⚡ electrical engineering

Architectural Implications of the UK Cyber Security and Resilience Bill

본 논문은 영국의 사이버 보안 및 회복탄력성 (CS&R) 법안이 기존 보안 아키텍처를 구조적으로 부적합하게 만든다고 주장하며, 이 법규의 요구사항을 충족하기 위해 제로 트러스트 아키텍처 (ZTA) 를 기반으로 한 참조 아키텍처와 성숙도 기반 채택 경로를 제시합니다.

원저자: Jonathan Shelby

게시일 2026-04-03

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Jonathan Shelby

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

영국 사이버 보안 법안의 '건축가'를 위한 안내서: 복잡한 법을 쉽게 이해하는 방법

이 논문은 영국의 새로운 **'사이버 보안 및 복원력 (CS&R) 법안'**이 기업들의 보안 시스템을 어떻게 근본적으로 바꿔야 하는지 설명합니다. 단순히 규칙을 지키는 것을 넘어, 건물의 설계도 자체를 다시 그려야 한다는 뜻입니다.

이 내용을 일반인도 쉽게 이해할 수 있도록 건물 설계와 비행기 탑승에 비유해서 설명해 드리겠습니다.

1. 왜 지금 변화가 필요한가요? (기존 방식의 한계)

비유: "열린 현관문과 경비원"
지금까지 많은 기업들은 보안을 **'성벽 (Perimeter)'**으로 생각했습니다. 마치 성벽을 쌓고, 성벽 안쪽은 모두 신뢰할 수 있는 '우리 집'으로, 성벽 바깥은 모두 위험한 '외부'로 여겼습니다. 성문 (방화벽) 에 경비원만 두면 된다고 생각했죠.

하지만 새로운 법안은 이 방식을 **"더 이상 통용되지 않는다"**고 선언합니다.

이유: 이제 우리 집의 열쇠를 가진 **관리 업체 (MSP)**나 공급업체가 성벽 안쪽까지 들어와 일을 합니다. 만약 이 업체가 해킹당하면, 성벽 안의 모든 것이 위험해집니다.
결과: 성벽 하나만 믿고 있는 것은 더 이상 안전하지 않습니다.

2. 새로운 법안의 핵심 요구사항 (무엇이 바뀌나?)

이 법안은 기업에게 네 가지 강력한 요구를 합니다.

범위 확대: 단순히 기업 자체뿐만 아니라, 데이터 센터나 관리 업체 (MSP), 핵심 공급업체까지 모두 보안의 책임 대상에 넣습니다.
초고속 신고: 사고를 알았을 때 24 시간 이내에 초기 보고를 하고, 72 시간 이내에 상세 보고를 해야 합니다. (기존에는 며칠 걸려도 괜찮았음)
공급망 관리: 우리 회사가 쓰는 외부 업체의 보안 상태까지 계속 감시해야 합니다.
정부 지시권: 정부가 "지금 당장 이 조치를 취하라"고 지시하면, 기업은 즉시 따라야 합니다.

3. 해결책: '제로 트러스트 (Zero Trust)' 아키텍처

이 법안을 지키기 위해 저자는 **'제로 트러스트 (Zero Trust)'**라는 새로운 설계 방식을 제안합니다.

비유: "공항의 보안 검색"

기존 방식 (성벽): 성문 밖에서는 경계하지만, 성문 안으로 들어오면 "아, 우리 사람이다"라고 믿고 아무런 검사를 안 합니다.
새로운 방식 (제로 트러스트): 누구든 절대 믿지 않습니다 (Never Trust, Always Verify).
- 공항에 들어갈 때처럼, 매번 신분증을 확인하고, 가방을 검색하고, 목적지를 확인합니다.
- 성벽 안의 직원이라도, 특정 구역에 들어갈 때마다 다시 신원 확인을 받습니다.
- 외부 업체 (MSP) 가 들어와도, 그들이 접근할 수 있는 구역은 **'최소한의 권한'**으로만 제한하고, 매 순간 감시합니다.

이 방식이 필요한 이유는 법이 요구하는 **'24 시간 내 사고 탐지'**와 **'공급업체의 실시간 감시'**를 성벽 방식으로는 불가능하기 때문입니다.

4. 구체적인 변화: 5 가지 건축 영역

저자는 이 새로운 설계를 위해 5 가지 영역을 다시 짓고자 합니다.

신원 관리 (Identity): 모든 사람과 기계 (서버, 앱) 의 신원을 계속 확인합니다. (비유: 매번 출입증 체크)
네트워크 분리 (Segmentation): 건물을 여러 개의 작은 방으로 나눕니다. 한 방이 불나도 다른 방으로 번지지 않게 합니다. (비유: 방화벽이 있는 아파트)
데이터 보호 (Data): 중요한 데이터는 어디에 있는지, 누가 접근하는지 계속 추적합니다.
사고 탐지 (Detection): 24 시간 내에 사고를 찾아내야 하므로, 건물의 모든 구석에 CCTV 와 센서를 설치하고 자동으로 경보가 울리게 해야 합니다.
거버넌스 (Governance): 이 모든 것이 법을 지키고 있는지 자동으로 보고하는 시스템을 만듭니다.

5. 금융회사와 유럽 법안 (DORA, NIS2) 의 관계

영국 기업 중 금융회사는 EU 의 DORA 법안과도 동시에 맞서야 합니다.

해결책: "가장 높은 기준"을 따르세요. DORA 가 더 엄격한 4 시간 신고를 요구한다면, 그 기준으로 설계하면 영국의 24 시간 요구사항도 자연스럽게 충족됩니다.
장점: 두 가지 법을 따로따로 준비할 필요 없이, 하나의 강력한 설계로 두 마리 토끼를 다 잡을 수 있습니다.

6. 기업에게 주는 조언 (CISO 와 경영진을 위해)

이 논문은 보안 책임자 (CISO) 들에게 다음과 같이 말합니다:

단순한 규정 준수가 아닙니다: 서류를 채우는 게 아니라, 건물의 설계도 자체를 바꾸는 프로젝트입니다.
지금 바로 시작하세요: 24 시간 내 사고 탐지 시스템은 하루아침에 만들 수 없습니다. 법이 통과되기 전에 미리 준비해야 합니다.
계약서만 믿지 마세요: 외부 업체와 계약서에 "보안 잘 해라"라고 쓰는 것만으로는 부족합니다. 기술적으로 그 업체를 감시할 수 있는 시스템을 갖춰야 합니다.
투자 가치: 이 변화는 비용이 아니라, 해킹으로 인한 막대한 손실과 규제 처벌을 막는 필수 투자입니다.

요약

영국의 새로운 사이버 보안 법안은 **"성벽을 쌓는 시대는 끝났다"**고 선언합니다. 대신 "누구든 절대 믿지 않고, 매번 확인하는 (제로 트러스트)" 새로운 건축 방식을 요구합니다.

이제 기업들은 성문 하나만 지키는 경비원이 아니라, 건물 전체를 실시간으로 감시하고 통제하는 스마트한 보안 시스템을 구축해야만 법을 지키고 살아남을 수 있습니다.

UK 사이버 보안 및 회복력 법안 (CS&R Bill) 의 아키텍처적 함의: 보안 아키텍처 전환을 위한 실무자 가이드

이 논문은 2026 년 영국 의회를 통과할 것으로 예상되는 영국 사이버 보안 및 회복력 (CS&R) 법안이 조직의 보안 아키텍처에 미치는 구조적 영향을 분석하고, 이를 충족하기 위한 실질적인 기술 전략을 제시합니다. 저자 Jonathan Shelby 는 이 법안이 단순한 규제 준수를 넘어, 기존 주위 (Perimeter) 중심의 보안 모델이 구조적으로 위법 상태가 되게 만드는 **'아키텍처 강제 기능 (Architectural Forcing Function)'**으로 작용한다고 주장합니다.

다음은 논문의 문제 정의, 방법론, 주요 기여, 결과 및 의의에 대한 상세한 기술적 요약입니다.

1. 문제 정의 (Problem)

규제와 아키텍처 간의 구조적 불일치: 기존 NIS 규정 (2018 년) 하에서는 정책 문서와 연례 감사를 통해 준수를 증명하는 것이 가능했으나, CS&R 법안은 **지속적인 보증 (Continuous Assurance)**을 요구합니다. 특히 24 시간/72 시간 이중 사고 보고 체계, 관리형 서비스 제공자 (MSP) 및 데이터 센터의 규제 범위 확대, 공급망 보안 의무, 국무 장관의 지시 권한 등은 기존 아키텍처로 대응하기 어려운 새로운 요구사항입니다.
기존 아키텍처의 한계: 대부분의 영국 기업은 주위 (Perimeter) 중심의 신뢰 모델을 기반으로 운영됩니다. 이는 내부 트래픽을 신뢰하고 경계선 (Firewall 등) 에 보안을 집중하는 방식입니다. 그러나 MSP 와 공급망 파트너가 내부 시스템에 깊게 접근해야 하는 현대 환경에서는 이러한 모델이 실패합니다.
감지 및 대응 시간의 제약: 법안은 사고 인지 후 24 시간 내 초기 보고와 72 시간 내 상세 보고를 의무화합니다. 많은 조직의 평균 감지 시간 (MTTD) 이 수 일에서 수 주에 달하는 현실에서, 기존 아키텍처는 이 시간적 제약을 충족할 수 없습니다.
공급망 투명성 부재: Capita, Advanced/NHS, Synnovis/NHS 등 최근 영국에서 발생한 주요 사고들은 공급망 침해가 직접적인 서비스 중단과 인명 피해로 이어졌음을 보여주었습니다. 기존 아키텍처는 공급망 접근을 계약적 문제나 주위 문제로만 간주하여, 아키텍처적 격리와 지속적인 모니터링이 부재했습니다.

2. 방법론 (Methodology)

규정 조항과 아키텍처 요구사항의 체계적 매핑: CS&R 법안의 핵심 조항 (범위 확대, 사고 보고, 공급망 의무, 지시 권한 등) 을 구체적인 기술적 아키텍처 요구사항으로 변환하여 분석했습니다.
Zero Trust Architecture (ZTA) 의 적합성 분석: NIST SP 800-207 에 정의된 제로 트러스트 원칙이 CS&R 법안의 요구사항 (지속적 검증, 최소 권한, 공급망 가시성 등) 과 어떻게 자연스럽게 부합하는지 이론적, 실증적으로 입증했습니다.
참고 아키텍처 (Reference Architecture) 설계: 규제 요구사항을 충족하는 5 가지 도메인 (신원, 네트워크, 데이터, 보안 운영, 거버넌스) 으로 구성된 기술 중립적 아키텍처를 제안했습니다.
다중 규제 정렬 분석: CS&R 법안과 EU 의 DORA, NIS2 규정 간의 중첩되는 요구사항을 분석하여, '최고 공통 분모 (Highest Common Denominator)' 접근법을 통한 통합 준수 전략을 제시했습니다.
성숙도 기반 로드맵 제시: CISA Zero Trust 성숙도 모델을 기반으로 3 단계 (기반, 세그멘테이션 및 통합, 최적화) 에 걸친 점진적인 전환 경로를 제안했습니다.

3. 주요 기여 (Key Contributions)

CS&R 법안을 아키텍처 강제 기능으로 재정의: 법안이 단순한 체크리스트가 아니라, 조직이 보안 인프라를 설계, 배포, 거버넌스하는 방식을 근본적으로 바꾸도록 강제하는 요소임을 규명했습니다.
제로 트러스트 (ZTA) 를 규제 대응의 핵심 전략으로 제시: ZTA 가 유행이 아니라, 법안의 요구사항 (지속적 검증, 공급망 투명성, 신속한 보고) 을 충족하기 위한 유일한 논리적 기술적 기반임을 증명했습니다.
5 도메인 CS&R 준수 참조 아키텍처 제안:
1. 신원 및 접근 거버넌스: MSP 및 공급망 포함 통합 신원 저장소, 속성 기반 접근 제어 (ABAC), 지속적인 인증, PAM.
2. 네트워크 아키텍처 및 세그멘테이션: 마이크로 세그멘테이션, 소프트웨어 정의 주위 (SDP/ZTNA), 동서 방향 (East-West) 트래픽 검사.
3. 데이터 보호 및 분류: 중요 데이터 식별, 데이터 흐름 매핑, DLP.
4. 보안 운영 및 감지: 포괄적인 텔레메트리, 중앙 집중식 SIEM/SOAR, 자동화된 중요도 분류.
5. 거버넌스, 리스크 및 준수 (GRC): 지속적 제어 모니터링, 자동화된 규제 보고.
공급망 보안 아키텍처 패턴 구체화: '브로커드 액세스 (Brokered Access)', '상호 인증 (Mutual Attestation)', '격리된 운영 환경', '공급망 리스크 스코어링' 등 공급망 보안을 계약이 아닌 아키텍처로 구현하는 구체적인 패턴을 제시했습니다.
OT/IT 융합 환경에 대한 실용적 접근: 에너지, 수송 등 운영 기술 (OT) 환경의 제약 (암호화 부재, 가용성 우선) 을 고려하여, IT/OT 경계에서의 제로 트러스트 적용 전략을 제안했습니다.

4. 결과 및 결과물 (Results)

규제 요구사항과 ZTA 원칙의 정합성 입증:
- MSP 규제 $\rightarrow$ 지속적인 인증 및 권한 부여 (Never Trust, Always Verify)
- 24 시간 보고 $\rightarrow$ 지속적인 모니터링 및 이상 감지 (Assume Breach)
- 공급망 의무 $\rightarrow$ 마이크로 세그멘테이션 및 격리 (Least Privilege)
- 지시 권한 $\rightarrow$ API 기반 정책 강제 및 신속한 변경 (Continuous Verification)
통합 준수 프레임워크: CS&R, DORA, NIS2 의 요구사항을 통합하여, DORA 의 더 엄격한 4 시간 보고 기준을 충족하면 CS&R 의 24 시간 기준도 자동으로 충족되는 등, 병렬 프로그램 유지 비용을 절감하는 통합 아키텍처를 설계했습니다.
NCSC 사이버 평가 프레임워크 (CAF) v4.0 매핑: 제안된 아키텍처가 CAF 의 4 가지 목표 (A: 리스크 관리, B: 보호, C: 감지, D: 영향 최소화) 를 기술적으로 어떻게 충족하는지 명확히 매핑하여, 규제 당국에 대한 검증 가능성을 높였습니다.
3 단계 전환 로드맵:
- 1 단계 (0-12 개월): 자산 인벤토리, 로그 집계, SIEM 강화, PAM 도입.
- 2 단계 (12-24 개월): 마이크로 세그멘테이션, ZTNA 도입, 공급망 리스크 스코어링.
- 3 단계 (24-36 개월): 완전한 ABAC, 행동 분석, 상호 인증, 아키텍처 민첩성 확보.

5. 의의 및 시사점 (Significance)

CISO 의 역할 변화: CISO 는 단순한 기술 관리자가 아닌, 이 법안이 가져오는 규제적 리스크 (과태료, 지시 권한) 와 비즈니스 연속성을 연결하는 전략적 비즈니스 파트너로 역할이 변화해야 함을 강조합니다.
계약에서 아키텍처로의 패러다임 전환: 공급망 보안을 계약 조건이나 연례 설문지로만 관리하는 것은 더 이상 유효하지 않으며, **아키텍처적 통제 (Continuous Visibility, Session Recording, Isolation)**를 통해 공급망 리스크를 관리해야 함을 시사합니다.
선제적 대응의 중요성: 법안이 공포 (Royal Assent) 되기 전, 2026 년 하위 입법 (Secondary Legislation) 이 발표되기 전에 아키텍처 전환을 시작해야만 24 시간 보고 의무 등 운영적 요구사항을 충족할 수 있음을 경고합니다.
실질적 회복력 (Resilience) 달성: 규제 준수를 위한 비용 지출이 아니라, 아키텍처적 성숙도를 높여 실제 사이버 위협에 대한 조직의 회복력을 강화하는 투자로 접근해야 함을 역설합니다.

이 논문은 UK CS&R 법안이 단순한 규제 변경이 아닌, 영국 기업들의 보안 아키텍처를 **제로 트러스트 (Zero Trust)**로 근본적으로 재설계하도록 강제하는 전환점임을 명확히 보여주며, 이를 위한 구체적인 기술적 로드맵을 제공합니다.