/닫힌 화살촉

4. 단계 4 · PE → 신호

   근거 조회 · 요청 · 실선/닫힌 화살촉

5. 단계 5 · 신호 → PE

   근거 응답 · 응답 · 점선/닫힌 화살촉

6. 단계 6 · PE → PA

   허용·거부 결정 · 응답 · 점선/닫힌 화살촉

7. 단계 7 · PA → PEP

   설정 명령 · 명령 · 실선/닫힌 화살촉

신호를 받은 PE가 결정하며 PA는 그 결정을 PEP의 세션 설정 명령으로 조정한다. 다음 그림은 허용된 업무 흐름과 조건 변화만 이어서 보여 준다.

이 예의 조건

• 위에서 아래로 요청·근거 조회·판단·명령을 읽는다. 실선은 요청 또는 명령이고 점선의 닫힌 화살촉은 응답이다. 신호를 받은 PE가 결정하며 PA는 그 결정을 PEP의 세션 설정 명령으로 조정한다. 다음 그림은 허용된 업무 흐름과 조건 변화만 이어서 보여 준다.
• 원본의 주체·PEP·PA·PE·신호 다섯 참여자를 같은 순서로 유지하고, 메시지 1부터 7까지 요청·근거 응답·허용·거부 결정·설정 명령을 읽는다. 실선 닫힌 화살촉은 요청 또는 명령, 점선 닫힌 화살촉은 응답이다. 참여자 약어와 번호별 메시지는 바로 아래 상세에 대응한다.
• 이 원문의 교육용 사례·조건 안에서 상태를 대조합니다. 실제 구축·실험 결과나 원문에 없는 성능 보장을 추가하지 않습니다.

예의 값과 변화

관찰·상황	값·보충 정보	변화·이유
접근 요청 직원 S7의 요청을 PEP에서 받고 판단 경로로 전달한다.	값·보충 정보 S7·PEP: S7 요청·집행 전 PE·근거: 판단 요청 PA·명령: PA 전달	변화·이유 PEP가 자의로 정책 판정을 대체하지 않는다.
근거 조회 PE가 상태 신호의 근거를 요청하고 응답을 확인한다.	값·보충 정보 S7·PEP: 요청 보류 PE·근거: 신호 조회·응답 PA·명령: 결정 대기	변화·이유 현재 근거를 얻기 전에 허용 명령을 내지 않는다.
PE 판정 PE가 확인한 근거로 허용·거부를 결정한다.	값·보충 정보 S7·PEP: 같은 요청 유지 PE·근거: 허용 / 거부 결정 PA·명령: 결정 수신	변화·이유 판정은 PE의 역할이다.
PA 설정 명령 PA가 결정에 맞춰 PEP의 세션 설정을 지시한다.	값·보충 정보 S7·PEP: PEP 명령 수신 PE·근거: 정책 결정 유지 PA·명령: 세션 설정 명령	변화·이유 설정 명령과 실제 집행 확인을 구별한다.

허용된 읽기와 조건 변화에 따른 세션 조정 · 상태 따라가기

허용 요청이 PEP를 통해 C42로 전달되고 결과가 돌아온다. 모든 단계에서 S7·자원 읽기·PEP·실제 집행·PE·PA 조정의 위치를 유지하며 값과 허용 조건을 함께 확인합니다.

참여자 약어: S=주체, R=자원. PEP·PE·PA의 정확한 역할과 메시지 1–7은 아래 상세를 함께 읽습니다.

허용된 읽기와 조건 변화에 따른 세션 조정

위에서 아래로 시간순으로 읽습니다. 각 단계에 송신자와 수신자를 함께 표시합니다.

주체

직원 S7

자원

C42 고객 정보

PEP

허용 범위 집행

PE

조건 재판단

PA

세션 변경·종료

1. 단계 1 · 주체 → PEP

   허용된 요청 · 요청 · 실선/닫힌 화살촉

2. 단계 2 · PEP → 자원

   허용된 읽기 · 요청 · 실선/닫힌 화살촉

3. 단계 3 · 자원 → PEP

   읽기 결과 · 응답 · 점선/닫힌 화살촉

4. 단계 4 · PEP → 주체

   결과 응답 · 응답 · 점선/닫힌 화살촉

opt [필수 조건이 변한 경우]

1. 단계 5 · PEP → PE

   관찰 전달 · 관찰 · 점선/열린 화살촉

2. 단계 6 · PE → PA

   변경·종료 결정 · 결정 · 실선/닫힌 화살촉

3. 단계 7 · PA → PEP

   세션 조정 명령 · 명령 · 실선/닫힌 화살촉

허용된 요청은 PEP를 통해 자원에 전달되고 결과도 PEP를 거쳐 주체로 돌아온다. 조건 변화가 있으면 PEP의 관찰을 PE가 다시 판단하고 PA가 변경·종료 명령을 내린다. 종료 명령 시각과 PEP의 실제 집행 확인 시각은 구분하며, 이미 제공된 데이터까지 회수되었다고 보지 않는다.

이 예의 조건

• 허용된 요청은 PEP를 통해 자원에 전달되고 결과도 PEP를 거쳐 주체로 돌아온다. 조건 변화가 있으면 PEP의 관찰을 PE가 다시 판단하고 PA가 변경·종료 명령을 내린다. 점선의 열린 화살촉은 관찰 전달이다. 종료 명령 시각과 PEP의 실제 집행 확인 시각은 구분하며, 이미 제공된 데이터까지 회수되었다고 보지 않는다.
• 주체·자원·PEP·PE·PA를 유지한다. 허용 요청과 응답 뒤 필수 조건이 변한 경우에만 opt 경계 안의 관찰 전달·변경·종료 결정·세션 조정 명령을 읽는다. 점선 열린 화살촉은 관찰, 점선 닫힌 화살촉은 응답이다. 참여자 약어와 번호별 메시지는 바로 아래 상세에 대응한다.
• 이 원문의 교육용 사례·조건 안에서 상태를 대조합니다. 실제 구축·실험 결과나 원문에 없는 성능 보장을 추가하지 않습니다.

예의 값과 변화

관찰·상황	값·보충 정보	변화·이유
허용 읽기 허용 요청이 PEP를 통해 C42로 전달되고 결과가 돌아온다.	값·보충 정보 S7·자원 읽기: C42 읽기·결과 PEP·실제 집행: 허용 범위 집행 PE·PA 조정: 기존 조건	변화·이유 이미 제공한 자료와 현재 세션 상태를 구별한다.
조건 변화 관측 필수 조건이 변하면 PEP 관찰을 PE에 전달한다.	값·보충 정보 S7·자원 읽기: 이전 읽기 결과 유지 PEP·실제 집행: 관찰 전달 PE·PA 조정: 조건 재판단	변화·이유 관찰은 새 허용이나 차단 완료가 아니다.
변경·종료 결정 PE 결정에 따라 PA가 세션 조정 명령을 보낸다.	값·보충 정보 S7·자원 읽기: 새 접근 조건 변경 PEP·실제 집행: 명령 수신 PE·PA 조정: 변경·종료 명령	변화·이유 명령 시각과 실제 집행 시각은 다르다.
집행 확인 PEP의 실제 제한 효과를 확인하고 현재 상태로 관리한다.	값·보충 정보 S7·자원 읽기: 과거 자료 자동 회수 아님 PEP·실제 집행: 실제 제한 대조 PE·PA 조정: 결과 확인	변화·이유 세션 종료가 이미 제공된 데이터의 회수를 보장하지 않는다.

허용된 읽기와 조건 변화에 따른 세션 조정 · 상태 따라가기

허용 요청이 PEP를 통해 C42로 전달되고 결과가 돌아온다. 모든 단계에서 S7·자원 읽기·PEP·실제 집행·PE·PA 조정의 위치를 유지하며 값과 허용 조건을 함께 확인합니다.

참여자 약어: S=주체, R=자원. PEP·PE·PA의 정확한 역할과 메시지 1–7은 아래 상세를 함께 읽습니다.

허용된 읽기와 조건 변화에 따른 세션 조정

위에서 아래로 시간순으로 읽습니다. 각 단계에 송신자와 수신자를 함께 표시합니다.

주체

직원 S7

자원

C42 고객 정보

PEP

허용 범위 집행

PE

조건 재판단

PA

세션 변경·종료

1. 단계 1 · 주체 → PEP

   허용된 요청 · 요청 · 실선/닫힌 화살촉

2. 단계 2 · PEP → 자원

   허용된 읽기 · 요청 · 실선/닫힌 화살촉

3. 단계 3 · 자원 → PEP

   읽기 결과 · 응답 · 점선/닫힌 화살촉

4. 단계 4 · PEP → 주체

   결과 응답 · 응답 · 점선/닫힌 화살촉

opt [필수 조건이 변한 경우]

1. 단계 5 · PEP → PE

   관찰 전달 · 관찰 · 점선/열린 화살촉

2. 단계 6 · PE → PA

   변경·종료 결정 · 결정 · 실선/닫힌 화살촉

3. 단계 7 · PA → PEP

   세션 조정 명령 · 명령 · 실선/닫힌 화살촉

허용된 요청은 PEP를 통해 자원에 전달되고 결과도 PEP를 거쳐 주체로 돌아온다. 조건 변화가 있으면 PEP의 관찰을 PE가 다시 판단하고 PA가 변경·종료 명령을 내린다. 종료 명령 시각과 PEP의 실제 집행 확인 시각은 구분하며, 이미 제공된 데이터까지 회수되었다고 보지 않는다.

이 예의 조건

• 허용된 요청은 PEP를 통해 자원에 전달되고 결과도 PEP를 거쳐 주체로 돌아온다. 조건 변화가 있으면 PEP의 관찰을 PE가 다시 판단하고 PA가 변경·종료 명령을 내린다. 점선의 열린 화살촉은 관찰 전달이다. 종료 명령 시각과 PEP의 실제 집행 확인 시각은 구분하며, 이미 제공된 데이터까지 회수되었다고 보지 않는다.
• 주체·자원·PEP·PE·PA를 유지한다. 허용 요청과 응답 뒤 필수 조건이 변한 경우에만 opt 경계 안의 관찰 전달·변경·종료 결정·세션 조정 명령을 읽는다. 점선 열린 화살촉은 관찰, 점선 닫힌 화살촉은 응답이다. 참여자 약어와 번호별 메시지는 바로 아래 상세에 대응한다.
• 이 원문의 교육용 사례·조건 안에서 상태를 대조합니다. 실제 구축·실험 결과나 원문에 없는 성능 보장을 추가하지 않습니다.

예의 값과 변화

관찰·상황	값·보충 정보	변화·이유
허용 읽기 허용 요청이 PEP를 통해 C42로 전달되고 결과가 돌아온다.	값·보충 정보 S7·자원 읽기: C42 읽기·결과 PEP·실제 집행: 허용 범위 집행 PE·PA 조정: 기존 조건	변화·이유 이미 제공한 자료와 현재 세션 상태를 구별한다.
조건 변화 관측 필수 조건이 변하면 PEP 관찰을 PE에 전달한다.	값·보충 정보 S7·자원 읽기: 이전 읽기 결과 유지 PEP·실제 집행: 관찰 전달 PE·PA 조정: 조건 재판단	변화·이유 관찰은 새 허용이나 차단 완료가 아니다.
변경·종료 결정 PE 결정에 따라 PA가 세션 조정 명령을 보낸다.	값·보충 정보 S7·자원 읽기: 새 접근 조건 변경 PEP·실제 집행: 명령 수신 PE·PA 조정: 변경·종료 명령	변화·이유 명령 시각과 실제 집행 시각은 다르다.
집행 확인 PEP의 실제 제한 효과를 확인하고 현재 상태로 관리한다.	값·보충 정보 S7·자원 읽기: 과거 자료 자동 회수 아님 PEP·실제 집행: 실제 제한 대조 PE·PA 조정: 결과 확인	변화·이유 세션 종료가 이미 제공된 데이터의 회수를 보장하지 않는다.

1. 요청: 주체가 자원과 행동을 지정해 정책집행지점에 접근을 요청한다.
2. 판단 준비: 요청과 현재 세션 상태를 정책결정에 필요한 형태로 전달한다.
3. 결정: 정책엔진이 정책과 신호를 평가해 허용·거부 또는 조건을 정한다.
4. 세션 설정: 정책관리자가 결정을 정책집행지점이 실행할 세션 명령으로 조정한다.
5. 집행: 정책집행지점이 허용된 자원·행동의 흐름만 통과시키고 관찰한다.
6. 지속평가와 종료: 신원·기기·행위·위협·자원 상태가 바뀌면 PE가 다시 평가한다. PA는 범위축소·추가확인·종료 결정을 세션 명령으로 조정하고 PEP가 집행한다. 업무 완료·시간 만료·정책 위반의 종료도 이 책임을 거치며, 명령 전송과 실제 종료 확인을 구별한다.

여기서 “지속”은 매 순간 모든 신호를 무한히 수집한다는 뜻이 아니다. 자원 위험에 맞는 평가 주기와 재평가 사건을 정한다. 매우 민감한 관리자 작업은 짧은 세션과 즉시 재평가가 필요할 수 있지만, 낮은 위험의 공개자료 조회에 같은 비용을 강제할 이유는 없다.

지속평가는 닫힌 통제 고리다

제로트러스트의 지속평가는 앞에서 배운 피드백 통제를 보안에 적용한 것이다. 목표는 “업무에 필요한 최소 접근만 유지”, 관찰은 세션·기기·행위·위협 상태, 비교는 정책과 실제 상태의 차이, 조정은 유지·범위축소·추가확인·차단·종료다. 조정 뒤에는 정책집행지점이 실제로 명령을 집행했는지 다시 확인해야 고리가 닫힌다.

목표 구조의 정책·신호→PE→PA→PEP 경로와 세션 흐름의 조건 변화 구간을 함께 읽는다. 정책·목표와 실제 관찰을 PE가 비교하고, PA의 조정 명령을 PEP가 집행하여 세션을 유지·축소·차단·종료한다. 실제 효과·세션 상태가 새 관찰로 돌아오면 PE는 다시 평가한다.

최소권한은 이 고리의 출력 범위를 정한다. 허용 자원, 허용 행동, 허용 시간, 허용 조건을 각각 좁혀 두면 한 계정이나 기기가 침해되어도 공격자가 사용할 수 있는 범위가 제한된다. 다만 세분화가 지나치면 정책 수가 폭증하고 정상 업무가 자주 막힐 수 있으므로, 업무 흐름과 위험을 기준으로 예외를 통제해야 한다.

책임추적성은 누가 언제 어떤 신호와 정책으로 어떤 결정을 내렸고 어디에서 집행했는지 연결하는 성질이다. 컴퓨터가 사건을 시간순으로 남긴 기록인 로그(log)에 접속 사실만 남겨서는 판단 이유를 설명할 수 없다. 요청 식별자, 적용 정책, 사용한 신호의 관찰시각, 결정, 집행 결과와 종료 이유를 연결해야 정상 행위를 위험으로 잘못 보는 오탐, 우회와 사고를 조사하고 정책을 고칠 수 있다.

무엇과 어떻게 다른가: 같은 축으로 비교한다

경계형 보안, 가상사설망(Virtual Private Network, VPN), 마이크로세그멘테이션, 제로트러스트는 서로 완전히 배타적인 제품군이 아니다. 경계형 보안은 안과 밖의 경계를 중심으로 통제하고, VPN은 떨어진 주체와 네트워크 사이에 보호된 접속 경로를 만든다. 마이크로세그멘테이션은 네트워크나 워크로드 사이의 허용 흐름을 더 작은 단위로 나누며, 제로트러스트는 자원 접근의 판단·집행·지속평가 전체를 조직한다.

암묵적 위치신뢰와 명시적 지속평가의 차이는 “믿음 대 불신”이 아니다. 전자는 한 번 통과한 위치를 이후 판단의 대리값으로 쓰기 쉽고, 후자는 매 요청의 주체·자원·조건을 근거로 범위가 정해진 결정을 갱신한다. VPN과 마이크로세그멘테이션은 이 결정을 실현하는 통제가 될 수 있지만, 어느 하나를 적용했다는 사실만으로 정책엔진·신호·지속평가와 정책을 만들고 검토·배포·폐기하는 운영체계가 생기지는 않는다.

단계 전환은 제품 교체 순서가 아니라 위험 감소 순서다

제로트러스트 전환은 전면 재구축 한 번으로 끝내지 않는다. 먼저 자산·주체·업무흐름·현재 정책을 파악하고, 중요한 업무흐름 하나에서 결정과 집행의 전체 고리를 완성한 뒤 범위를 넓힌다. 기존 경계 통제와 새 자원 중심 통제는 일정 기간 함께 운영될 수 있다.

상자 안의 대상과 화살표의 조건을 함께 읽으세요. 좁은 화면에서는 같은 관계를 세로로 재배치한 도식을 보여 줍니다.

현재 환경의 기준선을 확인한 뒤 한 보호 흐름을 시험하고, 기존 경계와 혼합 운영하며 실패·복구를 검증한 후 위험순으로 확장한다. 이 절의 교육용 의사결정 틀이며 모든 조직에 고정된 공식 단계는 아니다.

이 네 단계는 이 교재가 만든 의사결정 틀이며 KISA 표나 NIST 절차를 복제한 것이 아니다. 실제 순서는 업무모델·규모·목표·망·규정과 위험에 따라 바뀔 수 있다. 다만 무엇이 있는지 모른 채 보호할 수는 없으므로 자산·주체·업무흐름·현재 정책의 기준선은 먼저 확보한다.

국내 적용 범위를 빠뜨리지 않으려면 한국인터넷진흥원(Korea Internet & Security Agency, KISA) 가이드라인 2.0이 제시하는 신원, 사용자 쪽 기기인 엔드포인트, 네트워크, 시스템, 애플리케이션과 그 실행 단위인 워크로드, 데이터의 여섯 핵심요소를 점검표로 사용할 수 있다. 이 가이드에는 여러 핵심요소에 공통으로 걸치는 두 개의 횡단기능과 총 52개 역량, 구현 수준을 네 단계로 나눈 성숙도 모델도 제시되어 있다. 그러나 이것은 모든 조직에 강제되는 법정 의무나 인증기준이 아니며, 모든 기능을 최고 단계로 올리거나 문서의 배열을 고정 구현순서로 따르는 것이 절대 정답도 아니다.

확장 우선순위는 다음 질문으로 정한다. 자원이 침해될 때 업무·법적 영향은 얼마나 큰가, 현재 계정과 기기를 신뢰할 만하게 식별할 수 있는가, 모든 접근 경로를 정책집행지점으로 모을 수 있는가, 제어 평면 장애 때 업무 연속성과 보안 중 무엇을 어느 범위까지 보장해야 하는가, 수집할 신호가 프라이버시 원칙을 지키는가를 평가한다. 이 질문에 답할 수 없는 자원은 전면 허용하지 말고, 기존 자원이 지원하지 못하는 보호를 주변 장치와 절차로 대신하는 보상통제와 교체계획을 가진 별도 전환 대상으로 둔다.

무엇을 얻고 무엇을 치르는가

세밀한 최소권한은 침해가 번지는 범위를 줄이지만 정책 수와 예외가 늘어난다. 업무 역할과 자원 분류가 불명확한 조직에서 곧바로 세분화하면 정상 업무를 막는 규칙과 사용되지 않는 규칙이 쌓인다. 중요한 자원부터 정책 소유자·만료일·검증 사례를 붙여 확장해야 한다.

풍부한 상황 신호는 같은 계정이라도 기기와 행동이 달라졌을 때 다르게 판단하게 해 주지만, 수집·연결하는 정보가 늘어 프라이버시와 보관 위험이 커진다. “있으면 좋을 것 같다”가 아니라 어떤 정책결정에 필요한지 목적을 적고, 필요한 최소 범위와 보존기간을 정해야 한다.

빠른 재평가와 차단은 위험 변화에 민감하게 반응하지만 정책엔진·정책관리자나 신호원이 느리거나 멈출 때 정상 업무까지 중단시킬 수 있다. 자원별로 신호 유효시간, 장애 중 허용할 제한 경로, 거부가 기본인 범위, 복구 뒤 재검증 절차를 정한다.

중앙의 일관된 정책판단은 통제 기준을 맞추기 쉽지만 제어 평면의 장애와 관리자 권한 집중이 큰 영향을 만든다. 장애가 다른 구성요소로 번지지 않게 나누는 고장격리, 정책 변경의 승인·시험·되돌리기, 관리자 역할 분리와 추적 가능한 기록을 함께 설계해야 한다.

어디서 실패하는가

다음 실패모드는 공식 문서의 고정 목록을 옮긴 것이 아니라, 앞에서 정한 역할과 흐름에서 어떤 연결이 끊기는지 저자가 분석한 것이다. 각 항목은 원인만 적지 않고 징후·영향·예방·복구까지 연결해야 시험의 “고려사항”과 실무의 조치가 된다.

1. 신원 보증이 약하다. 공유계정, 오래 남은 퇴직자 계정, 서비스 간 공용 비밀처럼 누가 행동했는지 확신할 수 없는 것이 원인이다. 서로 다른 사람이 같은 신원으로 보이거나 설명할 수 없는 접근이 반복되는 것이 징후이고, 정교한 정책도 잘못된 주체에게 권한을 준다. 주체 수명주기와 자원 위험에 맞는 인증을 적용하고 공용 신원을 줄인다. 사고 시 계정·세션을 폐기하고 재인증한 뒤 연결된 활동을 조사한다.

2. 신호가 오래되었거나 빠진다. 기기 상태를 며칠 전 값으로 판단하거나 신호원이 멈췄는데 정상값처럼 처리하는 경우다. 관찰시각이 없고 누락률이 오르며 서로 다른 신호가 충돌한다. 위험한 기기를 허용하거나 정상 사용자를 과도하게 막을 수 있다. 신호의 최대 유효시간·필수 여부·출처를 정책에 넣고, 누락 시 자원별로 거부·제한허용·추가확인 중 하나를 명시한다. 복구 뒤 영향을 받은 세션을 다시 평가한다.

3. 정책 충돌과 증식이 생긴다. 소유자 없는 예외, 중복 규칙, 우선순위가 불명확한 규칙이 쌓이는 것이 원인이다. 같은 요청의 결정이 환경마다 달라지거나 긴급 예외가 만료되지 않는 것이 징후다. 과잉허용과 업무중단이 함께 생긴다. 정책마다 목적·소유자·우선순위·만료일·시험 사례를 두고 변경 전에 충돌을 검사한다. 문제가 생기면 마지막으로 검증된 정책으로 되돌리고 예외를 격리한다.

4. 정책집행지점을 우회한다. 자원으로 직접 들어가는 다른 주소·관리포트·배치경로가 남아 있는 경우다. 자원 로그에는 접근이 있는데 정책결정 기록이 없다는 것이 대표 징후다. 올바른 정책이 있어도 실제 흐름을 통제하지 못한다. 모든 접근 경로를 목록화하고, 명시적으로 허용하지 않은 흐름은 기본적으로 거부하며 네트워크 통제로 집행지점 외 경로를 닫는다. 우회가 발견되면 해당 경로를 차단·격리하고 그 경로로 이루어진 접근을 재조사한다.

5. 제어 평면이 멈춘다. 정책엔진·정책관리자 또는 이들과 정책집행지점 사이 통신의 장애가 원인이다. 결정 지연·시간초과·세션 설정 실패가 늘어난다. 모두 거부하면 업무가 멈추고 모두 허용하면 보호가 무너진다. 자원별 실패 정책, 제한된 유효기간의 기존 결정 사용 여부, 고장격리와 복구시험을 미리 정한다. 복구 후 임시 허용 세션을 재평가하고 정상 정책으로 되돌린다.

6. 레거시 자원이 고리에 들어오지 못한다. 오래된 시스템이 개별 신원·세션 제어·현대적 신호 연동을 지원하지 않는 경우다. 공용계정, 직접 접속, 별도 수동 예외가 늘어난다. 자원은 보호 범위 밖의 구멍이 된다. 앞단 게이트웨이를 정책집행지점으로 두고 별도 구간·강화된 관찰·좁은 계정·교체기한을 보상통제로 사용한다. 보상통제가 깨지면 자원을 격리하고 승인된 수동 절차로만 제한한다.

7. 필요한 범위를 넘어 신호를 수집한다. 행위와 위치를 판단에 필요한 범위보다 오래·넓게 모으는 것이 원인이다. 어떤 정책에도 사용되지 않는 신호와 무기한 보존 데이터가 늘어난다. 개인정보 침해와 내부 감시 오남용 위험이 생긴다. 목적·필요성·최소수집·접근권한·보존기간·삭제를 신호별로 정하고 검토한다. 과다수집이 확인되면 수집을 멈추고 접근을 제한하며 불필요한 데이터를 삭제한다.

8. 관리자 권한이 한곳에 집중된다. 한 사람이 정책 작성·승인·배포·로그 삭제를 모두 할 수 있으면 오류나 내부자 행위가 전체 자원에 퍼진다. 검토 없는 대량 정책변경이나 감사기록 공백이 징후다. 작성·승인·배포 역할을 분리하고 강한 관리자 인증, 변경 전 시험, 변경기록과 긴급권한 만료를 둔다. 이상 변경 시 관리자 권한을 회수하고 검증된 정책으로 되돌린 뒤 영향 세션을 재검증한다.

실무에서는 이렇게 보인다: 레거시 고객정보 조회

한 회사는 직원과 외부 협력사가 VPN을 통해 사내망에 들어온 뒤 오래된 고객정보 시스템을 사용한다. 시스템은 개인 계정 대신 부서 공용계정을 쓰고, 화면별 읽기·수정 권한을 세밀하게 나누지 못한다. 이 상태에서 “VPN 접속에 서로 다른 종류의 증명요소를 함께 확인하는 다중인증만 추가”하는 안은 빠르지만, 보호 연결 안의 공용계정과 넓은 권한·직접 접속 경로를 해결하지 못해 기각한다. “모든 시스템을 한 번에 새 제품으로 교체”하는 안도 업무중단과 검증범위가 너무 커서 기각한다.

채택안은 고위험 조회 흐름 하나를 먼저 끝까지 보호하는 단계 전환이다. 주체는 직원·협력사 개인 신원, 자원은 고객정보 조회 기능, 신호는 인증 결과·기기 관리상태·계약 또는 업무 배정상태·요청 행위, 정책은 담당 고객의 필요한 정보 항목 읽기와 제한 시간이다. 레거시 시스템 앞에서 모든 요청을 대신 받는 연결장치인 게이트웨이를 정책집행지점으로 두고, 정책엔진이 판단한 결과를 정책관리자가 세션 명령으로 바꾸어 게이트웨이가 실제 연결을 허용하거나 막는다.

허용 뒤에도 대량 조회, 관리상태 상실, 계약 만료처럼 조건이 바뀌면 다시 평가한다. 즉시 교체할 수 없는 공용계정은 게이트웨이 밖에서 직접 쓰지 못하게 하고, 개인 주체와 레거시 계정의 대응을 기록하며, 수정 기능은 별도 승인 경로로 제한한다. 이 보상통제는 최종 목표가 아니라 교체기한과 책임자를 가진 임시 위험처리다.

이 흐름을 자체 정책 ZT-L1로 한 번 실행해 보자. 직원 S7은 담당 고객 C42의 연락처 읽기만 요청할 수 있고, 인증 성공·업무 배정 유효·기기 D4 관리상태 정상이라는 세 조건을 모두 요구한다. 신호 나이는 판단 시각에서 관찰 시각을 뺀 값으로 정의하고, 같은 신뢰 가능한 시계에서 0초 이상 60초 이하여야 한다. 관찰 시각이 미래여서 나이가 음수라면 최신 신호로 인정하지 않고 시각·출처를 확인할 때까지 허용을 보류한다. 세션의 최장 길이는 10분이지만, 그 안에서 필수 조건이 깨지면 종료하는 정책이다. 이 수치는 교육용 선택이며 모든 제로트러스트 구현의 공통 기준이 아니다.

종료 결정에서 집행 확인까지 이 모의 기록의 지연은 2초다. 결정만 빨랐다고 즉시 차단이 보장된 것은 아니며, 명령 전달 실패·집행 지연과 그 사이의 접근을 별도로 조사해야 한다. 이미 제공한 연락처를 세션 종료로 회수할 수 없다는 한계도 남는다. 정책 담당은 조건과 신호 유효시간을, 운영 담당은 실제 집행·지연·실패와 우회 경로를 확인한다.

이제 입력을 바꿔 판단한다. 다른 조건이 같아도 신규 요청 시각 09:00:00에 기기 신호의 관찰시각이 08:58:59라면 나이는 61초여서 ZT-L1의 신규 허용 조건을 만족하지 못한다. 정상이라는 오래된 값만 보고 허용하지 않고 최신 신호를 요구한다. 이 오답은 신호 품질로 돌아가 관찰값과 관찰시각을 함께 보는 것으로 고친다.

운영지표는 도구 설치 수가 아니라 고리의 품질을 보여야 한다. 고가치 자원 중 정책집행지점을 거치는 비율, 최신 신원·기기 신호가 포함된 결정 비율, 만료되지 않은 예외 수, 정책충돌 건수, 우회 접근 탐지 건수, 결정 지연·오류율, 위험 변화 뒤 권한 축소·종료까지 걸린 시간, 목적 없는 신호와 보존기한 초과 건수를 본다.

미국 국립표준기술연구소(National Institute of Standards and Technology, NIST) 특별간행물(Special Publication, SP) 1800-35의 19개 예시 구현은 24개 협력기관이 SP 800-207 원칙을 기술 조합에 연결한 구현·교훈 자료로 참고할 수 있다. 그러나 특정 제품의 우수성, 서로 다른 기술이 함께 맞물려 작동하는 상호운용성의 완전한 보장, 취약점 부재나 NIST 보증을 뜻하지 않는다. 이 사례도 제품 화면이나 외부 구현도식을 가져오지 않고 역할과 판단만으로 구성했다.

시험에서는 어떻게 묻는가

아래 두 문제는 이 절의 개념과 적용을 연습하기 위한 자체 제작 문제다. 공식 기출문제·기출 통계나 출제확률의 근거로 사용하지 않는다.

10점 문제: 제로트러스트 아키텍처의 개념을 설명하고, 정책엔진·정책관리자·정책집행지점의 역할과 접근제어 흐름을 제시하시오.

요구어는 개념, 세 역할, 흐름이다. “아무도 믿지 않는다”라고만 쓰면 개념의 경계를 틀리고, PE·PA·PEP를 나열하기만 하면 역할 사이 연결이 없다. 네트워크 위치의 암묵적 신뢰 배제, 자원·세션 단위의 명시적 판단, PE의 결정–PA의 세션조정–PEP의 집행, 지속평가와 최소권한까지 한 도식으로 연결한다.

25점 문제: 경계형·VPN 중심의 레거시 고객정보 환경을 제로트러스트 아키텍처로 전환하기 위한 목표구조와 접근제어 절차를 설계하고, 기존 방식과의 비교, 단계적 전환방안, 주요 실패모드 및 통제를 제시하시오.

요구어는 목표구조, 절차, 비교, 전환, 실패와 통제다. 제품 목록보다 주체·자원·신호·정책결정·세션조정·집행의 책임을 먼저 그린다. 전환은 기준선–한 흐름–혼합 운영–위험순 확장으로 제시하되 고정 정답이라고 부르지 않으며, 신호품질·정책복잡도·우회·제어 평면·레거시·프라이버시·관리자 권한을 통제와 함께 쓴다.

목차와 답안을 열기 전에 S7 요청의 판단자·명령자·집행자를 서로 다른 세 칸에 적는다. “PA가 종료 명령을 보냈다”와 “PEP가 종료를 확인했다”를 같은 칸에 쓰지 않는다. 아래 모범답안과 채점의 관점은 자체 교육용이며 공인 기출 채점표가 아니다.

10점·25점 자체 연습의 목차, 도식과 완성 답안

10점과 25점 목차 전환

10점 목차

1. 제로트러스트 아키텍처의 정의와 경계
   • 위치·소유 기반 암묵신뢰 배제, 자원·세션 중심의 명시적 판단
2. 핵심 구성요소와 책임
   • 주체·자원·신호원, PE 결정·PA 세션조정·PEP 집행
3. 접근제어 흐름과 원칙
   • 요청–신호평가–결정–세션–집행–지속평가–종료, 최소권한

25점 목차

1. 배경과 목표
   • 경계형·VPN 중심 환경의 위치신뢰·내부 확산 위험
2. 목표 제로트러스트 아키텍처
   • 제어·데이터 평면, 주체·자원·신호·PE·PA·PEP 책임
3. 동적 접근결정과 지속평가
   • 신원·기기·행위·위협·자원 신호, 최소권한 네 축, 종료 조건
4. 기존 방식 비교
   • 경계형·VPN·마이크로세그멘테이션이 통제하는 대상과 남는 공백
5. 단계적 전환
   • 기준선–한 업무 흐름–혼합운영–위험순 확장
6. 실패모드·통제·지표와 결론
   • 신원·신호·정책·우회·제어 평면·레거시·프라이버시·관리자 권한 통제
   • 집행경로·신호 최신성·예외·우회·결정품질·종료시간·최소수집 지표

10점에서 25점으로 갈 때 정의를 길게 늘리지 않는다. 실제 환경의 목표구조, 전환 의사결정, 실패대책과 운영지표를 추가한다.

답안 도식

답안 도식은 판단·명령·읽기·응답·관찰의 목표 구조와 단계적 이전 순서를 연결해 읽는다. 위쪽 정책·목표와 신호가 PE 판단의 근거가 되고, PA 명령이 PEP 집행으로 이어진다. 아래 관찰은 다시 판단으로 환류하며, 목표 구조로 가는 이전은 기준선·한 흐름 적용·혼합 운영 검증·위험순 확장의 네 단계를 따른다.

이 그림은 이 교재가 새로 만든 답안용 도식이다. 위쪽은 정책결정과 세션조정이라는 제어 흐름, 가운데는 실제 업무 데이터 흐름, 아래 되먹임은 지속평가다. 화살표를 읽으면 “신호를 바탕으로 PE가 결정하고 PA가 세션을 조정하며 PEP가 최소권한을 집행하고, 결과를 다시 판단에 돌려 종료까지 통제한다”는 한 문장이 된다.

10점 모범답안

제로트러스트 아키텍처는 네트워크 위치나 자산 소유만으로 주체를 암묵적으로 신뢰하지 않고, 주체가 자원에 접근할 때 정책과 상태 신호로 명시적으로 판단하며 세션 중에도 조건을 재평가하는 구조다. 보호 중심은 망 구간 자체보다 데이터·서비스·애플리케이션·기기 같은 자원이고, 허용은 자원·행동·시간·조건을 업무에 필요한 최소 범위로 제한한다.

구성요소는 주체·자원·신호원과 PE·PA·PEP다. 정책엔진 PE는 주체·자원·기기·행위·위협·환경 신호와 정책을 평가해 허용·거부·조건을 결정한다. 정책관리자 PA는 그 결정을 세션 설정·변경·종료 명령으로 조정하고, 정책집행지점 PEP는 주체와 자원 사이에서 실제 연결을 허용·감시·차단한다. 이들은 논리 역할이며 반드시 별도 제품일 필요는 없다.

흐름은 접근요청–신호수집–PE 판단–PA 세션조정–PEP 집행–상태 재관찰–재평가·종료다. 위치만으로 넓은 권한을 주는 대신 매 세션의 조건을 명시하고, 위험 변화 때 범위를 줄이거나 추가 인증·차단·종료를 수행한다. 따라서 제로트러스트는 단일 제품이 아니라 정책결정과 집행, 지속 피드백을 연결하는 아키텍처다.

25점 모범답안

경계형·VPN 중심 환경은 외부 진입을 통제하고 원격 구간을 보호하는 데 유용하지만, 접속 뒤의 위치를 넓은 권한의 대리값으로 사용하면 계정 탈취와 내부 이동의 영향을 키울 수 있다. 전환 목표는 기존 통제를 무조건 폐기하는 것이 아니라, 고객정보라는 자원을 중심으로 매 접근을 명시적으로 판단하고 최소권한을 집행하며 조건 변화를 지속평가하는 제로트러스트 아키텍처를 만드는 것이다.

목표구조의 데이터 평면에는 주체–PEP–자원 흐름을 둔다. 주체는 직원·협력사 개인 신원, 자원은 고객정보의 조회·수정 기능이고, PEP는 모든 허용 흐름의 실제 길목이다. 제어 평면의 PE는 신원·기기·행위·위협·자원 민감도와 정책을 평가해 허용·거부·추가확인·범위축소를 결정한다. PA는 결정을 세션 설정·변경·종료 명령으로 조정하고 PEP가 이를 집행한다. 논리 역할을 분리하되 물리 제품 수와 동일시하지 않는다.

접근절차는 첫째, 주체가 자원과 행동을 지정해 요청한다. 둘째, 신호원에서 신원·기기·행위·위협·자원 상태와 관찰시각을 수집한다. 셋째, PE가 정책에 따라 자원·행동·시간·조건의 최소권한을 결정한다. 넷째, PA가 세션을 설정하고 PEP가 허용된 흐름만 통과시킨다. 다섯째, 세션 상태와 집행결과를 다시 관찰한다. 조건이 바뀌면 권한을 줄이고 추가확인을 요구하거나 세션을 종료한다.

경계형 보안은 망 경계, VPN은 원격 접속 경로, 마이크로세그멘테이션은 작은 구간 사이 흐름을 주로 통제한다. 이들은 제로트러스트의 집행수단으로 남을 수 있지만, 단독으로 주체·자원·상황 신호의 동적 판단과 지속평가·거버넌스 전체를 제공하지 않는다. 따라서 제품 대체 여부보다 위치 기반 암묵신뢰가 자원 중심의 명시적 판단으로 바뀌었는지를 평가한다.

전환은 자산·주체·업무흐름·현재 정책과 우회경로의 기준선에서 시작한다. 고위험 고객조회 한 흐름에 개인 신원, 기기 신호, PE·PA·PEP와 책임추적 기록을 연결한다. 기존 VPN·망 경계 통제와 혼합 운영하며 정상·오류·제어 평면 장애·복구를 시험한 뒤 위험순으로 자원과 주체를 넓힌다. 레거시는 앞단 PEP, 별도 구간, 강화된 관찰과 교체기한을 보상통제로 둔다. 구현순서는 조직 여건에 따라 달라지므로 일괄 전환을 고정 정답으로 삼지 않는다.

주요 실패와 통제는 다음과 같다. 약한 신원은 계정 수명주기와 자원 위험에 맞는 인증, 오래되거나 누락된 신호는 유효시간과 누락정책, 정책 충돌은 소유자·우선순위·만료·시험과 되돌리기, PEP 우회는 경로 목록과 명시적 허용 외 거부, 제어 평면 장애는 자원별 실패정책과 복구 후 재평가로 다룬다. 레거시는 보상통제와 교체계획, 과다한 신호수집은 목적·최소수집·보존·삭제, 관리자 권한 집중은 역할분리와 변경승인·기록으로 통제한다.

성과는 설치 제품 수가 아니라 고가치 자원의 PEP 경유율, 최신 신호가 포함된 결정 비율, 만료 예외와 정책충돌, 우회 탐지, 결정 지연·오류, 위험 변화부터 권한축소·종료까지 시간, 목적 없는 신호와 보존기한 초과로 측정한다. 결론적으로 제로트러스트 전환은 명시적 검증–최소권한–정책판단–세션조정–집행–지속관찰–환류를 한 보호흐름에서 완성하고 위험순으로 넓히는 보안엔지니어링 활동이다.

ZT-L1의 S7·C42 읽기는 유효한 신원·배정·최신 정상 기기 신호로 허용하고, C43 조회·수정은 범위 밖으로 거부한다. D4 관리상태가 깨지면 PE 종료 판단–PA 명령–PEP 집행 확인을 연결하며, 모의 기록의 2초 집행 지연을 숨기지 않는다. 61초 된 기기 신호로 신규 세션을 허용하지 않는 시험도 추가해 정상값의 최신성과 실제 종료를 함께 검증한다.

독립 확인: 신호의 경계와 종료 확인

기존 답안을 닫고 ZT-L1만 적용한다. 09:00:00 요청에서 정상 기기 신호 A의 관찰 시각은 08:59:00, 신호 B는 08:58:59이다. 나머지 필수 조건은 유효하다. A와 B의 허용 가능성을 판정한다. 허용된 세션에 대해 09:01:00 종료 명령, 09:01:02 종료 확인이 기록되었다면 종료 완료 시점과 이미 전달된 연락처의 상태도 설명한다.

경계 조건의 완전한 풀이와 오답 교정

A는 60초이고 B는 61초다. 이 자체 정책은 “60초 이내”이므로 A는 신호의 시간 조건을 충족하고 B는 충족하지 않는다. A의 나머지 조건이 모두 유효하다는 문제 조건에서 읽기를 허용할 수 있고, B는 새 신호 확보나 정책의 보류·거부 처리를 적용해야 한다. B를 허용하는 답은 정상이라는 값만 읽고 관찰 시각을 빠뜨렸다. A를 시간초과로 거부하는 답은 이 절의 포함 경계를 앞 절의 다른 엄격 부등식과 혼동했다.

종료 완료를 입증하는 시각은 집행 확인이 도착한 09:01:02다. 09:01:00은 결정·명령 시점이므로 그 2초 사이의 실제 제공 상태는 별도 집행 기록을 확인해야 한다. 10분의 최대 세션 길이는 조건 상실 후에도 읽을 권리가 유지된다는 뜻이 아니다. 이미 전달한 연락처는 세션 종료만으로 상대의 보관본에서 회수되지 않는다. 종료 이후 제공을 중단하는 통제와 기존 전달 정보의 후속 처리를 구분한다.

2026-10-05에는 NIST SP 800-207 최종 발행 페이지와 SP 1800-35 구현 안내를 대조했다. 각각 2020년 8월의 자원 중심 논리 구조와 2025년 6월의 구현 사례 문서다. 1800-35의 24개 협력기관·19개 구현 사례는 가능한 조합의 예이며 이 교재 ZT-L1의 수치나 특정 제품의 보증을 의미하지 않는다. 기존 국내 가이드의 세부 역량 수는 아래 기존 근거와 검토 상태를 유지한다.

관찰 시각이 미래라면

ZT-L1의 나머지 필수 조건은 유효하지만 09:00:00 요청의 정상 신호 C에 관찰 시각 09:00:05가 적혀 있다. 신호의 시간 조건을 충족하는지 먼저 계산하고 다음 조치를 정한다.

음수 신호 나이의 풀이

신호 나이는 09:00:00−09:00:05=−5초로, 0초 이상 60초 이하라는 조건을 충족하지 않는다. 상한만 보고 “−5≤60이니 최신”이라고 허용하면 잘못된 미래 시각도 통과한다. 새 허용을 보류하고 판단·관찰 시계의 정합성, 신호 출처와 실제 관찰 기록을 확인한다. 시각을 임의로 현재 값으로 덮어써 정상화한 뒤 허용하지 않는다. A의 60초 허용과 B의 61초 미충족 판정은 그대로다.

근거·현행성·권리와 표현 범위

이 절의 기존 정보 기준일은 2026-08-30이다. 아래 자료는 명시한 역할·관계·구현 범위의 근거로 사용하며, 개별 시스템의 적합성이나 독립된 사람의 기술·현행성·권리 승인을 뜻하지 않는다.

• NIST SP 800-207, Zero Trust Architecture: Final, 2020-08. Introduction과 §2·§2.1은 위치 기반 암묵신뢰 배제, 자원·세션·최소권한·동적 판단을, §3.1은 PE·PA·PEP와 제어·데이터 평면을, §7은 기준선과 혼합·단계 전환을 지원한다. NIST 공식 발행 페이지와 PDF를 2026-08-30에 확인했으며 재검토일은 2027-08-30이다.
• KISA 제로트러스트 가이드라인 2.0: 2024-12-03 공개된 국내 공식 가이드라인이다. 인쇄본 22~27쪽은 원칙과 논리 역할을, 17·43~54·90·134쪽은 핵심요소·성숙도·역량·구현순서의 비절대성을 지원한다. 법령이나 강제 인증기준으로 인용하지 않으며 재검토일은 2027-03-31이다.
• NIST SP 1800-35, Implementing a Zero Trust Architecture: Final, 2025-06. 공식 초록과 문서 구성은 24개 협력기관과 19개 예시 구현 및 구현 교훈의 성격만 지원한다. 제품 우수성·완전한 상호운용성·취약점 부재·NIST 보증으로 확대하지 않으며 재검토일은 2027-06-30이다.

NIST 자료는 출처를 밝힌 독립 요약만 사용했고 문서 안의 제3자 그림·상용 자산은 사용하지 않았다. KISA 사이트는 광범위한 재사용 허가를 확인하지 못했으므로 사실과 관계만 짧게 재서술했으며 표·도식·스크린샷을 복제하거나 추적하지 않았다. SP 1800-35의 제품 화면과 벤더 자산도 사용하지 않았다. 이 절의 도식·비교표·전환도는 설명할 관계를 직접 구성한 교육 자료이며, 원문 도식의 복제나 독립 권리 검토 완료를 뜻하지 않는다.

비교표, 단계 전환도와 여덟 실패모드는 아래 근거의 지원 범위 안에서 만든 교육용 분석이며 공식 문서의 표나 고정 절차가 아니다. “명시적 검증–최소권한–지속 관찰–정책판단–집행–환류”는 이 절에서 관계를 연결한 요약이며 표준의 원문 목록으로 사용하지 않는다. KISA의 네 단계 성숙도도 보안성의 절대점수나 모든 조직의 고정 구현순서로 사용하지 않는다.

공식 원문 위치와 권리 조건은 NIST SP 800-207, NIST SP 1800-35, KISA 제로트러스트 가이드라인 2.0의 등록된 locator에서 다시 확인할 수 있다. 외부 링크가 없어도 이 절의 정의·구조·흐름·비교·실패·답안은 이해할 수 있도록 본문에 모두 설명했다.

30초 정리

1. 제로트러스트는 신뢰를 없애는 구호가 아니라 네트워크 위치만으로 주던 암묵신뢰를 없애고 주체·자원·상황에 따라 범위가 정해진 접근을 계속 판단하는 구조다.
2. 정책엔진은 결정하고, 정책관리자는 세션을 조정하며, 정책집행지점은 실제 흐름을 집행한다. 이 고리는 신호 관찰–판단–최소권한 집행–재관찰–종료까지 닫혀야 한다.
3. 좋은 전환은 제품 수가 아니라 한 고가치 업무흐름에서 우회 없는 집행, 신호품질, 정책관리, 제어 평면 복구, 레거시 보상통제와 프라이버시를 완성한 뒤 위험순으로 넓힌다.

다음 절에서는 이 아키텍처를 포함한 보안 요구가 설계·구현·시험·운영 과정에서 실제로 지켜지는지 취약점관리와 데브섹옵스로 검증한다.

조건을 바꾸어 연습하기: 신호의 시점·집행 확인·보호 범위를 함께 따진다.

다음은 ZT-L1을 확장한 학습용 조건이다. 신원 상태와 기기 상태의 신호가 모두 필수이고 각각의 관측 경과 시간이 0초 이상 60초 이하여야 한다. 새 세션을 실제로 시작하기 직전에도 이 조건을 확인하며, 필요한 신호를 확인할 수 없으면 보류한다. 시간은 같은 신뢰 가능한 UTC 시계를 기준으로 하고, 그 밖의 허가 조건은 충족한다고 가정한다. 실제 운영의 재평가 주기와 허용 지연은 자원별 정책으로 별도 정한다.

1. ZT-F. 기준 시각을 1,000초라고 쓰자. 신원 상태는 940초, 기기 상태는 990초에 정상으로 관측되었다. PE가 1,000초에 허가를 결정했지만 새 세션의 집행 직전 시각은 1,002초이다. 두 시점의 경과 시간을 계산하고 그대로 시작해도 되는지 판단하라. 기기 신호만 1,002초에 새로 받아도 충분한가? 다음 시도에서는 현재 시각이 1,003초인데 신원 신호의 관측 시각이 1,004초로 들어왔다. 무엇을 확인해야 하는가?
2. ZT-E. 같은 세션 S9와 정책 버전 P7을 집행하는 PEP-A와 PEP-B가 있다. PE의 종료 결정은 09:01:00, PA의 두 PEP 대상 명령은 09:01:01이다. A는 S9/P7의 차단 완료를 09:01:02에 확인했다. B의 09:01:05 응답에는 이전 세션 S8/P7이 적혀 있고, S9/P7의 차단 완료는 09:01:07에 확인되었다. 이 연습에서는 해당 세션의 모든 집행 경로가 닫혀야 종료 완료로 기록한다. 완료 시각과 결정·명령 각각에서 완료까지의 시간을 구하라. B의 마지막 확인이 없으면 어떻게 기록하며, 이미 전달된 응답 바이트도 회수되었다고 할 수 있는가?
3. ZT-P. 보호 대상 R1·R2·R3을 조사했다. R1은 확인한 모든 접근 경로가 PEP를 거친다. R2에는 PEP를 우회하는 직접 접근 경로가 하나 있다. R3은 경로 조사가 끝나지 않았다. 여기서는 모든 경로의 집행을 확인한 자원만 보호 범위 충족으로 센다. 충족·미충족·미확인의 수와 충족 비율을 구하라. 별도 관측한 요청 100건 중 PEP 경유가 90건, R2 우회가 10건이면 이를 근거로 모든 자원이 보호된다고 판단할 수 있는가? R2 우회 접근에서 읽기가 가능했던 사실은 C42 읽기 허가가 C43에도 적용된다는 근거가 되는가?

신호 대기시간·여러 PEP의 종료 확인·보호 범위 계산 풀이

1. ZT-F — 한 신호의 갱신은 다른 신호의 오래됨을 해소하지 않는다. 결정 시점의 신원·기기 경과 시간은 각각 60초와 10초이므로 이 연습의 포함 경계에 맞는다. 집행 직전에는 62초와 12초이다. 필수인 신원 신호가 60초를 넘었으므로 이전 결정만으로 새 세션을 시작하지 않고 보류한 뒤 신원 상태도 확인하여 다시 판단한다. 최대 세션 시간이 남았다는 사실로 필수 조건을 대신하지 않는다.

기기 신호만 갱신하면 기기 경과 시간은 0초가 되지만 신원 신호는 여전히 62초이다. 필요한 두 조건은 각각 충족해야 한다. 다음 시도의 신원 경과 시간은 1,003−1,004=−1초이다. 이를 매우 최신인 정상 값으로 처리하지 않는다. 신호 출처·시계 동기화·관측 시각의 의미를 확인하고 유효한 근거를 확보할 때까지 보류한다. 수집 도착 시각으로 관측 시각을 바꾸거나 재인증만으로 기기 상태까지 정상이라고 간주하지 않는다.

2. ZT-E — 명령의 발행과 대상 세션의 집행 완료를 구별한다. A의 확인만으로는 B의 경로까지 닫혔다고 할 수 없다. 09:01:05 응답은 S8에 관한 것이므로 S9의 완료 근거가 아니다. 두 PEP 모두 S9/P7의 완료를 확인한 시각은 09:01:07이다. 결정에서 A의 확인까지는 2초, B의 확인까지는 7초이며 전체 완료까지 7초이다. 명령 09:01:01에서 전체 완료까지는 6초이다. 이 수치는 주어진 기록의 지연이며 모든 제로트러스트 제품의 지연 상한을 뜻하지 않는다.

B의 해당 확인이 없으면 A는 완료 확인, B는 집행 완료 미확인으로 구분하고 전체 종료 완료는 확정하지 않는다. 결정 ID, 대상 세션·정책 버전, 집행 지점, 명령과 확인 시각을 연결하고 B의 실제 상태를 확인한다. 미확인이 곧 계속 허가되었다는 관측 증거도 아니다. 연결 종료는 앞으로의 통신을 제한하는 조치이며 이미 상대가 받은 바이트의 회수 증거가 아니다.

3. ZT-P — 관측한 요청의 비율과 모든 경로의 보호 조건은 다르다. R1만 충족이고 R2는 미충족, R3은 미확인이다. 각 1개씩이며 충족 비율은 1/3, 약 33.3%이다. 미확인인 R3을 분모에서 빼거나 충족에 넣지 않는다. 경유 요청 비율 90/100=90%는 그 관측 집합의 비율일 뿐, 조사하지 않은 경로까지 보호한다는 증명이 아니다. 우회 경로 하나만 있어도 R2의 전 경로 집행 조건을 만족하지 않는다. 우회 경로를 막고 정상 업무 경로를 포함해 다시 확인해야 한다.

우회 접근의 성공은 집행상의 빈틈을 보여 준다. 그 결과를 정상 정책 허가로 재분류하거나 C42에 한정된 읽기 허가를 C43으로 넓히지 않는다. 주체·기기·자원·행위별 정책과 실제 집행을 함께 대조한다. 충족 비율은 이 조사 규칙의 결과이며 침해 확률이나 성숙도 인증 점수가 아니다.