제로트러스트, 이제는 증명의 시간

보안 모델을 도입했다는 말과 보안이 강화됐다는 말은 같지 않습니다. 2026년 제로트러스트 도입 시범사업은 바로 이 간극을 겨냥합니다. 3년 차를 맞은 올해, 평가의 무게중심이 구현에서 증명으로 옮겨 갔습니다.

제로트러스트 시범사업이 3년 차에 접어들었습니다

2024년 시작된 제로트러스트 도입 시범사업은 올해로 3년 차를 맞았습니다. 과제당 최대 7억 원씩 총 35억 원 규모로 진행됩니다. 선정 과제 수가 지난해 6개에서 올해 5개로 줄면서 전체 예산은 7억 원 축소됐습니다.

규모는 줄었지만 요구 수준은 올라갔습니다. 지난해에는 성과지표를 1건 이상 제시하면 됐으나, 올해는 지식재산권과 인증 등 10개 핵심성과지표 반영을 요구합니다. 한국인터넷진흥원은 올해 사업의 목표로 대외 성과 확산을 내걸었습니다.

평가 기준이 구현에서 증명으로 바뀌었습니다

가장 큰 변화는 정량 지표입니다. 각 컨소시엄은 제로트러스트 모델을 구현한 뒤 사고 대응 시간과 계정 오남용 탐지 건수 같은 운영 데이터의 변화를 증명해야 합니다. 여기에 정보보호 전문서비스 기업과 연계해 모의해킹과 취약점 점검으로 성숙도를 다시 진단하는 절차도 추가됐습니다.

생태계 요건도 강화됐습니다. 올해는 개발 제품의 API를 필수로 공개해야 하며, 정부는 이를 정보보호 API 공유 플랫폼에 게재할 예정입니다. 파편화된 국내 보안 시장에 상호운용성을 강제하려는 조치입니다.

보안 투자에서 가장 흔한 실패는 도입 자체를 성과로 착각하는 일이라고 생각합니다. 이번 사업의 방향 전환은 그 착각을 제도로 걷어내려는 시도입니다.

다섯 컨소시엄이 서로 다른 전선을 택했습니다

올해 선정된 주관사는 프라이빗테크놀로지, SK쉴더스, 이니텍, 이스트시큐리티, 앰진입니다. 다섯 과제는 각기 다른 산업 환경을 겨냥합니다.

프라이빗테크놀로지는 미국 정부의 TIC 3.0 정책을 모티브로 BNK금융지주 데이터센터 앞단에 제로트러스트 허브를 세웁니다. 이스트시큐리티는 AK아이에스의 운영기술 환경을 대상으로 자산 주소를 동적으로 감추는 이동 표적 방어 기술을 적용합니다. 앰진은 하나투어의 해외 지사망에 보안 접속 서비스 에지를 구현합니다.

SK쉴더스는 KB금융그룹 계열사를 대상으로 지능형 인증과 접근통제를 구현하며, 이니텍은 특정 벤더에 종속되지 않는 개방형 제로트러스트 플랫폼을 목표로 삼았습니다. 다섯 과제가 금융과 운영기술, 해외망으로 흩어진 이유는 산업마다 지켜야 할 대상과 멈추면 안 되는 조건이 다르기 때문입니다.

공통점은 하나입니다. 모두 침해가 일어난다는 것을 전제로 피해 범위를 줄이는 설계라는 점입니다. 제로트러스트는 침해가 없다고 약속하는 모델이 아닙니다.

남은 과제는 확산입니다

전문가들은 국내 수준을 개념 검증을 지나 운영 확산 직전 단계로 평가합니다. 필요성에 대한 공감대는 형성됐으나 전사 정책으로 통합하는 단계에는 이르지 못했습니다. 특히 중소기업과 중견기업은 인력과 예산 문제로 접근조차 어려운 실정입니다.

시작점은 솔루션 선정이 아닙니다. 무엇을 보호할 것인지, 누가 그것에 접근하는지 정리하는 일이 먼저입니다. 자산 식별 없이 제품부터 들이면 정책만 복잡해지고 운영 부담이 커집니다.

여러분의 조직은 지금 어느 단계에 있습니까. 다음 글에서는 속도 경쟁을 접고 안정성으로 방향을 튼 Wi-Fi 8을 다루겠습니다.