많은 기업이 제로 트러스트의 정의를 '아무도, 아무것도 신뢰하지 않음' 또는 '신뢰하지 않고 항상 확인'으로 단순화하지만 이는 다소 협소적인 의미입니다. 대신 제로 트러스트의 핵심 개념은 상호 연결된 시스템의 기본 구성요소를 포함하여 모든 사람 또는 모든 요소를 신뢰하는 것으로 가정하면 상당한 보안 위험이 발생한다는 것입니다. 신뢰는 동적 컨텍스트 보안 정책과 다양한 기술 메커니즘을 사용하여 신뢰를 구축하고 지속적으로 검증되어야 합니다. 

이 접근 방식은 세분화된 정책 제어를 사용하는 마이크로세그먼테이션을 활용하여 네트워크를 더 작은 세그먼트와 격리된 워크로드로 나눕니다. 정책은 ID, 위치, 기기, 액세스되는 콘텐츠, 애플리케이션에 따른 컨텍스트 기반 정책입니다. 정책은 동적이므로 정기적으로 재평가되며 컨텍스트의 변화에 따라 조정됩니다.

기본적으로 데이터 및 리소스에는 액세스할 수 없으며, 연결에는 인증 및 승인 권한이 부여된 후에 엄격히 제어된 액세스 권한이 부여됩니다. 이 프로세스는 모든 사용자 또는 연결된 엔드포인트에 적용되며 ID는 지속적으로 인증됩니다. 또한, 모든 네트워크 트래픽이 침해의 신호가 있는지 면밀하게 로깅, 모니터링 및 분석됩니다. 

더 간단하게 생각해 볼 수 있는 내용: 네트워크와 인프라가 일급 기밀 정부 시설이고 제로 트러스트가 보안 시스템이라고 상상해 보세요. 무단 액세스를 감지하기 위해 표준 경계 보안과 경보 및 센서가 포함될 수 있습니다. 

제로 트러스트는 경계 내부의 모든 액세스 포인트에 보안을 강화합니다. 건물 내 모든 별관과 각 방은 항상 잠겨 있으며 생체 인식 액세스 시스템을 사용하여 문을 제어합니다. 정문 보안 검색대를 통과한 후에도 각 출입구에서 ID 확인을 위해 디지털 지문을 스캔해야 하며, 적절한 보안 승인을 받은 경우에만 통과할 수 있습니다. 들어가서 작업을 완료하는 데 필요한 시간 동안만 머무를 수 있는 구역에만 출입할 수 있습니다. 

오늘날 제로 트러스트 모델에는 제로 트러스트 네트워크 액세스(ZTNA), 제로 트러스트 아키텍처(ZTA), 제로 트러스트 에지(ZTE)를 비롯한 여러 구현이 포함되어 있습니다. 그러나 모두 동일한 핵심 개념을 기반으로 합니다. 

모델을 형성하는 세 가지 제로 트러스트 원칙은 다음과 같습니다. 

1. 모든 네트워크 트래픽이 항상 위협적이라고 가정하세요. 제로 트러스트에서는 모든 사용자가 적대적이며 위협은 네트워크 안팎에서 어디에나 존재한다는 관점을 받아들입니다. 따라서 명시적인 권한이 없는 모든 트래픽은 자동으로 액세스가 거부됩니다. 지속적으로 액세스를 요청할 때 모든 기기, 사용자, 네트워크 흐름에 대한 인증, 승인, 검증이 이루어집니다.
2. 최소 권한 액세스를 적용합니다. 제로 트러스트 보안 접근 방식은 작업을 완료하는 기능에는 영향을 미치지 않으며, 필요 시 필요한 리소스에 대한 최소한의 권한과 액세스를 제공하는 최소 권한 액세스를 허용합니다. 최소 권한 액세스를 사용하면 계정이나 기기가 침해되었을 때 공격자가 더 중요한 리소스로 측면 이동하는 것을 제한할 수 있습니다. 
3. 항상 모니터링합니다. 제로 트러스트 모델은 지속적인 모니터링을 지지하고 네트워크에서 활동을 항상 분석 및 관리합니다. 이를 통해 리소스에 액세스하려는 항목을 실시간으로 파악하고 잠재적인 위협, 활성 이슈, 조사해야 하는 이상 상황을 식별할 수 있습니다. 

Forrester에서 처음 제시한 이러한 제로 트러스트 원칙은 미국 국립표준기술연구소(NIST)에서 개발한 제로 트러스트 프레임워크와도 일치합니다. 조직에서 제로 트러스트 보안 모델을 구현하는 데 필요한 실용적인 단계에 대한 안내는 NIST의 프레임워크를 읽어보는 것이 좋습니다. 

오늘날 가장 많이 발생하는 정보 유출 사건 중 하나는 공격자가 네트워크 경계를 침입할 수 있는 방법을 찾음으로 인한 것이 아닙니다. 클라우드 컴퓨팅과 원격 근무 인력이 부상하면서 많은 조직이 점점 더 분산된 환경과 다방면의 경계를 방어하는 데 어려움을 겪고 있습니다. 이제 데이터는 여러 서비스, 기기, 애플리케이션, 사용자에 걸쳐 생성, 저장, 공유되며 세계 각지에서 액세스할 수 있습니다.

많은 위협 행위자가 하이브리드 클라우드 환경에서 네트워크의 약점과 격차를 악용하는 것이 수익성이 있는 비즈니스라는 사실을 알았습니다. 소셜 엔지니어링 및 기타 정교한 기술, 우발적 또는 의도적인 내부 위협, 서드 파티 공급업체의 취약한 보안을 통해 도용된 계정의 결과로 심각한 침해가 점점 더 많아지고 있습니다. 

이제 보안팀은 위협이 네트워크 외부에서 발생할 수 있는 것처럼 내부에서 비롯될 수 있다는 가능성도 인지하고 있습니다. 

조직은 심층 방어 보안 조치를 구현하려 하고, 오류가 발생할 경우를 대비해 중복과 백업 보안을 제공하는 것을 목표로 합니다. 하지만 이 방법은 구현, 관리, 유지보수에 비용이 많이 들고 복잡하며, 특히 새로운 시스템, 사람, 서비스, 기기가 도입될 때마다 모든 것을 지속적으로 수정 및 수정해야 합니다.  

제로 트러스트는 심층 방어 전략을 통합하지만, 위협에 노출되는 표면을 최소화하고 모든 잠재적인 위협을 식별하고 완화할 필요 없이 본질적으로 안전한 환경을 구축하는 것이 목표입니다. 그 핵심은 업무상 중요한 애셋에 대한 접근을 차단하고 공격자들이 실시간으로 네트워크를 통해 측면 이동하는 것을 방지하는 것입니다. 제로 트러스트는 분산 환경에 대해 포괄적이고 조정 가능한 보호를 제공하는 동시에 안전한 액세스를 허용하는 통합 보안 접근 방식을 제공합니다.  

다음은 제로 트러스트를 사용할 때 발생하는 가장 큰 어려움 중 일부입니다. 

• 일관성을 유지합니다. 제로 트러스트가 제대로 구현된다면 광고대로 우수한 보안을 제공할 수 있습니다. 그러나 이를 위해서는 조직이 전략에 일관적이어야 합니다. 대부분의 조직은 기존 보안 솔루션에서 벗어나면서 단계적으로 변경 작업을 수행해야 하지만, 그 과정에서 공백이 발생하지 않도록 해야 합니다.
• 생산성을 저해합니다. 제로 트러스트는 대부분의 워크플로에 추가적인 보안 단계를 추가하며 잘못 구현하면 생산성에 영향을 미칠 수 있습니다. 핵심은 업무 지원과 강력한 보안 상황 달성 사이의 전략에서 적절한 균형을 찾는 것입니다. 프로세스로 인해 너무 많이 중단된다면 개인이 이를 우회하려고 시도할 수 있습니다. 
• 내부자 위협에 대응합니다. 제로 트러스트가 최소 권한 액세스를 통해 내부자 위협을 완화하는 데 도움이 될 수는 있지만 만병통치약이 아닙니다. 공격자들은 피싱이나 스케어웨어와 같은 전술을 통해 사용자 인증 정보를 훔쳐 사용자를 속여 민감한 정보를 공유하도록 유도하는 방법을 찾는 경우가 많습니다. 또는 최악의 시나리오에서는 권한을 악용하려는 악의적인 의도에 맞설 수도 있습니다. 제로 트러스트가 내부자 위협에 효과적으로 대응하려면 조직 전체에서 패턴 이상치를 모니터링하고 탐지할 수 있어야 합니다.
• 정책 및 아키텍처를 유지관리합니다. 비즈니스가 계속해서 성장하고 발전함에 따라 제로 트러스트 정책과 권한 구조도 지속적으로 업데이트해야 합니다. 제로 트러스트 모델은 정확하게 정의된 정책과 효과적인 정책 관리에 의존하며, 침해를 방지하기 위해 선제적으로 유지보수 및 구성해야 합니다.