Towards Zero Trust Architecture: A Pilot Study on Information Systems Security Readiness amongst Small and Medium Enterprises

이 연구 논문에 대한 설명을 일상적인 언어와 창의적인 비유로 번역한 것입니다.

큰 그림: 왜 이 연구가 중요한가

디지털 성을 지키려는 중소기업 (SME) 을 상상해 보세요. 수년 동안 그들은 부동산을 둘러싼 높은 돌담 (전통적 보안) 에 의존해 왔습니다. 그 아이디어는 다음과 같았습니다. "담장 밖이면 나쁜 사람이고, 안이면 좋은 사람이다."

하지만 해커는 담장을 넘어오거나 뒷문을 통해 슬그머니 들어올 수 있는 닌자 도둑과 같습니다. 일단 안으로 들어오면 그들은 성 안을 자유롭게 돌아다니며 원하는 것을 모두 훔쳐갈 수 있습니다. 이것이 바로 "바깥은 강하고 안은 약한" 구식 모델이 실패하는 이유입니다.

이제 제로 트러스트 아키텍처 (ZTA) 가 등장합니다. 거대한 담장 대신 ZTA 는 성 안의 모든 문 앞에 서 있는 바운서와 같습니다. 복도에 서 있든 마당에 서 있든 상관없이, 문 하나를 열 때마다 신원을 확인하고 그곳에 속해 있음을 증명해야 합니다.

문제점: 대기업들은 이 "바운서 시스템"을 구축할 군대와 무제한 예산을 보유하고 있습니다. 하지만 중소기업 (SME) 은 종종 최소한의 인력과 빡빡한 예산만 가지고 있습니다. 그들은 요새를 짓도록 요청받지만, 정작 손에 쥐고 있는 도구는 정원 문용에 불과합니다.

이 논문은 다음과 같은 질문을 던집니다: 중소기업들은 이 새로운 "바운서 시스템"이 필요하다는 사실을 알고 있을까요? 무엇을 그들이 이를 구축하는 것을 막고 있을까요? 그리고 파산하지 않고 어떻게 시작할 수 있을까요?

---

연구: 파일럿 테스트

연구자들 (유 덩과 아누시아 인티란) 은 단순히 추측하지 않았습니다. 그들은 아시아 - 태평양 지역의 IT 및 보안 전문가 64 명에게 질문했습니다. 전체 함대를 건설하기 전에 차가 어떻게 핸들링되는지 확인하기 위한 "테스트 드라이브"나 파일럿 연구라고 생각하세요.

그들은 중소기업과 대기업의 도전 과제가 다른지 확인하기 위해 두 기업을 비교했습니다.

주요 발견 (우리가 찾은 것)

1. "친숙함" 요인

이 연구는 제로 트러스트에 대한 지식과 사용을 원하는 의지 사이에 강한 연관성이 있음을 발견했습니다.

• 비유: 새로운 하이테크 에스프레소 머신을 구매할지 말지 결정한다고 상상해 보세요. 그것이 어떻게 작동하고 어떤 커피를 만드는지 정확히 알고 있다면, "이게 필요해!"라고 말할 가능성이 훨씬 높습니다. 만약 들어본 적이 없다면, 아마도 낡은 드리프 커피 머신에 머무르겠죠.
• 결과: 중소기업들이 제로 트러스트를 더 잘 이해할수록, 그것이 필요하다고 느낄수록 그 필요성을 더 강하게 느꼈습니다.

2. 클라우드 연결

데이터를 로컬 서버가 아닌 온라인에 저장하는 클라우드 컴퓨팅에 크게 의존하는 기업들은 제로 트러스트에 대한 필요성을 더 강하게 느꼈습니다.

• 비유: 보물을 집 안의 금고가 아니라 은행 금고 (클라우드) 에 보관한다면, 다른 종류의 보안 계획이 필요합니다. 연구에 따르면 기업이 "클라우드"에 더 많이 의존할수록, 이러한 디지털 자산을 보호하기 위해 "바운서 시스템"이 필요하다는 사실을 더 많이 깨닫습니다.

3. 장애물 (장벽)

연구자들은 비용, 기술 부족, 구식 소프트웨어 등 긴 문제 목록이 중소기업의 제로 트러스트 도입을 막을 것이라고 예상했습니다.

• 놀라운 점: 문제 목록이 제로 트러스트가 필요하다는 생각 자체를 막지는 못했습니다. 그것은 단지 "약한" 부정적 요인이었을 뿐입니다.
• 실제 난관: 중소기업에게 가장 큰 두 가지 골치 아픈 문제는 다음과 같습니다:
  1. IAM 복잡성: "신원 및 액세스 관리 (Identity and Access Management)"를 관리하는 것은 서로 다른 열쇠를 가진 모든 사람이 포함된 거대한 손님 명단을 정리하는 것과 같습니다. 그리고 누군가 합류하거나 떠날 때마다 이를 업데이트해야 합니다. 작은 팀에게는 악몽입니다.
  2. 확장성: 중소기업들은 다음과 같이 걱정합니다. "우리가 10 명에서 50 명으로 성장하면 이 시스템이 무너지지 않을까?" 시스템이 자신들에게 맞춰 늘어나지 않을까 봐 두려워합니다.

4. 소규모 vs 중규모 vs 대규모

이 연구는 "소규모" 기업 (1050 명) 과 "중규모" 기업 (50250 명) 이 다르게 느끼는지 확인했습니다.

• 결과: 아니요, 그렇지 않았습니다. 두 그룹 모두 제로 트러스트에 대한 필요성을 거의 동일하게 느꼈습니다. 규모 차이가 사고방식을 바꾸지는 않았지만, 소규모 그룹은 장벽의 수에 대해 약간 더 압도감을 느꼈습니다.

---

제안된 해결책: 3 단계 사다리

중소기업이 하룻밤 만에 온전한 요새를 지을 수는 없으므로, 저자들은 안전하게 제로 트러스트까지 올라갈 수 있는 **3 단계 "사다리"**를 제안합니다.

• 1 단계: 신분증 단계 (신원 거버넌스)

  • 할 일: 누가 무엇을에 접근할 수 있는지 정리하는 것부터 시작하세요. 모두에게 고유한 ID 가 있는지 확인하고, 누군가 회사를 떠날 때 즉시 그 열쇠를 회수하세요.
  • 이유: 이것이 기초입니다. 누가 손님인지 모르면 바운서를 둘 수 없습니다.

• 2 단계: VIP 실 단계 (고부가가치 자산 분할)

  • 할 일: 성 안의 모든 방을 잠그려고 하지 마세요. 가장 가치 있는 물건 (고객 데이터나 재무 기록 등) 이 있는 방만 잠그세요.
  • 이유: 건물 전체를 한 번에 지키는 것보다 보물상자를 지키는 것이 더 쉽습니다.

• 3 단계: 망루 단계 (타겟 모니터링)

  • 할 일: 방금 잠근 중요한 시스템에서만 의심스러운 행동을 감시하기 시작하세요.
  • 이유: 아직 건물 전체를 24 시간 감시하는 보안 카메라 팀이 필요하지 않습니다. VIP 실만 지켜보세요.

결론

이 논문은 데이터에 대한 초기 조망인 "파일럿 연구"이므로 최종 답변은 아닙니다. 그러나 중소기업들이 제로 트러스트로 이동할 준비가 되어 있지만, 거대 기업을 위한 거대하고 비싼 청사진보다는 단계별 가이드가 필요하다는 것을 시사합니다.

그들이 신원 관리로 시작하여 가장 가치 있는 데이터를 보호한 다음, 마지막으로 모니터링을 추가한다면 압도당하지 않고 안전한 미래를 구축할 수 있습니다.

간단히 말해: 오늘 거대한 고층 건물을 지을 필요는 없습니다. 튼튼한 문을 만들고, 금고에 잠금장치를 걸고, 그것을 지켜보세요. 이것이 중소기업이 제로 트러스트 여정을 시작하는 방법입니다.