IT조선은 독자들이 이해하기 어려웠던 보안 용어와 개념을 보다 쉽게 풀어 설명하는 ‘보안TMI(Too Much Information)’ 코너를 새롭게 마련했습니다. 매주 주제를 선정해 개념은 물론 기사에 담지 못했던 배경과 맥락까지 짚어드립니다. 독자들이 보안 관련 뉴스를 보다 명확하게 이해할 수 있도록 돕겠습니다. [편집자 주]

사무실 밖에서도 사내망에 원격으로 접속하기 위한 수단으로 ‘가상사설망(VPN)’ 기술이 오랫동안 쓰였다. 문제는 개인의 VPN 계정이 탈취되거나 VPN 장비 자체의 취약점이 악용될 때다. 공격자가 VPN을 발판으로 일단 내부망에 들어오면 여러 시스템으로 접근 범위를 넓힐 수 있다.

이러한 약점을 줄이기 위해 등장한 방식이 ‘제로 트러스트 네트워크 접근(ZTNA·Zero Trust Network Access)’이다. ZTNA는 사용자를 내부망 전체에 연결하지 않는다. 신원, 기기 상태, 접속 위치, 권한을 확인한 뒤 업무에 필요한 애플리케이션에만 접근을 허용한다. 회사 건물 전체 출입증을 주는 대신, 특정 회의실 문만 열리는 출입증을 주는 방식이다.

소프트웨어 정의 경계(SDP·Software-Defined Perimeter)는 접속 대상 자체를 숨기는 방식으로 접근한다. 접속이 허용되기 전까지 애플리케이션이나 서버를 외부에 드러내지 않는다. 사용자가 먼저 신원을 증명하고 정책을 통과해야 서비스 위치와 접속 경로가 열린다. 허가받지 못한 사용자는 해당 시스템이 있는지조차 알기 어렵다.

ZTNA와 SDP가 바라보는 방향은 같다. 사용자가 내부망에 들어왔다는 이유만으로 믿지 않으며 필요한 자원에만 접근을 허용한다. VPN이 사내망으로 들어오는 전용 터널이라면, ZTNA와 SDP는 애플리케이션별로 문을 여는 방식이다. 공격자가 계정을 훔쳐 들어와도 접근 가능한 영역을 제한하고 외부에 노출되는 공격 표면도 줄이는 것이 목적이다.

차이는 용어가 쓰이는 층위에 있다. ZTNA는 제로 트러스트 원칙을 적용한 접근 보안 모델이나 서비스 범주로 쓰인다. 사용자가 어떤 애플리케이션에 접근할 수 있는지를 판단하고 조건에 맞을 때만 연결한다. 이에 비해 SDP는 인증과 권한 확인 전까지 접근 대상을 보이지 않게 숨기는 구현 방식에 더 가깝다.

다만 시장에서는 두 용어가 겹쳐 쓰이는 경향이 있다. 많은 ZTNA 제품이 SDP 개념을 구현 방식으로 활용하기 때문이다. 쉽게 말해 ZTNA는 “누가 어떤 앱에 접근해도 되는가”를 따지는 접근 제어 방식이고, SDP는 “허가받기 전까지 앱과 서버를 보이지 않게 숨기는 경계 기술”이다.

기업은 VPN을 없앨지 말지가 아니라, 접근 방식을 어떻게 바꿀지를 먼저 봐야 한다. 모든 사용자를 내부망에 접근할 수 있도록 허용하는 대신 사용자와 기기 상태를 확인하고, 필요한 애플리케이션에만 연결해야 한다. 관리자 계정이나 중요 업무 시스템에는 더 강한 인증과 권한 정책을 적용해야 한다. 원격근무, 협력사의 우리 망 접속, 클라우드 업무 같은 유형이 늘수록 이런 접근은 더 필요해진다.

다만 ZTNA와 SDP 솔루션을 도입한다고 해서 VPN의 모든 문제가 자동으로 해결되지는 않는다. 신원 관리가 부실하거나 기기 상태 확인이 제대로 이뤄지지 않으면 접근 통제도 흔들린다. 어떤 애플리케이션을 누구에게 열어줄지 정리하지 못하면 운영 복잡성도 커진다. 핵심은 내부망 전체 접속을 필요한 앱 단위 접근으로 바꾸는 데 있다.

정종길 기자
jk2@chosunbiz.com

• “롯데월드타워가 ‘헤네시스’ 됐다”… 잠실서 열린 ‘메이플 축제’ [가보니]
• “찾아주는 AI 아니고 처리하는 AI”…실행형 에이전트 경쟁
• 삼성물산, 압구정4구역 시공사 선정… 2조원대 재건축 수주
• “2만원대 요금제 출시 임박” 통신사, 보조금 살포 ‘고가요금제’ 알박기
• ‘철근누락’ 이한우 “질책해달라”… 현대건설 책임은 어디까지?