제로 트러스트

정의와 기본 원칙

제로 트러스트는 네트워크 안팎을 나누지 않고 모든 접근 요청을 매번 검증하는 보안 접근방식이다.

핵심은 내부망이라도 기본으로 신뢰하지 않고 항상 확인하는 것이다.

이 원칙은 신원 확인, 최소 권한, 지속 검증 세 가지로 드러난다.

PDP와 PEP의 분리

PEP는 실제 통신 경로에서 요청을 가로채 허용된 경로만 연다.

PEP가 요청을 넘기면 PE가 신원과 단말 상태를 보고 허용 여부를 판단한다.

판단 결과는 PEP로 돌아와 집행되고, 보호자원에는 PEP를 거친 접근만 닿는다.

판단과 집행을 분리하면 정책을 한 곳에서 일관되게 바꿀 수 있다.

경계 기반 보안과의 차이

경계 기반 보안은 내부망에 들어온 사용자와 기기를 한 번 믿는 방식이다.

제로 트러스트는 신뢰 기준을 네트워크 위치에서 신원과 상황으로 바꾼다.

접속 이후에도 요청마다 검증하고, 권한은 자원 단위로 최소화한다.

ZT-키플링 반복 절차

제로 트러스트 도입은 한 번에 끝나지 않고 절차를 반복하는 주기로 운영된다.

보호 영역을 정하고 트랜잭션 흐름을 매핑한 뒤 아키텍처를 구축한다.

이후 최소 권한 정책을 만들고 모니터링과 유지관리를 이어 간다.

ETSI가 2025년 9월 발표한 ZT-키플링 방법론의 핵심 흐름이다.

시험 포인트와 직접 풀기

제로 트러스트 답안에서 흔한 실수는 세 가지다.

첫째, 제로 트러스트를 특정 제품 도입으로 설명하는 것이다.

둘째, VPN을 쓰면 안전하다는 경계 기반 사고를 그대로 두는 것이다.

셋째, 신뢰 평가를 접속 시 1회로 끝낸다고 쓰는 것이다.

PEP는 집행, PDP는 판단을 맡는다. 두 기능을 나눠야 정책 변경과 감사가 쉬워진다.