[NetSec-KR 2026] "클라우드 보안, 이제는 제로트러스트로 다시 짜야 한다...

부산대학교 최윤호 교수

한국인터넷진흥원(KISA) 주최, 한국정보보호학회(KIISC) 주관으로 4월 16일부터 17일까지 서울 삼성동 코엑스 컨퍼런스룸에서 열린 NetSec-KR 2026에서는 AI 전환 시대를 뒷받침할 보안 기초 체계를 점검하는 다양한 강연이 이어졌다. 이 가운데 부산대학교 최윤호 교수는 ‘클라우드 보안 위협 대응을 위한 제로트러스트 보안 강화’를 주제로 무대에 올라, 클라우드 중심 업무 환경에서 왜 보안 체계를 다시 설계해야 하는지를 짚었다.

최 교수는 먼저 지금의 보안 환경이 과거와 완전히 달라졌다고 설명했다. 기업 시스템이 내부 전산망 중심으로 운영되던 시기에는 안과 밖을 나누는 방식이 어느 정도 통했지만, 지금은 클라우드와 원격근무, 모바일 기기, SaaS, API 기반 서비스가 일상화되면서 그런 경계가 사실상 무너졌다는 것이다. 그는 이제는 내부망에 있다는 이유만으로 신뢰하는 방식에서 벗어나, 사용자와 기기, 접속 위치, 권한 상태를 계속 확인하는 방향으로 전환해야 한다고 강조했다.

최 교수는 제로트러스트를 단순한 제품 이름이나 유행어가 아니라, 보안의 기본 가정을 바꾸는 모델로 설명했다. 핵심은 누구도 자동으로 믿지 않는 것이다. 한 번 로그인했다고 해서 계속 같은 수준의 신뢰를 주는 것이 아니라, 접속 순간마다 다시 확인하고 필요한 범위까지만 접근하게 해야 한다는 의미다. 그는 제로트러스트의 핵심 요소로 지속 검증, 최소 권한, 침해를 전제로 한 대응, 자산과 권한의 세분화 관리를 제시했다.

특히 많은 조직이 로그인 절차만 강화하면 안전해진다고 생각하지만, 실제 공격은 인증 이후 단계에서 더 많이 벌어진다고 설명했다. 공격자가 계정을 탈취한 뒤 과도하게 부여된 권한을 이용하거나, 세션을 악용해 내부 자원으로 이동하는 사례가 많기 때문이다. 이 때문에 다중인증만으로는 충분하지 않으며, 접속 기기의 상태, 행위 이상 여부, 요청 대상 자산의 중요도까지 함께 확인해야 한다고 말했다.

제로트러스트, 로그인 이후까지 계속 확인해야

그는 제로트러스트가 필요한 이유를 업무 환경 변화와 연결해 설명했다. 재택근무와 외부 협업이 늘고, 기업의 핵심 데이터와 서비스가 클라우드 위에서 운영되면서 계정 하나, 권한 하나의 문제가 전체 시스템 위험으로 이어질 수 있게 됐다는 것이다. 결국 보안은 특정 장비를 더 들이는 문제가 아니라, 누가 어떤 자원에 왜 접근하는지를 세밀하게 통제하는 구조 문제라고 정리했다.

클라우드 보안 사고, 복잡한 공격보다 기본 관리 실패가 더 위험

최 교수는 클라우드 환경에서 자주 나타나는 보안 문제로 잘못된 설정, 과도한 권한 부여, 외부에 노출된 서비스, 취약한 계정 관리, 안전하지 않은 인터페이스와 API 문제를 꼽았다. 그는 이런 문제들이 대단히 복잡한 해킹 기술보다도 운영 미숙과 관리 부실에서 시작되는 경우가 많다고 설명했다. 다시 말해 클라우드 보안의 첫걸음은 최신 공격 기법을 쫓는 것만이 아니라, 지금 운영 중인 자산과 권한, 설정 상태를 제대로 아는 데 있다는 뜻이다.

강연에서는 공개 저장소나 관리 콘솔이 외부에 그대로 노출되거나, 관리자 계정에 필요 이상으로 넓은 권한이 부여된 경우 공격자가 매우 빠르게 내부 자원으로 확장할 수 있다고 경고했다. 또 멀티클라우드 환경에서는 서비스가 빠르게 늘어나는 반면, 운영 조직이 전체 자산을 한눈에 파악하지 못하는 경우가 많아 쉐도우 IT나 미관리 자원이 새로운 취약점이 될 수 있다고 짚었다. 이는 클라우드 보안 사고가 거창한 기술 문제가 아니라 작은 관리 실패에서 시작될 수 있음을 보여주는 대목이었다.

그는 클라우드 보안 위협을 이야기하면서 데이터 유출, 잘못된 구성, 신원 및 접근관리 부실, 계정 탈취, 내부자 위협, 공급망 문제를 함께 언급했다. 공격자는 더 이상 하나의 서버만 노리지 않는다. 계정, 권한, 설정, 연결 구조 전체를 노리며, 이 중 하나라도 허술하면 클라우드 전체가 흔들릴 수 있다는 점을 분명히 했다.

설정 오류와 과도한 권한, 사고의 시작점

최 교수는 대응 방안도 구체적으로 설명했다. 그는 클라우드 보안을 한두 개 솔루션으로 해결할 수 없다고 선을 그었다. 대신 인프라 보안, 사용자 인증, 접근통제, 네트워크 보호, 로그 수집, 모니터링, 데이터 보호, 키 관리가 함께 맞물려야 한다고 설명했다. 결국 보안은 개별 제품의 도입이 아니라 전체 구조를 연결하는 문제라는 뜻이다.

이 가운데 가장 중요한 축은 인증과 권한 관리였다. 최 교수는 ID와 비밀번호 중심 체계만으로는 현재의 클라우드 환경을 지키기 어렵다고 보고, 다중인증과 함께 IAM, PAM, RBAC, ABAC 같은 세분화된 접근통제 체계를 적용해야 한다고 강조했다. 다시 말해 사용자가 누구인지만 확인할 것이 아니라, 어떤 조건에서 어떤 자원에 어느 범위까지 접근할 수 있는지까지 세밀하게 나눠 관리해야 한다는 설명이다. 특히 관리자 권한은 반드시 분리하고 기록을 남겨야 한다고 거듭 강조했다.

네트워크 영역에서는 기존 VPN 중심 구조의 한계도 짚었다. 그는 VPN이 접속 허용 이후 내부망에 넓은 접근 여지를 남기는 경우가 적지 않다고 설명하며, ZTNA 기반 접근 방식이 클라우드와 원격근무 시대에 더 적합하다고 말했다. 필요한 자원에만 제한적으로 접근하게 하고, 사용자와 애플리케이션 사이의 연결을 세밀하게 통제해야 피해 확산을 줄일 수 있다는 것이다.

인증·권한·ZTNA·모니터링을 함께 묶어야

최 교수는 또 접속 기록, 권한 변경, 시스템 이벤트, 네트워크 흐름을 한데 모아 이상 징후를 빠르게 찾아야 실제 사고 대응이 가능하다고 강조했다. 이는 제로트러스트가 단순히 ‘막는 보안’이 아니라, 계속 들여다보고 의심하고 대응하는 운영 모델이라는 점을 보여줬다.

관리형 보안 서비스의 필요성도 함께 제시됐다. SASE·SSE 기반 구조, 리스크 관리 프레임워크, 클라우드 네이티브 보안 플랫폼, 침해 대응 연계 체계 등을 함께 운영해야 실제 현장에서 보안 수준을 끌어올릴 수 있다는 설명이었다. 보안 인력이 충분하지 않은 조직일수록 이런 통합형 운영 체계가 더 중요하다는 것이다.

최윤호 교수는 "AI 전환이 빨라질수록 기업의 클라우드 의존도는 더 커지고, 그만큼 공격 표면도 넓어진다. 이런 상황에서는 내부와 외부를 나누는 단순한 경계형 보안만으로는 한계가 분명하다. 사용자와 기기, 권한과 설정, 네트워크와 데이터 흐름을 계속 검증하는 제로트러스트가 이제는 선택이 아니라 기본 보안 원칙이 되고 있다"고 전했다.