지니언스·수산아이앤티·퓨쳐텍정보통신 컨소시엄 구성
에스트래픽·야놀자, 다양한 IT 환경 지원하는 개방형 ZTA 구축 사례 공유
누구나 활용할 수 있는 개방형 모델...기업의 보안체계 구축 진입장벽 낮출 것으로 기대

[보안뉴스 박은주 기자] 디지털 전환 가속화에 따라 다양한 IT 인프라 환경에 적합한 보안 모델이 요구된다. 기존 제로트러스트 모델은 특정 벤더 중심으로 통합돼 종속성을 초래하거나 맞춤형 연동이 어려워 운영 효율성이 저하되는 문제가 있었다. 이를 해결하기 위해 지니언스 컨소시엄은 제조사에 상관없이 다양한 보안 솔루션을 연동할 수 있는 ‘개방형 제로트러스트 보안 모델’을 개발했다.


[이미지=gettyimagesbank]

개방형 모델은 표준 규격을 기반으로 다양한 PEP(정책시행지점)와 PDP(정책결정지점)의 연동을 지원해 기업의 보안 구축 진입장벽을 낮출 수 있을 것으로 전망된다. 과학기술정보통신부와 한국인터넷진흥원이 지원하는 ‘제로트러스트 도입, 확산 지원사업’에는 주관사 지니언스를 중심으로 수산아이앤티와 퓨쳐텍정보통신이 참여했다. 지니언스는 NAC(네트워크 접근제어)와 EDR(엔드포인트 탐지 및 대응) 기술력을 바탕으로 PDP 및 PEP 엔진을 개발했다. 수산아이앤티는 웹 트래픽 분석과 DLP(데이터 유출 방지) 기술을 제공했고, 퓨쳐텍정보통신은 안정적인 암호화 트래픽을 위한 VPN 솔루션을 공급했다.

수요기관으로는 교통 솔루션 전문기업 ‘에스트래픽’과 글로벌 여행 플랫폼 ‘야놀자’가 참여해 다양한 IT 인프라 환경에서 개방형 제로트러스트 모델의 범용성을 검증했다. 특히, 에스트래픽은 해당 보안 모델을 한 번에 도입했고, 야놀자는 점진적으로 솔루션을 도입했다. 다양한 환경에서 개방형 모델을 적용할 수 있는 사례를 발굴한 것이다.

개방형 모델, 오픈소스 기반 OPA로 실현
지니언스 컨소시엄이 설계한 개방형 제로트러스트 보안 모델은 특정 벤더에 종속되지 않고 다양한 보안 솔루션과 호환될 수 있는 구조를 갖췄다. 이를 위해 자체 PDP 외에도 오픈소스 기반의 OPA(Open Policy Agent)를 활용해 정책 기반 접근제어(PBAC)를 구현했다. 고객이 선택한 PEP와 쉽게 연동할 수 있는 유연한 보안체계를 마련한 셈이다.

지니언스는 ZTNA(제로트러스트 네트워크 액세스) 및 IAM(계정관리) 기능을 강화하고, SDP(소프트웨어 정의 경계) 기반 네트워크 보호 시스템을 도입했다. 이 과정에서 △사용자 및 디바이스 식별 △네트워크 트래픽 제어 △애플리케이션 접근 관리 △데이터 보호 등 보안체계 전반을 다루는 EIG(Enhanced Identity Governance) 체계를 적용했다.

지니언스 컨소시엄은 개방형 제로트러스트 보안 모델을 구축하면서 표준 기반 상호 운용성을 강화하는 데 주력했다. 다양한 PEP(정책시행지점)와 PDP(정책결정지점) 간의 원활한 연동을 지원해 개방형 보안 생태계를 확립하는 것을 목표로 삼았다.

또한, 특정 벤더에 종속되지 않는 유연한 확장성을 갖춘 보안 구조를 제공했다. 이를 통해 고객은 점진적으로 보안 모듈을 도입하고, 필요에 따라 솔루션을 교체하거나 추가할 수 있게 됐다. 아울러 맞춤형 보안 모델을 구현해 비용 효율성을 극대화했다. 중복된 보안 시스템 도입을 방지하고, 운영 관리 비용을 줄임으로써 기업의 보안 투자 효율을 높일 수 있게 된 것이다.

개방형 제로트러스트 모델을 적용한 결과, 에스트래픽과 야놀자는 각자의 IT 환경에 적합한 맞춤형 보안체계를 구축할 수 있었다. 지니언스는 IAM을 통해 사용자 및 디바이스 인증을 강화하고, JWT(Json Web Token) 기반 세션 관리를 통해 신원 기반 인증을 구현했다.

더불어 SDP 기반 ZTNA를 통해 VPN보다 안전한 원격 접속이 가능해졌으며, PEP 간 정책 연동을 통해 공격 방지와 세션 모니터링 체계를 구축했다. 특히, 컨텍스트 기반 정책 엔진은 사용자의 실시간 상태를 분석해 동적 접근제어 기능을 강화했다.

OPA를 기반으로 다양한 보안 솔루션이 하나의 체계에서 통합 운영될 수 있도록 설계했다. 이를 통해 제로트러스트 보안 모델의 성숙도를 높이고, 다양한 운영 환경에서도 안정적으로 적용할 수 있는 범용성을 확보했다.

제로트러스트 가이드라인 2.0과 함께 하는 맞춤형 보안의 새 기준
지니언스 컨소시엄이 추진한 개방형 제로트러스트 모델은 ‘제로트러스트 가이드라인 2.0’과 밀접하게 연관되어 있다. 가이드라인 2.0은 마이크로 세그멘테이션, IAM, 다중 인증, 데이터 보호 등 보안 원칙을 명확히 정의했으며, 지니언스 컨소시엄은 이를 기반으로 다양한 PEP와 PDP의 연동을 실증했다.

지니언스는 개방형 제로트러스트 생태계 확산을 위해 보안 솔루션 연동 범위를 지속해서 확대할 계획이다. 다양한 PEP 및 PDP 벤더와 협력해 시장의 기술적 종속성을 줄이고, 모듈형 보안 모델을 통해 고객 맞춤형 보안 서비스를 제공할 예정이다. 또한, 성숙도 평가 기준을 지속적으로 충족시키면서 IAM, OPA, ZTNA 등의 보안 요소를 고도화할 계획이다.

개방형 제로트러스트 보안 모델은 특정 벤더 종속성을 제거하고, 다양한 보안 솔루션과의 연동성을 강화해 국내외 보안 시장의 새로운 기준을 제시하고 있다. 지니언스 컨소시엄의 성공적인 구축 사례를 통해 다양한 IT 환경에서 제로트러스트 보안 적용이 확대될 것으로 기대된다.

이 기사는 ‘KISA’의 협찬을 받아 작성된 기사임을 밝힙니다.
[박은주 기자(boan5@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>