Zero Trust for IT Governance and Risk Management: A Systematic Review and Conceptual Framework

거대한 디지털 요새의 해체

인터넷을 거대하고 북적이는 도시라고 상상해 보세요. 수십 년 동안 우리가 이 도시를 안전하게 지키는 방법은 도심 주변에 거대하고 난공불락인 성벽을 쌓는 것이었습니다. 이것이 바로 "전통적인 보안 모델"이었습니다. 만약 당신이 도시 문을 통과할 수 있는 배지를 가지고 있다면, 당신은 완전히 신뢰받았습니다. 당신은 누구에게 다시 신분증을 제시할 필요 없이 어디든 걸어 다니고, 누구와도 대화하며, 무엇이든 만질 수 있었습니다. 그것은 마치 만료되지 않는 VIP 패스를 가진 것과 같았습니다.

하지만 그 후, 도시는 변했습니다. 사람들은 비밀 터널을 만들기 시작했고, 성벽 위로 드론을 날렸으며, 도시 경계 밖의 커피숍에서 업무를 보기 시작했습니다. "성벽"은 더 이상 의미가 없게 되었습니다. 도시는 더 이상 한 곳에 머물지 않고 어디에나 존재하게 되었기 때문입니다. 여기서 **제로 트러스트(Zero Trust)**가 등장합니다. 제로 트러스트를 건물의 모든 문, 엘리베이터, 복도마다 서 있는 매우 엄격한 가드(bouncer)라고 생각해보세요. 이 새로운 세상에서는 건물 안에 있다고 해서 신뢰를 받는 것이 아닙니다. 설령 옆 방으로 이동하는 중이라 할지라도, 문을 열려고 할 때마다 자신이 누구인지 매번 증명해야 합니다. 이것은 "절대 신뢰하지 말고, 항상 검증하라"라고 말하는 철학입니다.

이 논문은 이 새로운 "가드" 시스템이 조직이 위험을 관리하고 디지털 삶을 운영하는 방식을 어떻게 바꾸는지에 대한 거대한 탐정 소설입니다. 연구자들은 알고 싶었습니다. 이 엄격하고 지속적인 점검이 실제로 기업들을 더 안전하게 만들고 규정을 더 잘 준수하게 만드는가? 그들은 단순히 추측하지 않았습니다. 그들은 이 증거들이 무엇을 말하는지 확인하기 위해 73개의 서로 다른 연구를 수집하고 분석했습니다.

거대한 디지털 탐정 찾기

이 논문의 저자인 예멘, 인도 및 기타 지역의 대학 연구진은 한 걸음 물러나 전체적인 그림을 살펴보기로 했습니다. 그들은 스스로 새로운 보안 시스템을 구축하는 대신, 디지털 사서이자 탐정 역할을 하기로 했습니다. 그들은 2020년부터 2026년 초 사이에 발표된 진지한 연구를 찾기 위해 세계 최대의 학술 라이브러리(Scopus 및 Google Scholar 등)를 샅샅이 뒤졌습니다. 그들은 "제로 트러스트"와 그것이 기업의 위험 관리 및 의사 결정에 어떤 영향을 미치는지에 대한 이야기를 찾고 있었습니다.

중복되었거나, 동료 검토(peer-reviewed)를 거치지 않았거나, 기준에 맞지 않는 1,933개의 연구를 걸러내는 엄격한 필터링 과정을 거친 후, 최종적으로 73개의 연구라는 "명예의 전당"이 남았습니다. 이 73개의 논문은 그들이 이해를 구축하는 데 사용한 황금 같은 자료였습니다.

그들이 발견한 것: "항상 확인하는" 혁명

그들의 조사에서 얻은 핵심 결론은 제로 트러스트가 확실히 게임 체인저이지만, 마법의 지팡이는 아니라는 점입니다. 논문은 이 "항상 검증하는" 시스템으로 전환하는 것이 조직을 세 가지 주요 방식으로 돕는다고 제안합니다:

1. 기습 공격을 막는다: 과거에는 해커가 정문을 통과하면 건물 전체를 자유롭게 돌아다닐 수 있었습니다. 제로 트러스트 체제에서는 건물이 작은 잠긴 방들로 나뉩니다("마이크로 세그멘테이션"이라고 불리는 개념). 만약 해커가 주방에 침입하더라도, 바로 옆에 있는 서버실으로 걸어 들어갈 수는 없습니다. 논문은 이것이 악의적인 행위자가 내부로 침입했을 때 움직일 수 있는 범위를 현저히 제한한다고 밝히고 있습니다.
2. 불을 더 밝게 밝힌다: 이 시스템은 조직이 모든 것을 지속적으로 감시하도록 강제합니다. 이는 단순히 녹화만 하는 것이 아니라 모든 움직임을 분석하는 보안 카메라를 두는 것과 같습니다. 이는 기업이 문제를 더 빨리 포착하고 정확히 어디에 위험이 있는지 이해하는 데 도움을 줍니다.
3. 규칙 준수를 돕는다: 제로 트러스트는 매우 조직적이며 누가, 언제, 무엇을 했는지에 대한 상세한 로그를 남기기 때문에, 기업이 법률 및 규정(GDPR 또는 ISO 표준 등)을 준수하고 있음을 증명하기 훨씬 쉽습니다.

하지만 저자들은 이것이 "플러그 앤 플레이(구매 즉시 사용 가능한)" 솔루션이 아니라는 점을 주의 깊게 지적합니다. 논문은 단순히 소프트웨어 한 조각을 구매하고 끝낼 수 있다는 생각에 명시적으로 반대합니다. 그들은 제로 트러스트의 성공이 문화에 크게 달려 있다는 것을 발견했습니다. 만약 회사 사람들이 변화를 원하지 않거나, 리더들이 지속적인 점검을 지원하지 않는다면, 시스템은 실패합니다. 이는 매우 엄격한 가드를 두었지만, 직원들이 신분증 없이 친구들을 계속 들여보내고 있다면 전체 시스템이 무너지는 것과 같습니다.

"사회-기술적" 퍼즐

논문이 발견한 가장 흥미로운 사실 중 하나는 제로 트러스트가 단순한 기술 그 이상이며, 사람, 규칙, 그리고 도구의 혼합이라는 점입니다. 연구자들은 이를 "사회-기술적 패러다임(socio-technical paradigm)"이라고 부릅니다.

그들은 인공지능(AI)이나 블록체인 같은 기술이 멋지고 유용하지만, 종종 문제를 일으키는 것은 인간적인 측면이라는 것을 발견했습니다. 예를 들어, 논문은 중소기업(SME)이 이러한 복잡한 시스템을 구축할 자금이나 전문가가 부족하기 때문에 어려움을 겪는 경우가 많다고 언급합니다. 증거에 따르면 대기업은 이 분야에서 숙련되어 가고 있는 반면, 소규모 기업들은 여전히 방법을 찾아가는 중입니다.

또한 논문은 세상이 빠르게 움직이고 있다는 점을 강조합니다. 인공지능(AI)과 같은 새로운 기술이 "가드"들이 더 빠르게 작동하도록 돕고, 공격이 발생하기 전에 예측하는 데 사용되고 있습니다. 하지만 저자들은 AI 자체가 새로운 위험을 가져올 수 있으며, 우리가 AI를 어떻게 사용하는지에 대해 주의해야 한다고 경고합니다.

결론: 새로운 사고방식

그렇다면 최종 결론은 무엇일까요? 이 논문은 제로 트러스트가 보안 통제와 기업의 거시적 목표 사이의 점들을 어떻게 연결하는지를 보여주는 새로운 프레임워크(일종의 청사진)를 제안합니다.

저자들은 제로 트러스트가 미래이지만, 그것은 목적지가 아닌 여정이라고 제안합니다. 그것은 보안을 정적인 벽에서 실시간으로 위협에 적응하는 역동적이고 살아있는 시스템으로 변화시킵니다. 그러나 저자들은 이것이 모든 상황에 적용되는 보장된 사실이 아니라, 현재의 증거에 의해 제안된 것임을 분명히 합니다. 효과는 조직의 성숙도와 문화적 변화를 얼마나 잘 다루느냐에 따라 달라집니다.

요약하자면, 이 논문은 "성벽 안의 모든 사람을 신뢰한다"는 옛날 방식은 죽었다고 말합니다. 새로운 규칙은 "아무도 믿지 말고, 모두를, 항상 검증하라"입니다. 하지만 이것이 제대로 작동하려면 코드 이상의 것이 필요합니다. 시스템을 믿는 팀과 이를 뒷받침하는 문화가 필요합니다. 연구는 만약 조직이 이를 제대로 해낸다면, 해커를 막고, 위험을 관리하며, 디지털 세계의 규칙을 준수하는 데 훨씬 더 유리할 것이라고 시사합니다.