SGA솔루션즈, SGN, SGA EPS, 케이사인, 엔키화이트햇 컨소시엄 구성
국자원(대구센터)·공무원연금관리공단에 서비스형 제로트러스트 보안모델 구축
안전한 데이터 관리, 횡방향 공격 방지, IT 자산 보호 등 보안 효과 기대

[보안뉴스 박은주 기자] 급격한 디지털 전환 환경 속 정부가 2030년까지 기존 정보시스템 90%를 클라우드 네이티브로 전환하겠다는 방침을 밝혔다. 클라우드 환경이 공공기관의 필수 인프라로 자리 잡으면서 안전한 데이터 접근과 관리의 필요성이 커지고 있다. 이와 함께 ‘제로트러스트’를 적용한 보안이 차세대 표준으로 주목받고 있다.


[이미지=gettyimagesbank]

이에 과학기술정보통신부와 한국인터넷진흥원은 제로트러스트 도입을 지원하기 위한 시범사업을 마련하고 4개 컨소시엄을 선정해 추진하는 ‘2024년 제로트러스트 도입·확산 지원사업(이하 지원사업)’을 시행했다.

SGA솔루션즈가 주관사로 참여한 컨소시엄은 공공기관 업무망에 최적화된 클라우드 기반 서비스형 제로트러스트 보안모델을 구축하고 운영했다. 컨소시엄은 SGA솔루션즈를 중심으로 SGN, SGA EPS, 케이사인, 엔키화이트햇이 참여했다. △SGN, 정책결정지점(PDP) 구축 △SGA EPS, 엔드포인트 보안 관리 △케이사인, 데이터베이스(DBMS) 보안 △엔키화이트햇, 보안성 평가를 담당했다.

SGA솔루션즈는 2023년 제로트러스트 실증 사업의 주관기업으로 선정된 경험을 바탕으로 이번 사업에서는 실증을 넘어 공공기관에 실제 도입하는 것을 목표로 했다. 이를 통해 가시적 보안성과 운용성을 확인할 수 있는 결과를 도출했다. 클라우드 환경에서 제로트러스트가 적용된 보안모델을 도입·확산하는데 기틀을 마련했다는 평가를 받았다.

수요기관은 공공기관으로 주요 정부부처의 데이터를 관리하는 핵심 데이터센터인 ‘국가정보자원관리원(대구센터, 이하 국자원)’과 ‘공무원연금공단’이 참여했다. 공무원연금공단은 국자원 대구센터 내 140개 이상의 가상머신(VM)과 주요 업무 시스템을 운영하고 있다.

Full-Stack ZTA 구축으로 제로트러스트 보안체계 세워
SGA솔루션즈 컨소시엄은 제로트러스트 경험과 기술력을 결집해 Full-Stack ZTA(Zero Trust Architecture) 보안모델(이하 ZTA)을 구축했다. 이 모델은 IT 인프라의 프론트엔드부터 백엔드까지 모든 요소를 아우르며 통합적인 보안 관리를 가능하게 한다. ZTA의 핵심 요소로는 △제로 트러스트 네트워크 액세스(ZTNA) △마이크로 세그멘테이션 △PDP(정책결정지점) △PEP(정책시행지점) 등이 있다.

ZTNA는 업무 시스템, 운영 시스템, 보안 시스템 등 주요 자산에 대한 안전한 접근을 보장한다. 시스템은 사용자가 2차 인증과 보안점수 평가를 거쳐야만 접근할 수 있도록 설정됐다. 이를 통해 네트워크 자산에 대한 비인가 접근을 철저히 차단한다. 이러한 구조는 공공기관이 운영하는 다양한 시스템에 적용되어 보안성을 한층 더 강화했다.

또한, 마이크로 세그멘테이션를 구현해 자원을 보호할 수 있는 구조를 마련했다. 다만, VM을 사용하는 가상환경에서 구간별로 네트워크 디바이스를 운영할 수 없는 상황이다. 미국 국방부에서 에이전트 기반의 호스트 아이패스 애플리케이션 등을 사용할 것을 주문한 부분을 차용해 제한적인 세그멘테이션 영역을 구현했다. 가상머신(VM)과 물리적 서버를 논리적으로 분할해 네트워크 보안 경계를 강화한 것이다. 이를 통해 횡방향 공격을 방지하고 민감 데이터를 보호할 수 있게 됐다.

이와 함께 기관의 보안 상황과 여건에 따라 정책결정지점(PDP)과 정책시행지점(PEP)을 구축해 보안성을 강화했다. 제로트러스트 개념에서 PDP와 PEP는 자원 접근과 제어를 결정하는 핵심 요소다. PDP는 사용자의 신뢰도를 평가해 자원 접근 여부를 결정하고, PEP는 데이터 자산 보호와 접근 제어를 담당한다.

이를 기반으로 국가정보자원관리원(대구센터) 내부에는 주요 시스템과 데이터 관리를 위한 PDP가 설치됐고, 외부에 위치한 공무원연금공단에는 별도의 PDP가 마련됐다. 더불어 제주 본사와 서울 IDC 시스템을 둔 공무원연금공단의 안전한 연결을 유지하기 위해 DID(분산신원인증) 시스템을 도입했다.

SGA솔루션즈 컨소시엄은 PDP와 PEP의 통합 운영을 통해 공무원연금공단의 DID 시스템과 주요 시스템 계정을 보호하고, VM 간 네트워크 세그멘테이션을 활용해 횡방향 공격을 차단했다. 이러한 보안 접근 방식으로 국자원의 업무 시스템, 운영 시스템, 보안 시스템 등 공공기관의 업무망 환경에 맞게 특화된 체계를 구축할 수 있었다.

‘제로트러스트 확산 지원 성과공유회’에서 SGA솔루션즈 최영철 대표는 공공부문 제로트러스트 도입 시범사업 성과를 발표하며 “향후 각 정부부처가 클라우드 센터를 이용할 때 제로 트러스트 아키텍처 보안체계를 도입할 수 있는 근거가 되는 실증사업이 됐다”고 밝혔다.

SGA솔루션즈 컨소시엄은 보안 성숙도 체크리스트를 기반으로 수요기관의 보안수준을 진단하고 필요한 개선방안을 제시했다. 이를 통해 보안수준이 30%에서 78%로 향상되는 성과를 달성했으며, 실증적 사례 분석을 통해 보안 역량 강화를 이뤄냈다는 평가를 받고 있다.

제로트러스트 가이드라인2.0과 향후 보안 확장 전략
이번 지원사업은 제로트러스트 가이드라인 2.0의 원칙과 방향을 따르고 있다. 가이드라인 2.0은 마이크로 세그멘테이션, 클라우드 기반 보안, 다중 인증 등 기술적 요소를 명확히 규정해 보안 운영 표준을 수립했다. 지원사업은 원칙을 기반으로 보안 모델을 실증하고 공공·민간기관 업무 환경에 최적화된 보안 시스템을 마련한 셈이다.

앞으로 SGA솔루션즈는 제로트러스트 아키텍처가 향후 정부의 MLS(망분리) 체계와도 유기적으로 연계될 수 있도록 지속적인 연구와 고도화를 추진하겠다고 밝혔다. 공공기관 내부망과 외부 접근 관리 체계를 강화해 정보 유출 방지 및 시스템 관리 효율성을 확보할 계획이다.

서비스형 제로트러스트 보안모델은 안전한 데이터 관리, 횡방향 공격 방지, 클라우드 서비스 연동을 통한 IT 자산 보호 등 다양한 측면에서 보안 효과를 기대할 수 있다. 추후 민간 클라우드 서비스 사업자와의 협력을 통해 클라우드 기반 보안시장 성장을 견인할 것으로 전망된다.

이 기사는 ‘KISA’의 협찬을 받아 작성된 기사임을 밝힙니다.
[박은주 기자(boan5@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>