[NetSec-KR 2026] "AI가 넓힌 공격면, 해법은 제로트러스트"

가천대학교 스마트보안학과 이석호 교수

NetSec-KR 2026 제32회 정보통신망 정보보호 컨퍼런스가 4월 16일과 17일 서울 삼성동 코엑스 컨퍼런스룸(남)에서 열렸다. 한국인터넷진흥원(KISA)이 주최하고 한국정보보호학회(KIISC)가 주관한 이번 행사에서 가천대학교 스마트보안학과 이석호 교수는 ‘제로트러스트 최신 동향과 국내 적용 방안’을 주제로 강연을 진행했다.

제로트러스트는 더 이상 낯선 개념이 아니지만, 실제로 어떻게 적용할 것인지는 여전히 가장 뜨거운 과제다. 이 교수는 제로트러스트를 단순한 보안 구호가 아니라, 한 번 로그인했다고 계속 신뢰를 주는 방식을 버리고 사용자와 기기, 애플리케이션, 데이터, 네트워크를 계속 검증하는 구조라고 설명했다.

내부망에 들어왔다는 이유만으로 넓은 권한을 주는 방식은 이미 한계를 드러냈고, 이제는 접속 이후에도 이 사용자가 정상인지, 이 기기가 관리되는 자산인지, 접근 대상이 민감한 자원인지, 요청이 평소와 다른지까지 확인해야 한다는 것이다.

이 교수는 이어 예전에는 외부와 내부를 나누고 VPN이나 방화벽으로 경계를 세우는 방식이 어느 정도 통했다. 하지만 지금은 계정 탈취, 세션 하이재킹, API 악용, 클라우드 오설정, 내부자 권한 오남용이 동시에 벌어지는 시대다. 정상 계정으로 로그인했더라도 그 뒤의 행위까지 모두 안전하다고 볼 수 없다는 것이다. 그래서 제로트러스트는 인증 강화에만 머무르지 않고, 인증 이후의 접근과 행위를 다시 점검하는 운영 체계가 돼야 한다고 그는 강조했다.

기술 설명도 이어졌다. 사용자 영역에서는 다단계 인증(MFA)과 최소 권한이 기본이다. 그러나 그것만으로는 충분하지 않다. 기기 영역에서는 단말이 정책에 맞게 관리되고 있는지, 보안 패치가 적용됐는지, 이상 징후가 없는지를 함께 봐야 한다.

애플리케이션과 워크로드 영역에서는 서버, 가상머신, 컨테이너, API 간 통신까지 검증해야 한다. 데이터는 저장 구간과 전송 구간 모두에서 보호돼야 하며, 민감도에 따라 접근 수준도 달라져야 한다.

이 교수는 결국 제로트러스트가 인증 기술 하나가 아니라 아이덴티티, 엔드포인트, 네트워크, 데이터 보호, 로그 분석, 정책 집행을 함께 묶는 운영 모델이라고 설명했다.

미국은 선언을 넘어 실행 단계로 진입

미국 정부와 국방 분야 사례도 소개됐다. 이 교수는 미국 연방정부가 이미 제로트러스트를 구체적인 실행 과제로 밀어붙이고 있다고 설명했다. 다단계 인증, 엔드포인트 탐지 및 대응(EDR), 로그 관리, 암호화, 클라우드 통제 같은 요소를 실제 과제로 요구하고, 기관별로 단계적 전환을 추진하고 있다는 것이다.

이는 네트워크 안으로 들어왔는지만 보는 방식이 아니라, 누가 어떤 자원에 어떤 상태로 접근하고 있는지 계속 확인하는 구조로 넘어가고 있다는 뜻이다.

또 이 교수는 CISA가 각 기관이 따라갈 수 있는 성숙도 모델을 제시하고, 아이덴티티, 디바이스, 네트워크, 애플리케이션, 데이터 영역을 단계적으로 고도화하는 방향을 잡고 있다고 설명했다.

핵심은 어떤 제품을 몇 개 도입했느냐가 아니라, 각 영역에서 신뢰를 얼마나 지속적으로 검증하고 정책 기반으로 통제하느냐에 있다는 것이다. 국방부의 경우는 사용자, 기기, 애플리케이션, 데이터, 네트워크, 자동화, 가시성, 거버넌스까지 세부 영역으로 나눠 더 촘촘한 체계를 설계하고 있다고 했다.

특히 네트워크를 잘게 나누는 마이크로세그멘테이션은 한 구간이 침해되더라도 다른 구간으로 공격이 쉽게 번지지 못하게 막는 방식이다. 내부망 전체를 하나의 신뢰 구역으로 보던 예전 방식과는 확실히 다르다.

AI와 OT까지 넓어진 제로트러스트

이어 이 교수는 AI 확산이 제로트러스트의 필요성을 더 키우고 있다고 진단했다. 생성형 AI와 AI 에이전트가 업무 시스템, 외부 도구, 내부 데이터, API를 연결하는 구조가 늘면서 사람 계정만 보호해서는 부족해졌다는 것이다.

이제는 서비스 계정, 토큰, 인증서, API 키, 워크로드 권한 같은 사람 아닌 주체까지 함께 관리해야 한다고 했다. 권한이 과도하게 부여된 자동화 계정 하나만 공격자에게 넘어가도 피해가 크게 확산할 수 있기 때문이다.

운영기술(OT)에 대한 설명도 이어졌다. 이 교수는 산업제어시스템과 각종 현장 장비는 일반 IT처럼 다루기 어렵다고 했다. 장비 수명이 길고, 패치 적용이 쉽지 않으며, 무엇보다 멈추지 않고 돌아가야 하기 때문이다.

그래서 OT 환경에서는 모든 장비를 한 번에 바꾸기보다 자산 식별, 네트워크 세분화, 원격 접속 통제, 이상 행위 탐지, 공급망 신뢰 검증 같은 보호 장치를 단계적으로 쌓아야 한다고 설명했다.

제로트러스트가 사무 환경을 넘어 산업 현장과 중요 기반시설까지 확장되고 있다는 점을 보여준 것이다.

국내에서도 제로트러스트 가이드라인과 실증 사업이 이어지고 있지만, 미국의 체계를 그대로 옮겨와서는 현실과 맞지 않을 수 있다. 공공과 금융의 규제 환경, 망분리 관행, 제조업과 OT 비중, 위탁 운영 구조, 중소기업 중심 생태계가 다르기 때문이다.

국내에서는 전면 교체보다 단계적 전환이 현실적이며, 자산 식별과 계정·권한 정비, MFA 확대, EDR 적용, 로그 가시성 확보, 네트워크 세분화, 데이터 보호 정책을 차례로 쌓아가는 접근이 필요할 것으로 보인다.