19년 역사를 가진 어떤 보고서에서 사상 처음으로 순위가 뒤바뀌는 일이 벌어졌어요. Verizon이 2026년 5월 19일 공개한 2026 Data Breach Investigations Report에 따르면, 취약점 악용이 전체 침해 사고의 31%를 차지하며 탈취된 계정 정보를 처음으로 앞질렀습니다. 같은 보고서는 협력사를 경유한 침해가 1년 새 60% 늘어 전체 사고의 48%를 차지했고, 직원들의 그림자 AI 사용률도 15%에서 45%로 급증했다고 밝혔어요. 계정 하나만 지키면 안전하다고 믿던 시절의 가정이 무너지고 있는 셈인데, 그렇다면 기업 보안 모델은 왜 제로트러스트로 바뀌고 있고, 기존 경계 기반 보안과는 정확히 뭐가 다를까요?
제로트러스트란 정확히 어떤 개념인가?
제로트러스트는 네트워크 내부에 있다는 이유만으로 어떤 사용자나 기기도 자동으로 신뢰하지 않고, 모든 접근 요청을 매번 검증하는 보안 아키텍처예요. 미국 NIST가 SP 800-207에서 공식 정의한 개념으로, 핵심 원칙은 “정적인 네트워크 경계를 지키는 대신 사용자·자산·리소스 자체를 지킨다”는 것이에요. 사내망에 접속했다고 해서 그 자체로 신뢰를 부여하지 않고, 로그인한 사용자가 특정 파일 하나에 접근하려 할 때마다 그 사람의 신원, 기기 상태, 요청 맥락을 다시 확인하는 방식이 대표적이에요. “절대 신뢰하지 말고 항상 검증하라(Never trust, always verify)“는 문구가 이 모델을 가장 압축적으로 설명해요.
기존 경계 기반 보안과는 근본적으로 뭐가 다른가?
기존 경계 기반 보안과 제로트러스트의 차이는 신뢰를 어느 시점에, 어느 범위까지 부여하느냐에 있어요. 방화벽과 VPN으로 사내망 바깥과 안쪽을 나누고, 일단 안쪽에 들어온 사용자는 대체로 신뢰하는 게 전통적인 “성과 해자(castle-and-moat)” 방식인데, 이 구조에서는 VPN 계정 하나만 탈취당해도 공격자가 내부 시스템 전반을 자유롭게 돌아다닐 수 있어요. 반면 제로트러스트는 경계라는 개념 자체를 없애고, 접근 대상을 애플리케이션이나 데이터 단위로 잘게 쪼갠 뒤 그때그때 최소 권한만 부여해요. 그래서 계정 하나가 뚫리더라도 공격자가 이동할 수 있는 범위(lateral movement)가 처음부터 좁게 제한돼요. 결국 “어디서 접속했는가”가 아니라 “지금 이 요청이 신뢰할 만한가”를 매번 다시 묻는 구조로 완전히 관점이 바뀐 셈이에요.
그런데 왜 하필 지금 이 전환이 빨라지고 있을까?
놀랍게도 이 전환을 가속시킨 건 오히려 계정 탈취가 줄어든 통계였어요. 앞서 언급한 Verizon DBIR 2026은 취약점 악용이 계정 정보 탈취를 앞지른 이유로 AI를 지목했는데, 공격자들이 AI를 활용해 공개된 취약점을 발견하고 악용 코드를 작성하는 속도가 기존의 수개월 단위에서 단 몇 시간 단위로 단축됐다고 분석했습니다. 여기에 협력사 경유 침해가 48%까지 늘었다는 수치도 심각한 신호예요. 아무리 내 조직의 계정 관리를 철저히 해도, 권한을 위임받은 외부 협력사나 SaaS 벤더가 뚫리면 결국 내 시스템까지 뚫리는 구조이기 때문이에요. 경계 기반 보안은 애초에 “이 협력사는 믿을 만한 파트너니까 내부망 접근을 허용한다”는 전제 위에 서 있었는데, 그 전제 자체가 더는 유효하지 않다는 게 데이터로 확인된 거예요.
제로트러스트 성숙도는 어떻게 측정하나?
제로트러스트 성숙도는 미국 CISA가 발표한 Zero Trust Maturity Model(ZTMM) 2.0을 기준으로 측정하는 경우가 많아요. 이 모델은 아이덴티티, 디바이스, 네트워크, 애플리케이션·워크로드, 데이터라는 5개 기둥에 가시성·분석, 자동화·오케스트레이션, 거버넌스라는 3개 교차 역량을 더해 조직의 수준을 전통형-초기형-발전형-최적형 네 단계로 나눠 진단해요. 원래 연방 정부 기관을 위해 설계된 프레임워크지만, CISA는 모든 조직이 이 가이드를 참고해 자체 로드맵을 세울 것을 권장하고 있어요. Gartner는 2023년 발표한 예측에서 2026년까지 대기업의 10%가 성숙하고 측정 가능한 제로트러스트 프로그램을 갖추게 될 것이라고 내다봤는데, 이는 당시 1% 미만이던 수치에서 크게 뛰어오르는 전망이었어요. 2026년 현재 시점에서 이 예측이 실제로 어느 정도까지 맞아떨어졌는지는 조직마다 편차가 크지만, 적어도 시장 투자 규모만큼은 이 전망을 뒷받침하고 있어요.
시장은 실제로 얼마나 빠르게 움직이고 있나?
시장 데이터는 이 전환이 말뿐이 아니라는 걸 분명하게 보여줘요. Gartner는 2026년 전 세계 정보보안 지출이 전년 대비 12.2% 늘어난 2,462억 달러에 이를 것으로 전망했는데, 그중에서도 제로트러스트 네트워크 접근(ZTNA)은 2026년 한 해에만 23.0% 성장하며 전체 보안 카테고리 중 다섯 번째로 빠르게 성장하는 영역으로 꼽혔습니다. 기존 네트워크 보안 카테고리인 침입탐지시스템(IDPS)이나 네트워크 접근 제어(NAC)가 오히려 축소되는 흐름과 대비되는 지점이에요. 다만 여기서 낙관만 하기는 일러요. 같은 Gartner는 2026년까지 전체 사이버 공격의 절반 이상이 제로트러스트 통제가 다루지 못하는 영역, 즉 공급망이나 아직 자산 목록에 잡히지 않은 새로운 리소스를 노릴 것이라고도 경고했거든요. 제로트러스트가 공격 표면을 크게 좁혀주는 건 맞지만, 그 자체로 만능 방패는 아니라는 뜻이에요.
그래서 이 제로트러스트, 지금 도입할 가치가 있을까?
결론적으로 제로트러스트는 선택이 아니라 방향성의 문제에 가까워졌어요. 협력사 경유 침해가 48%에 달하고 AI가 공격 속도를 시간 단위로 압축하는 환경에서는, “일단 내부망에 들어왔으니 믿는다”는 가정 자체가 가장 큰 취약점이 되기 때문이에요. 다만 CISA 모델이 보여주듯 이는 하루아침에 완성되는 전환이 아니라 아이덴티티부터 데이터까지 단계별로 성숙도를 쌓아가는 여정이고, 클라우드 지출을 관리하는 FinOps처럼 조직 전체의 거버넌스 체계를 다시 설계해야 하는 작업이라 시간이 걸려요. 계정 정보 탈취가 사상 처음으로 침해 원인 1위 자리를 내줬다는 19년 만의 통계는, 결국 “경계를 지킨다”는 낡은 전제가 더 이상 통하지 않는다는 사실을 가장 명확하게 보여주는 증거예요.
자주 묻는 질문
Q1. 제로트러스트는 특정 보안 제품의 이름인가요?
아니요, 제로트러스트는 제품이 아니라 NIST가 SP 800-207에서 정의한 보안 아키텍처 원칙이에요. '한 번 인증했다고 계속 신뢰하지 않고 모든 접근 요청을 매번 검증한다'는 설계 철학이며, 이를 구현하는 데 여러 벤더의 제품이 함께 쓰일 수 있어요.
Q2. 제로트러스트와 VPN은 어떻게 다른가요?
VPN은 인증된 사용자에게 내부 네트워크 전체에 대한 광범위한 접근권을 주는 경계 기반 방식이지만, 제로트러스트는 필요한 애플리케이션 단위로만 최소 권한을 부여하고 접근할 때마다 재검증해요. 그래서 VPN 계정 하나가 뚫려도 제로트러스트 환경에서는 피해 범위가 훨씬 좁게 제한돼요.
Q3. 제로트러스트를 도입하면 해킹을 완전히 막을 수 있나요?
아니요, 제로트러스트도 만능 방패는 아니에요. Gartner는 2023년 발표에서 2026년까지 전체 사이버 공격의 절반 이상이 제로트러스트 통제가 다루지 못하는 영역을 노릴 것이라고 예측했는데, 이는 제로트러스트가 공격 표면 일부만 좁혀줄 뿐 전체 보안을 대체하지는 못한다는 뜻이에요.
Q4. CISA 제로트러스트 성숙도 모델의 5개 기둥은 무엇인가요?
미국 CISA의 제로트러스트 성숙도 모델(ZTMM) 2.0은 아이덴티티, 디바이스, 네트워크, 애플리케이션·워크로드, 데이터라는 5개 기둥과 가시성·자동화·거버넌스라는 3개 교차 역량으로 구성돼요. 각 기둥은 전통형에서 최적형까지 단계별 성숙도를 측정하도록 설계돼 있어요.
Q5. 중소기업도 제로트러스트 도입이 필요한가요?
규모와 무관하게 원격근무나 외부 협력사 접근이 있는 조직이라면 제로트러스트 원칙 일부는 도입할 가치가 있어요. 처음부터 전체 인프라를 재설계할 필요 없이, 다중 인증과 최소 권한 접근 정책부터 적용하는 것만으로도 성숙도의 첫 단계는 확보할 수 있어요.
Q6. 패스키 같은 비밀번호 없는 로그인도 제로트러스트와 관련 있나요?
네, 밀접하게 연결돼 있어요. 제로트러스트의 아이덴티티 기둥은 접근 요청자를 얼마나 확실하게 검증하느냐가 핵심인데, [패스키 기반 로그인](/blog/passkey-passwordless-login)은 탈취되기 쉬운 비밀번호 대신 기기 기반 암호화 인증을 쓰기 때문에 이 검증 신뢰도를 근본적으로 높여줘요.
클라우드 지출 관리, 왜 지금 FinOps가 IT 조직의 화두가 됐을까
5년 만에 처음으로 클라우드 낭비 비율이 다시 늘어난 이유와, FinOps 프레임워크로 비용을 실제로 최적화하는 방법을 정리합니다.
BFQ 비디오 재생 벤치마크: 반응성을 높인 대가로 프레임이 얼마나 떨어졌나
BFQ+의 low-latency 휴리스틱이 반응성을 높이는 대신 소프트 실시간 애플리케이션에 어떤 지연 시간 대가를 요구하는지 논문의 비디오 재생 벤치마크로 확인합니다.
NCQ가 켜지면 디스크 스케줄러 보장이 무너지는 이유 (BFQ 논문 실측)
Native Command Queueing이 활성화되면 BFQ, CFQ 같은 OS 스케줄러의 공정성·지연 보장이 어떻게 무력화되는지 논문의 실측 데이터로 설명합니다.