인공지능(AI)이 도입이 지지부진한 제로 트러스트(Zero Trust) 전략을 확산하는 촉매제가 될 전망이다.
사이버위협연합(CyberRisk Alliance)이 내놓은 ‘제로 트러스트' 보고서에 따르면 관련 개념이 한국보다 먼저 확산된 미국에서 조차 제로 트러스트를 구현한 조직은 30% 미만인 것으로 나타났다.
보안 담당자들은 제로 트러스트의 필요성은 인정하지만 실제로 적용은 쉽지 않다고 입을 모은다.
포레스터 리서치 분석가 존 킨더백이 15년 전 주창한 제로 트러스트.
제로 트러스트는 아무것도 신뢰하지 않는다’는 것을 기본 전제로 삼는 보안 전략이다. 특정한 보안 제품이나 서비스를 뜻하지 않는다. 과거 보안은 외부로 부터 내부망으로 들어오는 경계를 철저히 지키는데 집중했다. 이와 달리 제로 트러스트는 신뢰하는 내부자나 단말기라도 접근하는 애플리케이션과 데이터에 따라 철저하게 다시 한번 검증하고 권한을 부여하는 방법이다.
조직 사이버 보안을 위한 근본적인 전략으로 떠올랐지만 일선에서는 이를 적용하는데 어려움을 겪고 있다.
보고서는 15년째 정착되지 않는 제로 트러스트가 AI의 효과를 볼 것으로 예측했다.
AI는 사이버 공격을 식별하고 사용자 행동과 네트워크 활동 패턴을 밝히는 역할을 한다. AI는 그동안 정적인 운영 환경이었던 사이버 보안을 적응 가능한 보안으로 전환하는데 도움을 준다.
예를 들어, AI는 실시간 위험을 평가해 사용자 권한을 자동 조정한다. 사고 대응을 자동화한다. 사용자 활동과 위협 사고를 학습하면서 시간이 지남에 따라 대응력이 높아진다.
AI는 조직내 보안 정책 위반 시도를 빠르게 식별한다. 네트워크 패턴과 사용자 행동, 상황을 파악한다. 피싱 이메일에서 비정상적인 텍스트 패턴을 탐지하는 것은 생성 AI 기술을 제로 트러스트와 통합해 얻을 수 있는 가장 큰 이점이다.
보고서는 그동안 제로 트러스트가 제대로 구현되지 않는건 비용과 복잡성, 생산성 저하 가능성, 기존 레거시 IT시스템 등이 작용하기 때문이라고 분석했다.
보안담당자가 제로 트러스트를 조직에 구현하려면 높은 비용 문제에 직면한다. 제로 트러스트는 특정 제품이나 서비스를 도입한다고 해결되는 문제가 아니다. 조직 전체가 보유한 자산을 정리한 후 이에 맞춰 접근 가능한 단말과 사용자에 권한을 부여해야 한다.
이 과정에서 신규 서비스와 도구의 도입이 필요하다. 보안 담당자는 이에 대한 예산을 확보하는데 어려움을 겪고 있다. 제로 트러스트가 기존 레거시 IT시스템을 전면 교체해야하지는 않지만 일부 전환이 필요하다.
또 다른 문제는 제로 트러스트 구현의 복잡성이다. 보안담당자들은 제로 트러스트 전략을 구현하며 조직원들이 겪게될 워크플로우(workflow)와 프로세스 변화, 생산성 저하 등의 문제에 직면한다. 조직 내 제로 트러스트 구현을 위해선 접근 권한과 사용자 환경(UI)가 필요하다. 이에 대한 불편함이나 거부감을 호소하며 업무 생산성 저하 문제를 제기한다.
