‘제로트러스트 창시자’ 존 킨더바그 “미토스 공포? ‘격리’가 관건”

일루미오 간담회에서 제로트러스트 전략 제시
“침해는 불가피, 격리가 전략” 강조

[보안뉴스 강현주 기자] “제로트러스트는 AI 공격에 대한 완벽한 방어 전략입니다. 마이크로세그멘테이션이야말로 제로트러스트의 근간입니다.”

‘제로트러스트 창시자’라고 불리는 존 킨더바그 일루미오 수석 에반젤리스트는 12일 기자들과 만나 이같이 밝혔다.

▲존 킨더바그 일루미오 수석 에반젤리스트가 발표하고 있다. [출처: 보안뉴스]

일루미오는 이날 서울 삼성동 아셈타워에서 기자간담회를 열고 침해사고 대응 전략을 제시했다.

이 자리에서 킨더바그는 제로트러스트의 개념을 설명하고 침해 피해 최소화를 위한 제로트러스트 보안의 핵심 으로 ‘격리’를 강조했다. ‘측면이동’을 방지해 피해 확산을 막는다는 전략이다.

제로트러스트 핵심은 ‘방어표면’ 결정
킨더바그는 미국의 대통령 경호 체계에 비유해 제로트러스트 개념을 설명했다. 경호원들이 대통령이 누구인지, 어디에 있는지, 누가 접근이 가능한지 항상 파악하고 있다. 이처럼 조직들도 방어 대상을 정확히 알고 파악하는 게 먼저라는 설명이다.

킨더바그는 제로트러스트 5단계 방법론으로 △방어 표면 정의 △트랜잭션 흐름 매핑 △ 환경 아키텍처 설계 △ 정책 수립 △ 모니터링·유지를 제시했다.

정확한 방어대상, 즉 ‘방어표면’을 먼저 결정하는 게 제로트러스트 구현에 가장 중요하다는 설명이다.

그는 “제로트러스트에 대해 고객과 얘기할 때 방어대상을 물으면 ‘그건 아직 생각 안 해 봤다’고 답하기도 하는데, 그럼 실패한다”며 “제로트러스트는 어떤 솔루션을 쓰느냐가 아니라 무엇을 보호하느냐가 핵심”이라고 말했다.

이어 “방어 경계를 방화벽이나 엔드포인트에 설정하게 되면 네트워크 내에서 2차적 공격표면이 생기고 침입자가 진입 후 수년이고 수십년이고 머물 수 있다”고 했다.

킨더바그는 “반면 제로트러스트 기반 ‘마이크로세그멘테이션’을 수행하면 공격자 체류를 허용하지 않는다”며 “방어표면을 데이터·애플리케이션·자산·서비스(DAAS)로 좁혀 집중 방어해야 한다”고 말했다.

킨더바그는 트랜잭션 매핑의 중요성을 강조하며 “많은 트랜잭션들에 맥락을 부여해 관계성을 파악해야 하는데 과거에는 모두 수작업이라 어려웠다”며 “일루미오는 이를 자동화했는데 그래서 내가 합류했다”고 밝혔다.

AI 위협 현실화 해법은 ‘공격은 늘 있다’는 전제부터
킨더바그는 “뭔가 잘못됐다면 잘못된 정책이 이를 허용했다는 뜻인데, 그 어떤 흐름도 파악하고 있다면 AI의 침입 시도가 눈에 띌 것이고 그 접근을 허용하는 정책도 당연히 없을 것”이라며 “일루미오가 고안한 AI 보안 그래프를 통해 즉각적으로 가시성을 확보할 수 있다”고 강조했다.

AI 시대엔 공격은 늘 존재한다는 전제 하에 보안 패러다임을 세워야한다고 그는 강조했다. 그 전략으로 시스템 간 격리를 통해 피해가 발생해도 확산을 방지하는 ‘마이크로세그멘테이션’이 핵심이라는 설명이다.

킨더바그는 “미토스는 시작일뿐 앞으로도 AI의 위협은 계속 등장할 것”이라며 “AI 공격 방어를 위해선 제로트러스트가 완벽한 방어 방법으로, 일루미오는 그 근간인 마이크로세그멘테이션을 획기적으로 쉽게 만들어준다”고 말했다.

이날 간담회에서 일루미오는 공격자 이동 경로에 대한 가시성을 확보하는 ‘일루미오 인사이트’와 ‘침해 확산을 막기 위한 영역 분할 기능을 제공하는 ‘일루미오 세그멘테이션’을 소개했다.

한편, 킨더바그는 11일 한국제로트러스트보안협회(회장 김인현)가 개최한 간담회에 초대 받아 참석했다. 이 자리에서 그는 국가·공공기관, 금융기관, 수요기업 등을 대상으로 미국과 아태지역 제로 트러스트보안 추진 상황에 관한 정보를 공유했다. 한국에서 제로트러스트 보안을 확산하고 이용을 활성화하기 위한 협력 방안도 논의했다.

[강현주 기자(jjoo@boannews.com)]

우리나라 정보보호 수준 향상을 위해 이재명 정부에게 가장 바라는 점은 무엇인가요?
	ISMS 등 보안 인증 제도 실효성 개선
	AI 보안, 양자보안 등 보안 기술 연구개발 지원 확대
	중소 기업 보안 지원 확대
	기업 보안 예산 비율 의무화
	국가 정보보호 거버넌스 체계 정비
	기타(댓글로)