국방부, 美 요청에 ZT 가이드라인 만든다…N²SF·K-RMF도 총망라

국방부가 미국 요청에 따라 제로 트러스트(Zero-Trust) 중심의 국방 보안 가이드라인을 마련하고 있는 것으로 확인됐다.

미국 국방부(DoD)가 일찌감치 제로 트러스트 전략을 수립하고 사이버 보안을 강화하고 있어, 한국군도 제로 트러스트 성숙도에 따른 사이버 보안 수준을 측정하고 고도화를 이루기 위한 것으로 풀이된다.

4일 정보보호업계에 따르면, 국방부는 군의 사이버 보안 수준 평가 등을 위해 제로 트러스트 가이드라인을 만들고 있다.

제로 트러스트는 '아무것도 믿지 말고 계속 검증하라'는 보안 개념으로, 기존의 경계형 보안과는 달리 내부망도 '신뢰할 수 없는 구간'으로 보고 정보시스템과 데이터를 각각 분리·보호하고 지속 인증·검증하는 게 핵심이다.

국방부가 제로 트러스트 가이드라인 마련에 나선 것은 미국이 연합훈련 등을 함께 하는 동맹국인 한국군의 사이버 보안 수준이 어느 정도인지 확인을 요청했기 때문으로 알려졌다.

미국은 제로 트러스트 도입에 가장 앞선 국가로 평가 받는다. 2020년 미국 국립표준기술연구소(NIST)가 제로 트러스트 아키텍처를 발표했으며, 바이든 행정부가 2021년 '국가 사이버 보안 개선을 위한 행정명령'을 통해 연방정부에 제로 트러스트 아키텍처 도입을 공식화했다.

DoD 역시 2022년 7월 제로 트러스트 참조 아키텍처 2.0을 발표한 데 이어 같은해 11월 제로 트러스트 전략을 공개했다. 전략엔 2027년까지 전 부서의 제로 트러스트 환경 구축을 목표로 한다는 내용을 담았다. 국방부가 DoD를 쫓아 제로 트러스트 가이드라인 제작에 착수한 이유도 여기에 있다.

이번 국방부 제로 트러스트 가이드라인엔 국내 보안 석학이 총출동한다. 과학기술정보통신부의 제로 트러스트 포럼 정책·제도 분과장이자 제로 트러스트 가이드라인을 집필한 이석준 가천대 교수, 한국사이버안보학회 국가망보안체계(N²SF)연구회장인 김창훈 대구대 교수, 한국정보보호학회 위험관리(RMF)연구회 위원장인 곽진 아주대 교수 등이 참여했다.

국내 사이버 보안 패러다임을 이끌어 가는 학계 인사가 한 데 모인 만큼, 이번 가이드라인은 제로 트러스트 보안과 함께 공공 분야의 사이버 보안 체계인 N²SF, 국방의 K-RMF의 종합판이 될 전망이다. 핵심은 '오버레이'(Overlay)다. 오버레이는 보안통제 항목의 조정에 관한 세부지침과 보안통제 항목의 구현에 관한 세부사항(Parameter)을 지정하는 것을 말한다. 제로 트러스트·N²SF·K-RMF 간 조정을 통해 군 사이버 안보 고도화 방향을 제시할 것으로 예상된다.

한 사이버 보안 관계자는 “군도 사이버 위협의 예외가 되지 못한다”며 “미군과 군사훈련·작전을 함께 하는 우리군이 미군의 제로 트러스트 성숙도에 부합하는 사이버 보안 역량을 갖췄다는 객관적 기준이 필요했을 것”이라고 말했다.

조재학 기자 2jh@etnews.com