제로 트러스트 아키텍처 설계: NIST SP 800-207과 아이덴티티 중심 보안

네트워크 내부라는 사실만으로 접근을 허용하는 모델은 클라우드, 하이브리드 워크, 공급망 공격이 얽힌 환경에서 방어 기준이 되기 어렵다. 2026년에는 대규모 기업의 60%가 측정 가능한 Zero Trust 프로그램을 구현했으며, 81%의 조직이 향후 12개월 내 Zero Trust 전략을 도입할 계획이라고 밝혔다.

신뢰의 근거를 네트워크 위치에서 떼어내기

Zero Trust는 특정 제품이 아니라 보안 철학이자 아키텍처 설계 방식이다. 기존 경계 기반 보안은 기업 내부망을 신뢰하고 외부를 막는 성과 해자(castle-and-moat) 모델에 기대었다. 내부망 침투, 내부자 위협, 클라우드 SaaS 확산이 겹치면서 이 경계만으로는 보호 대상을 구분하기 어려워졌다.

이 접근법은 위치나 소유권에 따른 암묵적 신뢰를 허용하지 않는다. 내부 네트워크에서 시작된 요청이라도 사용자 아이덴티티, 디바이스 상태, 접근 컨텍스트를 근거로 실시간 검증을 거쳐야 한다.

NIST SP 800-207이 제시한 기준선

NIST가 2020년 발행한 SP 800-207은 Zero Trust Architecture(ZTA)의 정의와 구현 원칙을 제시한다. 2026년 현재 미국 연방기관뿐 아니라 글로벌 기업의 ZTA 설계에서도 사실상의 국제 표준으로 활용된다.

이 문서는 사용자·자산·리소스 보호에 중심을 둔 사이버보안 패러다임으로 방어를 전환하는 관점을 다룬다. 핵심 전제는 네트워크 위치가 신뢰를 판단하는 근거가 될 수 없다는 데 있다.

2026년 1월 NSA는 NIST SP 800-207을 바탕으로 Zero Trust Implementation Guidelines(ZIG)를 발표했다. ZIG는 Primer와 Discovery, Phase One, Phase Two 구현 가이드로 구성되며, 42개의 목표 역량(Target-level Capabilities)과 91개의 활동(Activities)을 정의한다.

접근 결정을 지탱하는 설계 원칙

명시적 검증(Verify Explicitly)은 접근 요청마다 가능한 데이터 포인트를 사용해 인증과 인가를 수행한다. 사용자 아이덴티티, 위치 정보, 디바이스 상태, 서비스·워크로드, 데이터 분류, 이상 행동 탐지 결과가 판단 근거에 포함된다. 자격증명만 확인하는 정적 검증이 아니라 컨텍스트에 따라 달라지는 검증이 필요하다.

최소 권한 접근(Least Privilege Access)은 사용자·디바이스·프로세스에 작업에 필요한 범위의 권한만 부여한다. Just-in-Time(JIT) 접근, Just-Enough-Access(JEA), 위험 기반 적응형 정책, 데이터 보호 기능을 함께 적용하며, 침해가 발생해도 폭발 반경(blast radius)을 작게 제한하는 목적을 가진다.

침해 가정(Assume Breach)은 이미 공격자가 일부 영역에 들어왔을 가능성을 전제로 한다. 최소 권한으로 영향 범위를 줄이고, 암호화로 측면 이동(lateral movement)을 막으며, 분석 기능으로 위협 탐지와 가시성을 높인다. 대응 이후의 복구보다 사전 봉쇄(containment-first)에 무게를 두는 방식이다.

정책 판단과 적용 지점의 연결

⤢✕

정책 엔진(Policy Engine, PE)은 접근 허용과 거부를 판단한다. 기업 정책, 위협 인텔리전스, 외부 소스를 종합해 실시간 신뢰 알고리즘을 실행한다.

정책 관리자(Policy Administrator, PA)는 정책 엔진의 판단에 맞춰 세션을 생성·수정·종료하고 접근 토큰과 자격증명을 관리한다. 정책 적용 포인트(Policy Enforcement Point, PEP)는 요청자와 리소스 사이에서 통신 채널을 활성화·모니터링·종료한다. 구현 형태는 소프트웨어 에이전트, 게이트웨이, 프록시 등이 될 수 있다.

워크로드 단위로 측면 이동을 제한하는 방식

마이크로세그멘테이션은 기업 네트워크를 세밀한 영역으로 분리하고, 각각에 독립적인 접근 제어와 모니터링을 적용한다. VLAN 단위로 나누던 전통적 세그멘테이션보다 더 세분화되어 워크로드, 애플리케이션, 개별 서비스까지 제어 대상이 된다.

Gartner는 2026년 Zero Trust 아키텍처를 추진하는 기업의 60%가 복수의 마이크로세그멘테이션 배포 형태를 사용할 것으로 전망했다. 이는 3년 전 5% 미만이었던 것과 대비된다.

한 영역이 침해되어도 다른 영역으로의 이동을 막을 수 있다는 점이 핵심이다. 랜섬웨어나 APT 공격의 확산을 제한하는 데 활용되며, CISA는 핵심 자산부터 시작해 반복적으로 범위를 넓히고, 구간 간 트래픽을 암호화하며, 정책을 지속적으로 검토·정제하는 접근을 권장한다.

구현은 호스트 기반(Host-based), 하이퍼바이저 기반(Hypervisor-based), 네트워크 기반(Network-based), 클라우드 네이티브(Cloud-native) 세그멘테이션으로 나뉜다. 2026년의 성숙한 배포는 이 방식을 복합적으로 활용한다.

아이덴티티가 새로운 경계가 될 때

Zero Trust에서는 아이덴티티가 새로운 경계(perimeter) 역할을 맡는다. 네트워크 경계가 약해진 환경에서 다중 인증(MFA)은 기본적이면서도 강력한 방어 수단이다.

2026년 CISA의 업데이트된 가이던스는 아이덴티티 필러에 긴급성을 부여한다. 피싱 저항성이 있는 FIDO2/WebAuthn 자격증명을 갖춘 MFA 구현을 요구하며, SMS OTP나 이메일 기반 인증만으로는 충분하지 않다고 명시한다.

IAM과 컨텍스트 기반 정책을 결합하면 비정상적 위치 로그인, 알 수 없는 디바이스 사용, 비업무 시간대 접근 같은 위험 신호가 나타났을 때 더 강한 인증을 요구할 수 있다. 적응형 MFA(Adaptive MFA)는 이 과정의 핵심 구성 요소다.

최소 권한을 운영하려면 역할 기반 접근 제어(RBAC)와 속성 기반 접근 제어(ABAC)를 함께 적용하고, 권한을 정기적으로 감사하며, 역할 변화에 따라 동적으로 조정해야 한다. Privileged Access Management(PAM) 솔루션과 통합해 특권 계정을 별도 관리하는 방식도 2026년의 표준 접근법이다.

NSA ZIG가 나눈 구현 경로

NSA의 ZIG는 현황 파악에서 성숙한 운영까지 이어지는 구현 로드맵을 제시한다.

Discovery Phase는 13개 역량을 지원하는 14개 활동으로 구성된다. 현재 환경을 파악하고 자산 인벤토리를 만들며 기존 보안 제어를 평가하는 단계다.

Phase One은 30개 역량을 지원하는 36개 활동을 포함한다. Discovery에서 확인한 컴포넌트 환경을 구축·정제해 Zero Trust 역량을 지원할 안전한 기반을 마련하며, 아이덴티티 관리, MFA 배포, 기본 마이크로세그멘테이션이 포함된다.

Phase Two는 34개 역량을 지원하는 41개 활동으로 성숙한 운영 환경을 다룬다. 자동화된 정책 적용, AI 기반 위협 탐지, 지속적인 모니터링과 검증이 중심이다.

CORE Systems의 NIST SP 800-207 기반 12개월 구현 로드맵은 처음 3개월을 아이덴티티와 접근 관리에, 이후 3개월을 디바이스 및 엔드포인트 보안에 배정한다. 7-9개월은 네트워크 세그멘테이션에 집중하고, 최종 3개월에는 데이터 보호와 가시성 강화를 권장한다.

기존 보안 체계와 함께 운영하기

VPN, 방화벽, 온프레미스 인프라를 Zero Trust와 연결하는 일은 2026년의 큰 과제다. 48%의 기업이 하이브리드 환경에서 Zero Trust 통합에 어려움을 겪는다고 보고했다.

ZTNA(Zero Trust Network Access)와 SASE(Secure Access Service Edge)를 결합하면 클라우드 기반 통합 보안 모델을 구성할 수 있다. ZTNA는 기존 VPN을 대체해 네트워크 전체가 아닌 아이덴티티 기반의 애플리케이션별 접근을 제공한다.

레거시 시스템을 모두 즉시 교체하기는 어렵다. 프록시 기반 접근이나 마이크로세그멘테이션으로 해당 시스템을 격리하고, API 게이트웨이를 통해 접근을 중개하는 방식이 현실적인 통합 전략이다.

바이든 행정명령 14028과 OMB 메모랜덤 M-22-09는 연방기관의 Zero Trust 채택을 의무화했다. 2026년 CISA의 업데이트된 가이던스는 방산, 의료, 금융, 유틸리티 분야 기업에도 사실상의 규제 기준으로 작용한다.

정책 자동화와 연속적 검증의 확장

2026년 Zero Trust에서 눈에 띄는 변화는 AI 통합이다. 머신러닝 모델이 정책 엔진의 핵심으로 자리 잡으면서 수백 가지 행동 신호를 분석하는 실시간 위험 점수화(real-time risk scoring)가 가능해졌다.

자율 SOC(Autonomous SOC)는 AI가 위협을 탐지하는 데 그치지 않고, Zero Trust 정책을 자동 조정하며 비정상 접근 시도에 즉시 대응하는 개념이다. 보안 팀의 수동 개입을 줄이고 탐지-대응 시간을 획기적으로 단축하는 데 목적이 있다.

연속적 검증(Continuous Validation)은 초기 인증 이후 세션을 계속 유지하던 방식과 다르다. 세션 전체에서 신뢰를 주기적으로 재검증하며, 사용자 행동 분석(UEBA), 디바이스 건강 상태 모니터링, 네트워크 트래픽 분석이 이 판단의 데이터 소스가 된다.

도입 범위와 성과를 함께 판단하기

성숙한 Zero Trust 배포를 갖춘 조직은 그렇지 않은 조직보다 침해당 평균 176만 달러를 절감했다. 침해 영향 비용 50% 감소와 침해 봉쇄 시간 43% 단축도 보고됐다.

전체 구현에는 일반적으로 18-36개월이 걸리며, 리더십, IT, 보안, 비즈니스 부서가 함께 참여해야 한다. 가장 높은 투자 수익(ROI)을 제공하는 영역은 아이덴티티(Identity) 필러이므로, 구현은 아이덴티티에서 시작해 점진적으로 확대하는 접근이 권장된다.