과학기술정보통신부	보도자료

보도시점	2023. 4. 26.(수) 12시 (2023. 4. 27.(목) 조간)	배포	2023. 4. 26.(수) 9:00

‘과기정통부, 제로 트러스트 신보안체계 도입 본격 지원한다!’

- 과기정통부, 제로 트러스트(Zero Trust) 보안 모델 실증 사업 공모 -

- 현장실증 및 효과성 분석을 통한 제로 트러스트 기본모델 마련 -

과학기술정보통신부(장관 이종호, 이하 ‘과기정통부’)와 한국인터넷진흥원(원장 이원태, 이하 ‘KISA’)은 날로 증가하고 있는 지능적･조직적인 사이버 위협에 대응하고, 관련 산업 발전 및 국내 기업의 해외 시장진출을 지원하기 위해 ‘제로 트러스트 보안 모델 실증 사업’을 지원한다고 밝혔다.

	< 제로 트러스트(Zero Trust) >
◇ 제로 트러스트는 신뢰성이 보장되지 않은 네트워크 환경을 가정하여 서버, 데이터베이스 등 다양한 컴퓨팅 자원에 대한 지속적인 접근 요구에 최소한의 권한을 부여하고, 동적 인증을 통해 접근 허가를 허용하는 방식으로 보안성을 강화하고, 기존 경계 기반 보안체계를 보완할 수 있는 새로운 보안 개념(NIST SP 800-207 재정리)

사회 전반에서 디지털 대전환이 빠르게 이루어지고, 인터넷 기반 자원공유(클라우드) 컴퓨팅과 사물인터넷(IoT) 기기의 급증으로 연결망(네트워크)이 확장되는 상황에서 국제 기업들조차 내부 직원의 계정과 권한을 탈취한 해커를 정상적인 이용자로 신뢰하여 내부자료 유출 등의 피해를 입는 사례*가 증가하고 있다.

* 랩서스의 국내 해킹(’22.3월) 사례를 분석해보면 최근 침해사고 유형은 내부자 계정탈취→ 내부 시스템 침투→데이터 유출 등 내부자 권한 탈취에 이은 횡적(Lateral Movement) 공격

이러한 문제를 해결하기 위해 새로운 보안 개념인 제로 트러스트 보안 모델을 국내 기업 업무 환경에 적용하고, 도입을 지원하기 위한 시범 사업을 본격 추진한다.

특히, 본 사업의 실증 현장 검증을 통해 제로 트러스트 보안 모델도입 효과성(보안수준, 편의성 등)을 분석하고 개선･보완사항을 도출하여 향후 본격적인 제로 트러스트 도입을 지원하기 위한 기초 자료로 활용할 계획이다.

과기정통부는 작년 10월말 “제로 트러스트, 공급망보안 포럼”을 발족한 이후 제로 트러스트 분과 내 산･학･연 전문가와 함께 정책･제도, 기술･표준과 산업 등의 관점에서 제로 트러스트 기본 모델을 마련하기 위해 노력하고 있다.

올 해는 실증사업을 통해 국내 정보보호 기업들이 제로 트러스트 솔루션을 개발하고 현장 실증 기회를 제공하는 한편, ‘제로트러스트 안내서’를 개발･확산하여 국내 기업들이 빠른 시일 내에 실효성 있는 제로 트러스트 솔루션을 개발할 수 있도록 지원할 계획이다.

< 기존 경계 기반 보안모델과 제로 트러스트 보안 모델 비교 >

경계 기반 보안 모델	제로 트러스트 보안 모델
o 경계(perimeter)를 기준으로 한 번 인증된 기기나 사용자, 트래픽은 모두 허가 → VPN, 방화벽 등 ※ 내부자에게 높은 신뢰도를 부여하는 기존 모델의 약점을 공략하기 위해 내부자 권한 탈취를 통한 공격 사례 증가	o 네트워크 혹은 물리적 위치, 기기에 상관없이 ‘무신뢰’ 원칙(Never Trust, Always Verify) o 강화된 인증 및 기기 상태 모니터링 등을 통하여 지속적인 인증을 통해 접근 권한 부여

본 사업에 대한 참여를 희망하는 기업은 4월 27일(목)부터 5월25일(목) 14시까지 신청 가능하며, 공모 신청을 위한 상세정보는 한국인터넷진흥원(KISA) 누리집(www.kisa.or.kr)에서 확인할 수 있다. 별도 사업 설명회는 개최하지 않을 예정이다.

정창림 과기정통부 정보보호네트워크정책관은 “디지털 대전환이 가속화됨에 따라 국민의 일상생활 및 다양한 산업분야에서 정보보호의 필요성이 높아지고 있다.”고 강조하면서

“과기정통부는 향후 제로 트러스트와 같은 새로운 보안 체계 도입을 적극 지원함으로써 국민이 안심할 수 있는 디지털 환경 조성을 지원하겠다.”고 밝혔다.

담당 부서	정보보호산업과	책임자	과 장	정은수	(042-202-6450)
		담당자	사무관	김성환	(044-202-6451)
	한국인터넷진흥원(KISA)	책임자	팀 장	변순정	(061-820-2609)
	보안산업진흥팀	담당자	선 임	최슬기	(061-820-1638)

붙임 1		제로 트러스트 공모사업 주요내용

□ 사업 개요

○ 과 제 명 : 제로 트러스트 보안 모델 실증 지원

○ 사업예산 : 1,000백만원

※ 공모방법(온라인 지원), 선정방법(서류 및 발표평가), 지원금 지급(선금 70%, 잔금 30%)

○ 사업목적 : 내·외부 네트워크 경계가 아닌 새로운 신뢰기반 경계에 대한 보안이 필요함에 따라 제로 트러스트 보안 모델 구현 및 실증 지원

○ 과제기간 : ’23년 6월 ~ ’23년 11월(총 5개월)

○ 발주형태 : 자유 공모(KISA 자체공고 및 선정)

□ 지원 내용

○ (예산 지원) 다양한 업무 환경(온프레미스·클라우드 활용 환경 등)에 적용 가능한 제로 트러스트 보안 모델 구현 및 실증 지원

- (지원비용) 정부지원금 총 10억원 이내 (2개 과제 × 5억)

※ (지원 형태) 매칭펀드 (중소기업 : 80%, 중견기업 : 70%, 대기업 : 50% 이내 지원)

- (우대사항) 실 수요자 연계를 통한 실증 진행 등 우대사항을 만족할 경우, 선정평가 시 가점 적용(공모 안내서 참고)

○ (보안성 분석·평가) 제로 트러스트 보안 모델이 적용된 환경에 대한 모의침투를 통해 보안 측면에서의 효과성 분석·평가 지원

※ 모의침투를 위한 환경 분석, 시나리오 수립 등은 별도 용역 과제를 통해 수행

□ 향후 계획

공고 및 접수	⇨	참여기업 선정	⇨	원가산정, 협약	⇨	사업수행	⇨	최종평가
4월 말 ~		6월초		6월 중순		6월 말 ~ 11월		11월 말

붙임 2		제로 트러스트 주요내용(NIST SP 800-207 참고)

□ 제로 트러스트에 대한 접근방법으로 인증체계강화, 마이크로 세그멘테이션, 네트워크 인프라와 SDP(SW defined Perimeter)가 있음

o 각각은 사용하는 컴포넌트가 다르고, 정책 규칙의 메인소스가 다름

o 다만, 완전한 제로 트러스트 솔루션은 3 가지 모든 접근법을 포함할 것임

□ 항상 네트워크 침해를 가정, 접근 요구에 정확하고 최소 권한(Least Previledge)의 을 부여하는 Collection of Concepts & Ideas

o Zero Trust Architecture(ZTA)는 ZT 개념을 실현하는 보안 계획으로 구성 요소 간의 관계, 워크플로우 계획 및 접근 정책을 포괄

o 또한, ZTA는 7가지 사상(Tenets fo Zero Trust)을 준수하여 설계하고 배포, 다만, 모든 사상을 완전하게 구현할 수는 없음

< 제로 트러스트 7가지 원리(Tenets of Zero Trust) >

구분		주요내용
원칙1	리소스 식별	o 모든 데이터 소스와 컴퓨팅 서비스는 리소스로 간주
원칙2	안전한 통신 확보	o 네트워크 위치와 관계 없이 모든 통신을 안전하게 함
원칙3	접근권한 부여	o 개별 엔터프라이즈 리소스에 대한 액세스는 세션 각각으로 승인
원칙4	접근권한 정책	o 리소스에 대한 액세스는 클라이언트 ID와 어플리케이션, 서비스, 요청 자산의 관측 가능한 상태 등 동적 정책에 의해 결정
원칙5	보안상태유지	o 기업은 모든 소유 및 관련 자산의 무결성과 보안상태를 모니터링하고 측정함
원칙6	선인증 후접속	o 모든 리소스 인증 및 권한 승인은 가변적이며, 액세스를 허용하기 전에 엄격히 적용함
원칙7	보안상태 개선	o 기업은 자산, 네트워크, 인프라, 통신의 현재 상태에 대한 정보를 가능한한 많이 수집하고, 이를 활용해 보안상태 개선