NIST SP 800-207
더 많은 작업
NIST SP 800-207(Zero Trust Architecture, 제로 트러스트 아키텍처)는 미국 국립표준기술연구소(NIST, National Institute of Standards and Technology)가 네트워크 위치에 따른 암묵적 신뢰를 배제하고 사용자·기기·서비스의 신원과 보안 상태를 평가하여 개별 자원에 대한 접근을 동적으로 통제하도록 제시한 사이버보안 아키텍처 지침이다.
NIST SP 800-207은 제로 트러스트(Zero Trust, ZT)의 기본 원칙과 이를 기업 및 기관의 정보시스템에 구현하기 위한 제로 트러스트 아키텍처(Zero Trust Architecture, ZTA)를 정의한 지침이다.
기존의 경계 기반 보안(Perimeter-Based Security)은 내부망과 외부망을 구분하고 방화벽이나 VPN 등의 경계 통제를 통과한 사용자와 기기를 상대적으로 신뢰하는 방식이었다. 그러나 클라우드 컴퓨팅, 원격근무, 모바일 기기, 외부 협력업체 및 분산된 정보시스템이 확대되면서 고정된 네트워크 경계만으로 조직의 자원을 보호하기 어려워졌다.
NIST SP 800-207은 네트워크 위치나 자산의 소유 관계만으로 신뢰를 부여하지 않고, 보호 대상 자원에 대한 개별 접근 요청을 평가하도록 한다. 접근 요청에는 사용자뿐 아니라 애플리케이션, 서비스 및 기타 비인간 주체도 포함된다.[1]
주요 특징은 다음과 같다.
- 내부망에 위치한다는 이유만으로 사용자나 기기를 신뢰하지 않음.
- 네트워크 구간보다 개별 데이터·서비스·애플리케이션 등 자원의 보호에 중점.
- 자원에 대한 접근을 세션 단위로 승인.
- 사용자와 기기의 신원 및 보안 상태를 함께 평가.
- 최소 권한 원칙에 따른 접근 허용.
- 위험과 환경 변화에 따른 동적 접근 정책 적용.
- 세션 중에도 신뢰 상태를 재평가하고 필요하면 접근 권한을 회수.
- 정책 결정과 정책 집행 기능을 논리적으로 분리.
- 자산 상태, 위협 인텔리전스, 활동 로그 등 다양한 정보를 접근 결정에 활용.
- 단일 제품이나 특정 네트워크 기술에 종속되지 않는 아키텍처 제시.
- 기존 경계 기반 보안체계와 병행하면서 단계적으로 도입 가능.
제로 트러스트는 모든 접근을 무조건 거부한다는 의미가 아니다. 접근 요청마다 필요한 정보를 확인하고 위험에 따라 적절한 권한을 부여한다는 의미이다.
| 항목 | 내용 |
|---|---|
| 문서 번호 | NIST SP 800-207 |
| 정식 명칭 | Zero Trust Architecture |
| 한국어 명칭 | 제로 트러스트 아키텍처 |
| 발행기관 | NIST |
| 발행일 | 2020년 8월 11일 |
| 현행판 | 2020년 최종본 |
| 주요 분야 | 제로 트러스트, 접근통제, 네트워크 보안, 보안 아키텍처 |
| 핵심 구성요소 | 정책 엔진(PE), 정책 관리자(PA), 정책 집행 지점(PEP) |
| 주요 구현 접근법 | 신원 거버넌스 강화, 마이크로 세그멘테이션, 소프트웨어 정의 경계 |
| 주요 대상 | 기업 및 기관의 보안 아키텍처 설계자, 보안 관리자, 네트워크 관리자 |
| 관련 문서 | NIST SP 800-207A, NIST SP 1800-35 |
| 공식 페이지 | NIST CSRC |
| 원문 |
전통적인 네트워크 보안은 조직 내부망을 신뢰할 수 있는 영역으로, 인터넷 등 외부망을 신뢰할 수 없는 영역으로 구분하는 방식에 의존하였다.
이러한 구조에서는 방화벽이나 VPN 등 경계 보안장비를 통과한 사용자가 내부의 여러 시스템에 접근할 수 있는 경우가 많았다.
그러나 다음과 같은 환경 변화로 고정된 경계의 의미가 약해졌다.
- 원격근무와 모바일 업무 확대.
- 개인 소유 기기의 업무 활용(BYOD).
- 클라우드 및 SaaS 서비스 도입.
- 외부 협력업체와의 정보시스템 연계.
- 여러 데이터센터와 클라우드에 분산된 업무시스템.
- 내부 사용자 계정 탈취와 내부자 위협.
- 최초 침투 이후 내부망에서의 수평 이동(Lateral Movement).
특히 공격자가 내부망에 침투하거나 정상 사용자의 인증정보를 탈취하면, 기존의 경계 보안만으로는 추가적인 내부 이동과 정보 탈취를 충분히 제한하기 어렵다.
NIST는 이러한 문제에 대응하기 위해 보호 대상을 네트워크 구간에서 개별 자원으로 전환하고, 모든 접근 요청을 명시적으로 평가하는 제로 트러스트 아키텍처를 제시하였다.[1]
제로 트러스트와 유사한 보안 개념은 2020년 이전부터 발전하였다.
- 미국 국방정보체계국(DISA)과 국방부의 Black Core 구상: 네트워크 경계보다 개별 거래의 보안을 강조.
- 2004년 Jericho Forum의 탈경계화(De-perimeterization): 네트워크 위치에 기반한 암묵적 신뢰의 한계를 제기.
- John Kindervag의 제로 트러스트 개념: 개별 접근 및 거래에 대한 신뢰 평가를 중심으로 보안 모델 발전.
- 미국 연방정부의 신원·자격증명·접근 관리 및 지속적 보안 진단 정책: 제로 트러스트 구현에 필요한 기술적·관리적 기반 제공.
- 2020년 NIST SP 800-207 발행: 제로 트러스트의 원칙과 논리적 아키텍처를 공식 지침으로 정리.
NIST SP 800-207은 특정 기업이 개발한 단일 보안 제품이나 기술을 표준화한 문서가 아니다. 서로 다른 기술과 구현 방식을 조합할 수 있는 공통적인 아키텍처 원칙을 정의한다.
| 날짜 | 상태 | 내용 |
|---|---|---|
| 2019년 9월 23일 | 공개 초안 | 제로 트러스트 아키텍처 초안 발표 |
| 2020년 2월 13일 | 개정 공개 초안 | 의견 수렴을 위한 후속 초안 발표 |
| 2020년 8월 11일 | 최종본 | NIST SP 800-207 확정 발행 |
| 2020년 12월 11일 | 부가 안내 | 비공식 일본어 번역본 안내 |
| 2024년 4월 19일 | 부가 안내 | 비공식 스페인어 번역본 안내 |
2026년 10월 23일 기준 NIST CSRC의 공식 발행 페이지에는 2020년 8월 최종본이 게시되어 있으며, 별도의 Revision 1은 확인되지 않는다.[2]
이후 발행된 NIST SP 800-207A와 NIST SP 1800-35는 관련 주제를 확장하거나 구체적인 구현 사례를 제공하는 별도 간행물이며, SP 800-207을 대체하는 개정판은 아니다.
SP 800-207은 주로 기업 및 공공기관의 보안 아키텍처 설계자를 대상으로 작성되었다.
미국 연방정부의 비기밀 정보시스템을 중심으로 설명하지만, 제로 트러스트의 기본 원칙은 민간기업과 다른 국가의 기관에도 적용할 수 있다.
주요 적용 환경은 다음과 같다.
- 내부 업무시스템 및 데이터센터.
- 원격근무 환경.
- 클라우드 및 하이브리드 클라우드.
- SaaS 애플리케이션.
- 여러 클라우드를 이용하는 멀티클라우드 환경.
- 외부 협력업체와 공동으로 이용하는 시스템.
- 모바일 기기와 개인 소유 기기.
- 서버 및 애플리케이션 사이의 통신.
- 자동화된 서비스와 비인간 계정의 자원 접근.
다만 이 문서는 특정 조직을 위한 완성된 구축 설계서가 아니다.
조직은 자체 업무, 자산, 데이터의 중요도, 위험 수준 및 기존 인프라를 고려하여 구체적인 아키텍처를 설계해야 한다.
SP 800-207의 제2.1절은 제로 트러스트 아키텍처가 지향해야 하는 일곱 가지 기본 원칙(Tenets of Zero Trust)을 제시한다.[1]
| 번호 | 기본 원칙 | 설명 |
|---|---|---|
| 1 | 모든 데이터와 컴퓨팅 서비스를 자원으로 취급 | 데이터, 애플리케이션, 서비스 및 다양한 컴퓨팅 기능을 보호 대상으로 식별 |
| 2 | 네트워크 위치와 관계없이 모든 통신 보호 | 내부망이라는 이유만으로 통신을 신뢰하지 않으며 기밀성·무결성·출처 인증 확보 |
| 3 | 개별 자원에 대한 세션 단위 접근 허용 | 하나의 자원에 대한 인증·인가가 다른 자원에 대한 접근 권한을 자동으로 부여하지 않음 |
| 4 | 동적 정책에 따른 접근 결정 | 신원, 기기 상태, 애플리케이션, 행위 및 환경 속성을 종합적으로 평가 |
| 5 | 자산의 무결성과 보안 상태 모니터링 | 관리 대상 및 관련 자산의 보안 상태를 지속적으로 확인 |
| 6 | 접근 전 동적 인증·인가 및 엄격한 집행 | 접근을 허용하기 전에 인증·인가를 수행하고 세션 중에도 필요에 따라 재평가 |
| 7 | 보안 상태와 통신 정보의 수집·활용 | 자산, 네트워크, 접근 요청 및 통신 정보를 수집하여 정책과 보안 상태를 개선 |
제로 트러스트에서는 데이터베이스나 서버뿐 아니라 애플리케이션, 서비스, 네트워크 계정, 업무 흐름 등도 보호 대상 자원(Resource)으로 취급한다.
조직은 각 자원에 필요한 접근 권한을 정의하고 이를 개별적으로 통제한다.
내부망에 연결된 기기와 외부망에 연결된 기기 모두 접근통제 대상이다.
조직이 소유한 기기라도 보안 상태가 불량하거나 침해된 것으로 판단되면 접근을 제한할 수 있다.
반대로 외부 네트워크에 있는 기기라도 요구되는 신원 및 보안 조건을 충족하면 허용된 자원에 접근할 수 있다.
하나의 자원에 대한 접근 승인이 다른 자원에 대한 접근을 자동으로 허용하지 않는다.
예를 들어 사용자가 업무 포털에 로그인했다는 사실만으로 인사정보 데이터베이스나 관리자 콘솔에 접근할 수 있는 것은 아니다.
각 자원에 대한 접근은 별도의 정책에 따라 판단한다.
접근 허용 여부는 고정된 사용자 권한뿐 아니라 현재의 상황에 따라 달라질 수 있다.
주요 판단 요소는 다음과 같다.
- 사용자 또는 서비스의 신원.
- 사용자에게 부여된 역할과 속성.
- 접근하려는 자원의 중요도.
- 기기의 운영체제와 패치 상태.
- 기기의 보안 소프트웨어 상태.
- 접속 위치와 시간.
- 최근 접근 이력 및 이상행위.
- 현재 확인된 보안 위협.
조직은 자산의 무결성과 보안 상태를 지속적으로 확인해야 한다.
이를 위해 지속적 진단 및 완화(Continuous Diagnostics and Mitigation, CDM) 체계 또는 유사한 자산 보안 관리체계를 활용할 수 있다.
취약점이 존재하거나 침해가 의심되는 기기는 정상 기기와 다른 접근 정책을 적용받을 수 있다.
제로 트러스트는 최초 로그인 시점의 인증만으로 이후 모든 활동을 신뢰하지 않는다.
정책에 따라 세션 중에도 재인증이나 재인가를 요구할 수 있다.
다만 모든 패킷이나 모든 작업에서 반드시 사용자에게 인증을 다시 요구한다는 의미는 아니다.
재평가 시점과 방법은 위험, 업무 필요성, 사용자 편의성 및 운영 비용을 고려하여 결정한다.
조직은 접근 요청, 기기 상태, 네트워크 통신 및 보안 이벤트를 수집하고 분석하여 정책을 개선한다.
이러한 정보는 현재의 접근 요청을 평가하는 데 사용될 뿐 아니라 새로운 위협과 비정상적인 사용 패턴을 식별하는 데도 활용된다.
SP 800-207의 제3장은 제로 트러스트 아키텍처를 구성하는 논리적 요소와 상호작용을 정의한다.
핵심 구성요소는 다음 세 가지이다.
- 정책 엔진(Policy Engine, PE).
- 정책 관리자(Policy Administrator, PA).
- 정책 집행 지점(Policy Enforcement Point, PEP).
이 가운데 정책 엔진과 정책 관리자는 정책 결정 지점(Policy Decision Point, PDP)을 구성한다.
정책 집행 지점은 정책 결정에 따라 실제 자원 접근을 통제한다.
| 구성요소 | 영문 | 주요 역할 |
|---|---|---|
| 정책 엔진(PE) | Policy Engine | 접근 허용·거부·취소 여부 결정 |
| 정책 관리자(PA) | Policy Administrator | 정책 엔진의 결정에 따라 통신 경로를 설정하거나 종료 |
| 정책 집행 지점(PEP) | Policy Enforcement Point | 주체와 자원 사이의 연결을 허용·감시·종료 |
정책 엔진(PE)은 접근 요청에 대한 최종적인 허용·거부·취소 결정을 내리는 구성요소이다.
정책 엔진은 조직의 보안 정책과 외부 정보원을 신뢰 알고리즘(Trust Algorithm)에 입력하여 접근을 판단한다.
주요 입력 정보는 다음과 같다.
- 사용자와 서비스의 신원.
- 역할 및 접근 권한.
- 자산의 현재 보안 상태.
- 접근 대상 자원의 요구사항.
- 위협 인텔리전스.
- 네트워크 및 시스템 활동 기록.
- 과거 사용자 행위.
정책 엔진은 접근 결정을 내리고 해당 결정을 기록한다.
실제 통신 경로의 설정과 종료는 정책 관리자가 수행한다.
정책 관리자(PA)는 정책 엔진의 결정을 실제 연결 제어 명령으로 변환하는 구성요소이다.
주요 기능은 다음과 같다.
- 접근이 승인된 세션의 통신 경로 설정.
- 정책 집행 지점에 연결 허용 또는 차단 명령 전달.
- 필요한 경우 세션별 인증 토큰이나 자격증명 생성.
- 정책에 따른 연결 중단.
- 기존 접근 승인이 취소되었을 때 연결 종료 지시.
정책 관리자와 정책 엔진은 논리적으로 구분되지만 실제 제품에서는 하나의 서비스로 구현될 수 있다.
정책 집행 지점(PEP)은 접근 요청을 실제로 통제하는 구성요소이다.
주체와 보호 대상 자원 사이에서 연결을 허용하고 감시하며 필요하면 종료한다.
구현 방식의 예시는 다음과 같다.
- 단말 에이전트.
- 자원 앞에 배치된 보안 게이트웨이.
- 리버스 프록시.
- 애플리케이션 접근 포털.
- 방화벽.
- 호스트 기반 접근통제 소프트웨어.
정책 집행 지점은 하나의 논리적 구성요소이지만 단말 측 에이전트와 자원 측 게이트웨이로 분리하여 구현할 수도 있다.
NIST는 정책 집행 지점 뒤쪽에 형성되는 암묵적 신뢰 영역을 가능한 한 작게 유지하도록 설명한다.
보호 대상 자원에 가까운 위치에서 접근을 통제할수록 해당 자원에 대한 접근 권한을 세밀하게 관리할 수 있다.
정책 결정 지점은 접근을 허용할지 판단하는 기능이고, 정책 집행 지점은 해당 결정을 실제로 적용하는 기능이다.
SP 800-207에서는 정책 결정 지점을 정책 엔진과 정책 관리자로 세분화한다.
| 기능 | 담당 구성요소 | 설명 |
|---|---|---|
| 접근 판단 | PE | 정책과 위험 정보를 평가하여 접근 결정 |
| 결정 실행 | PA | PEP에 연결 허용·차단 명령 전달 |
| 접근 통제 | PEP | 실제 통신 경로에서 접근 정책 집행 |
제로 트러스트 아키텍처에서 자원 접근은 다음과 같은 절차로 처리할 수 있다.
- 사용자 또는 서비스가 특정 자원에 접근을 요청한다.
- 정책 집행 지점이 접근 요청을 수신한다.
- 정책 엔진이 신원, 기기 상태, 자원 정책 및 기타 위험 정보를 평가한다.
- 정책 엔진이 접근 허용 또는 거부를 결정한다.
- 정책 관리자가 결정에 따라 정책 집행 지점을 설정한다.
- 접근이 허용되면 주체와 자원 사이에 통신 경로가 형성된다.
- 세션 중 수집되는 정보에 따라 접근 권한을 재평가할 수 있다.
- 위험 증가 또는 정책 위반 등이 확인되면 접근을 제한하거나 연결을 종료할 수 있다.
이 과정은 논리적인 처리 흐름을 설명한 것이다.
실제 시스템에서는 일부 단계가 통합되거나 서로 다른 구성요소에 분산될 수 있다.
SP 800-207은 제로 트러스트 아키텍처에서 제어 평면(Control Plane)과 데이터 평면(Data Plane)을 구분한다.
| 구분 | 제어 평면 | 데이터 평면 |
|---|---|---|
| 영문 | Control Plane | Data Plane |
| 주요 목적 | 접근 결정과 통신 경로 제어 | 실제 업무 데이터 전달 |
| 주요 구성요소 | PE, PA, PEP의 제어 인터페이스 | 주체, PEP, 보호 대상 자원 |
| 주요 정보 | 정책, 접근 결정, 세션 제어 명령 | 애플리케이션 데이터 및 서비스 통신 |
제어 평면에서는 정책 엔진과 정책 관리자가 접근을 결정하고 필요한 통신 경로를 설정한다.
데이터 평면에서는 승인된 주체와 자원 사이의 실제 업무 통신이 이루어진다.
제어 평면의 통신과 데이터 평면의 통신은 논리적으로 분리되어야 하며, 구현에 따라 물리적으로 분리할 수도 있다.[1]
정책 엔진은 단일 인증 결과만으로 접근을 판단하지 않고 여러 정보원을 활용할 수 있다.
| 정보원 | 영문 | 제공 정보 |
|---|---|---|
| 지속적 진단 및 완화 | Continuous Diagnostics and Mitigation (CDM) | 기기의 패치 상태, 취약점, 구성 및 소프트웨어 무결성 |
| 규제 준수 시스템 | Industry Compliance System | 조직에 적용되는 규제와 보안 정책 |
| 위협 인텔리전스 | Threat Intelligence Feeds | 악성코드, 공격 활동, 신규 취약점 및 위협 정보 |
| 네트워크 및 시스템 활동 기록 | Network and System Activity Logs | 자원 접근 기록, 네트워크 통신 및 시스템 이벤트 |
| 데이터 접근 정책 | Data Access Policies | 자원별 접근 권한과 정책 |
| 공개키 기반구조 | Public Key Infrastructure (PKI) | 인증서 및 관련 신원 정보 |
| 신원 관리 시스템 | ID Management System | 사용자·서비스 계정, 역할 및 신원 속성 |
| 보안 정보 및 이벤트 관리 | Security Information and Event Management (SIEM) | 보안 이벤트의 수집·분석 결과 |
이러한 정보원은 정책 엔진이 접근 요청을 평가하는 데 필요한 근거를 제공한다.
다만 모든 구현에서 동일한 정보원을 반드시 사용해야 하는 것은 아니다.
신뢰 알고리즘(Trust Algorithm, TA)은 정책 엔진이 접근 허용 여부를 판단하기 위해 사용하는 평가 절차이다.
신뢰 알고리즘은 접근 요청, 주체 정보, 자산 상태, 자원 요구사항 및 위협 인텔리전스 등을 입력으로 활용한다.
SP 800-207은 신뢰 알고리즘의 구현 방식을 두 가지 기준으로 구분한다.
| 구분 | 기준 기반 | 점수 기반 |
|---|---|---|
| 영문 | Criteria-Based | Score-Based |
| 판단 방식 | 지정된 조건의 충족 여부 확인 | 여러 정보원의 값을 가중치와 함께 계산 |
| 접근 허용 | 필요한 조건을 모두 충족하면 허용 | 계산된 신뢰 점수가 자원별 임계값을 충족하면 허용 |
| 특징 | 명시적인 조건을 중심으로 판단 | 여러 위험 신호를 종합하여 판단 |
기준 기반 방식은 자원별로 정의된 조건을 충족해야 접근을 허용한다.
점수 기반 방식은 여러 정보원의 값을 이용하여 신뢰 수준을 계산하고, 자원별 임계값과 비교한다.
점수가 충분하지 않으면 접근을 거부하거나 쓰기 권한을 제외하고 읽기 권한만 허용하는 등 권한을 축소할 수 있다.
| 구분 | 단일 요청 평가 | 맥락 기반 평가 |
|---|---|---|
| 영문 | Singular | Contextual |
| 판단 범위 | 개별 접근 요청 | 개별 요청과 과거 행위 및 최근 활동 |
| 장점 | 상대적으로 단순한 평가 | 비정상적인 접근 패턴 식별 가능 |
| 고려사항 | 과거 행위와의 차이를 놓칠 수 있음 | 상태 정보 유지 및 추가 분석 필요 |
맥락 기반 평가는 사용자의 과거 행위와 현재 접근 요청을 비교한다.
예를 들어 평소 근무시간에 제한된 수의 인사정보를 조회하던 사용자가 심야에 대량의 정보를 조회하는 경우 추가 인증이나 접근 제한을 적용할 수 있다.
NIST는 맥락 기반 평가가 동적인 접근통제에 유리할 수 있다고 설명하지만, 사용자 편의성과 비용을 함께 고려하도록 한다.
SP 800-207의 제3.1절은 제로 트러스트 아키텍처를 구현하는 세 가지 주요 접근법을 제시한다.
| 접근법 | 영문 | 핵심 통제 수단 |
|---|---|---|
| 신원 거버넌스 강화 | Enhanced Identity Governance | 신원 및 신원 속성에 기반한 접근통제 |
| 마이크로 세그멘테이션 | Micro-Segmentation | 개별 자원 또는 소규모 자원 그룹의 네트워크 분리 |
| 네트워크 인프라 및 소프트웨어 정의 경계 | Network Infrastructure and Software-Defined Perimeters | 동적으로 설정되는 네트워크 연결과 접근 경계 |
신원 거버넌스 강화 방식은 사용자나 서비스의 신원과 속성을 접근 정책의 중심에 둔다.
주요 판단 요소는 다음과 같다.
- 사용자 및 서비스의 신원.
- 조직 내 역할.
- 자원별 접근 권한.
- 기기의 보안 상태.
- 요청 당시의 환경 및 위험 정보.
클라우드 기반 SaaS와 같이 조직이 직접 네트워크 인프라를 통제하기 어려운 환경에서도 신원 기반 접근통제를 적용할 수 있다.
다만 네트워크 연결 자체가 허용된 환경에서는 비인가 주체의 네트워크 탐색이나 서비스 거부 공격 등의 위험이 남을 수 있다.
마이크로 세그멘테이션은 개별 자원 또는 소규모 자원 그룹을 별도의 네트워크 영역으로 구분하고 접근을 통제하는 방식이다.
구현 수단은 다음과 같다.
- 지능형 스위치와 라우터.
- 차세대 방화벽.
- 전용 보안 게이트웨이.
- 호스트 기반 방화벽.
- 단말 또는 서버 에이전트.
이러한 구성요소는 정책 집행 지점으로 동작하여 개별 접근 요청을 허용하거나 차단한다.
마이크로 세그멘테이션은 공격자가 하나의 시스템을 침해하더라도 다른 시스템으로 이동할 수 있는 경로를 제한하는 데 활용된다.
다만 네트워크를 세분화하는 것만으로 제로 트러스트의 모든 원칙이 구현되는 것은 아니다. 신원 관리와 동적 접근 정책이 함께 필요하다.
소프트웨어 정의 경계(Software-Defined Perimeter, SDP) 방식은 네트워크 인프라를 이용해 접근 가능한 통신 경로를 동적으로 구성한다.
소프트웨어 정의 네트워킹(SDN), 오버레이 네트워크 및 의도 기반 네트워킹 등의 개념을 활용할 수 있다.
정책 관리자는 정책 엔진의 결정에 따라 네트워크 연결을 설정하거나 변경한다.
접근이 승인되지 않은 자원은 네트워크 수준에서 직접 접근하거나 탐색하기 어렵도록 구성할 수 있다.
SP 800-207의 제3.2절은 논리적 아키텍처를 실제 환경에 배포하는 네 가지 모델을 설명한다.
Device Agent/Gateway-Based Deployment
사용자 단말의 에이전트와 자원 앞에 위치한 게이트웨이를 함께 활용하는 방식이다.
단말 에이전트는 접근 요청과 관련 정보를 전달하고, 게이트웨이는 승인된 연결을 보호 대상 자원으로 전달한다.
이 모델에서는 단말 상태를 비교적 상세하게 확인할 수 있지만, 단말에 에이전트를 설치하고 관리해야 하는 부담이 발생할 수 있다.
Enclave-Based Deployment
개별 자원 대신 여러 자원을 포함하는 보호 영역(Enclave) 앞에 게이트웨이를 배치하는 방식이다.
보호 영역에 대한 접근을 통제하므로 여러 자원을 개별적으로 보호하기 어려운 환경에 적용할 수 있다.
다만 영역 내부에 포함된 자원 사이에는 추가적인 암묵적 신뢰가 형성될 수 있다.
따라서 보호 영역의 크기와 내부 접근통제를 적절하게 설계해야 한다.
Resource Portal-Based Deployment
사용자가 자원 포털에 접속하고 포털이 접근을 중개하는 방식이다.
단말에 별도의 에이전트를 설치하지 않고도 접근통제를 적용할 수 있다는 장점이 있다.
그러나 조직이 단말의 보안 상태를 지속적으로 관찰하거나 제어하기 어려울 수 있다.
또한 포털 자체가 외부 공격과 서비스 거부 공격의 대상이 될 수 있다.
Device Application Sandboxing
단말에서 승인된 애플리케이션을 별도의 격리 환경에서 실행하는 방식이다.
가상 머신, 컨테이너 또는 기타 격리 기술을 활용할 수 있다.
승인된 애플리케이션만 정책 집행 지점을 통해 보호 대상 자원에 접근하도록 제한한다.
이 방식은 단말의 다른 애플리케이션이나 호스트 환경이 침해된 경우에도 보호 대상 애플리케이션에 미치는 영향을 줄이는 데 활용할 수 있다.
다만 격리된 애플리케이션 자체의 보안과 배포·유지보수 체계를 별도로 관리해야 한다.
SP 800-207의 제4장은 다섯 가지 대표적인 적용 시나리오를 제시한다.
| 시나리오 | 영문 | 주요 특징 |
|---|---|---|
| 원격 사업장을 가진 조직 | Enterprise with Satellite Facilities | 본사와 원격 사업장 사이의 자원 접근통제 |
| 멀티클라우드 조직 | Multi-cloud/Cloud-to-Cloud Enterprise | 여러 클라우드에 분산된 자원에 대한 일관된 접근 정책 |
| 외부 계약업체 및 비직원 접근 | Enterprise with Contracted Services and/or Nonemployee Access | 외부 사용자와 기기의 제한적 자원 접근 |
| 조직 간 협업 | Collaboration Across Enterprise Boundaries | 서로 다른 조직 사이의 신원 및 접근 정책 연계 |
| 대외·고객 서비스 | Enterprise with Public- or Customer-Facing Services | 외부에 공개된 서비스와 내부 보호 자원의 접근 경계 관리 |
이러한 시나리오는 제로 트러스트가 특정 네트워크 구조나 원격접속 환경에만 적용되는 기술이 아니라는 점을 보여준다.
특히 조직의 자원이 여러 클라우드와 데이터센터에 분산되어 있더라도 일관된 접근 정책을 적용할 수 있도록 설계하는 것이 중요하다.
제로 트러스트 아키텍처도 모든 공격을 차단할 수 있는 것은 아니다.
SP 800-207의 제5장은 제로 트러스트 환경에서 발생할 수 있는 주요 위협을 설명한다.[1]
| 위협 | 영문 | 설명 |
|---|---|---|
| 정책 결정 과정의 침해 | Subversion of ZTA Decision Process | 정책 엔진 또는 관련 구성요소를 공격하여 접근 결정을 조작 |
| 서비스 거부 및 네트워크 장애 | Denial-of-Service or Network Disruption | 정책 결정·집행 구성요소의 장애로 정상 업무 중단 |
| 인증정보 탈취와 내부자 위협 | Stolen Credentials/Insider Threat | 정상 신원이나 권한을 악용한 접근 |
| 네트워크 가시성 문제 | Visibility on the Network | 암호화된 통신 등으로 보안 분석에 필요한 정보 확보가 어려워짐 |
| 시스템 및 네트워크 정보 저장 | Storage of System and Network Information | 중앙에 수집된 보안·자산 정보가 새로운 공격 대상이 됨 |
| 독점 데이터 형식 및 솔루션 의존 | Reliance on Proprietary Data Formats or Solutions | 상호운용성과 공급업체 변경의 어려움 |
| 비인간 주체의 관리 권한 | Use of Non-person Entities in ZTA Administration | 자동화된 서비스 계정이나 관리 구성요소의 권한 악용 |
정책 엔진이나 정책 관리자가 침해되면 공격자가 접근 정책을 조작하거나 비인가 연결을 허용하도록 만들 수 있다.
따라서 정책 결정과 집행 기능 자체를 높은 수준으로 보호해야 한다.
정책 엔진이나 정책 관리자에 장애가 발생하면 새로운 접근 요청을 처리하지 못할 수 있다.
조직은 정책 결정 기능의 가용성을 확보하고 장애 상황에서 기존 세션과 신규 요청을 어떻게 처리할지 결정해야 한다.
공격자가 정상 사용자의 인증정보를 탈취하면 해당 사용자의 권한을 악용할 수 있다.
제로 트러스트는 이러한 위험을 줄이기 위해 기기 상태와 행위 정보를 함께 평가하지만, 정상적인 사용자 행위와 유사한 공격을 항상 식별할 수 있는 것은 아니다.
제로 트러스트 환경은 접근 결정을 위해 다양한 시스템의 상태와 활동 정보를 수집한다.
이러한 정보에는 조직의 자산 구성, 사용자 권한 및 네트워크 구조와 관련된 민감한 내용이 포함될 수 있다.
따라서 정보 수집 시스템과 저장소 자체에 대한 접근통제와 보호조치가 필요하다.
SP 800-207의 제7장은 기존 경계 기반 네트워크를 제로 트러스트 아키텍처로 전환하기 위한 일반적인 접근법을 제시한다.
NIST는 제로 트러스트 도입을 기존 인프라의 일괄 교체가 아니라 점진적인 전환 과정으로 설명한다.
Pure Zero Trust Architecture
새로운 시스템을 처음부터 구축하는 경우 제로 트러스트 원칙을 기반으로 아키텍처를 설계할 수 있다.
업무 흐름과 자원을 식별하고 필요한 접근 관계를 정의한 뒤, 이에 맞는 정책 결정 및 집행 기능을 구성한다.
그러나 기존 정보시스템을 운영하는 대규모 조직에서는 모든 시스템을 처음부터 재설계하기 어렵다.
Hybrid ZTA and Perimeter-Based Architecture
기존의 경계 기반 보안과 제로 트러스트 아키텍처가 공존하는 방식이다.
조직은 업무 프로세스나 자원 단위로 제로 트러스트를 단계적으로 도입할 수 있다.
이 과정에서 신원 관리, 기기 관리 및 로그 관리 등의 공통 기능은 기존 시스템과 제로 트러스트 환경 모두에서 동작할 수 있도록 설계해야 한다.
SP 800-207의 제7.3절은 다음과 같은 도입 절차를 제시한다.
- 조직의 사용자와 서비스 등 접근 주체 식별.
- 조직이 보유한 자산 식별.
- 주요 업무 프로세스 식별 및 관련 위험 평가.
- 제로 트러스트 적용 대상에 대한 정책 수립.
- 적용 가능한 기술과 솔루션 식별.
- 초기 배포 및 모니터링.
- 적용 범위 확대.
각 단계의 주요 내용은 다음과 같다.
| 단계 | 주요 활동 |
|---|---|
| 주체 식별 | 사용자, 관리자, 서비스 계정 및 기타 비인간 주체 파악 |
| 자산 식별 | 서버, 단말, 애플리케이션, 데이터 및 클라우드 자산 목록화 |
| 업무 분석 | 자원 간 의존관계, 통신 흐름 및 업무 중요도 확인 |
| 정책 수립 | 자원별 접근 조건과 허용 권한 정의 |
| 솔루션 선정 | 기존 시스템과 연계 가능한 정책 결정·집행 기술 검토 |
| 초기 배포 | 제한된 업무 범위에 적용하고 정상·비정상 접근 결과 모니터링 |
| 범위 확대 | 검증된 정책과 기술을 다른 업무 및 자원으로 확대 |
NIST는 자산, 주체, 데이터 흐름 및 업무 프로세스에 관한 정보가 충분하지 않으면 접근 정책을 정확하게 수립하기 어렵다고 설명한다.
따라서 제로 트러스트 도입에 앞서 자산과 업무 흐름을 파악하는 것이 중요하다.
VPN은 네트워크 사이에 암호화된 통신 경로를 제공하는 기술이다.
반면 제로 트러스트는 자원 접근에 필요한 신원·기기·위험 평가와 정책 집행을 정의하는 보안 원칙 및 아키텍처이다.
VPN 연결을 통해 내부망에 진입했다는 사실만으로 모든 내부 자원에 대한 접근을 허용하는 방식은 제로 트러스트의 기본 원칙과 구분된다.
다만 VPN을 사용한다는 사실 자체가 제로 트러스트와 모순되는 것은 아니다. VPN은 제로 트러스트 환경에서도 통신 보호 수단으로 활용할 수 있다.
마이크로 세그멘테이션은 네트워크를 세밀하게 구분하여 자원 사이의 접근을 제한하는 기술이다.
제로 트러스트 아키텍처에서는 마이크로 세그멘테이션을 정책 집행 수단으로 활용할 수 있다.
그러나 네트워크를 분리하는 것만으로 사용자 신원, 기기 상태 및 위험에 따른 동적 접근 결정이 구현되는 것은 아니다.
다중 인증(MFA)은 서로 다른 인증 요소를 조합하여 신원을 확인하는 기술이다.
제로 트러스트 아키텍처에서는 다중 인증을 접근 결정의 중요한 수단으로 활용할 수 있다.
그러나 다중 인증만 적용했다고 해서 자원별 최소 권한, 기기 보안 상태 평가 및 지속적인 접근통제가 자동으로 구현되는 것은 아니다.
위험 기반 접근통제는 접근 요청 당시의 위험 정보를 평가하여 허용·제한·거부 등의 결정을 내리는 방식이다.
제로 트러스트의 정책 엔진은 이러한 위험 기반 접근통제 방식을 활용할 수 있다.
위험 판단에는 신원, 기기 상태, 접근 위치, 시간, 과거 행위 및 위협 인텔리전스 등이 사용된다.
| 문서 | 주요 내용 | SP 800-207과의 관계 |
|---|---|---|
| SP 800-37 | 위험 관리 프레임워크(RMF) | 제로 트러스트 도입을 조직의 위험 관리 절차와 연계 |
| SP 800-53 | 보안 및 개인정보 보호 통제 | 제로 트러스트 구현에 필요한 보안 통제 제공 |
| SP 800-63 | 디지털 신원 관리 지침 | 신원 확인, 인증 및 연합 신원 관리의 기반 |
| SP 800-160 | 시스템 보안 공학 | 보안 아키텍처 설계 및 시스템 공학과 연계 |
| SP 800-162 | 속성 기반 접근통제(ABAC) | 동적 접근 정책에 활용할 수 있는 속성 기반 통제 개념 |
| SP 800-207A | 멀티클라우드의 클라우드 네이티브 애플리케이션 접근통제 | 애플리케이션·서비스 신원 기반 제로 트러스트 구현 확장 |
| SP 1800-35 | 제로 트러스트 아키텍처 구현 사례 | SP 800-207의 원칙을 적용한 실제 참조 구현 제공 |
NIST SP 800-207A의 정식 명칭은 A Zero Trust Architecture Model for Access Control in Cloud-Native Applications in Multi-Cloud Environments이다.
2023년 9월 13일 최종 발행되었다.
SP 800-207이 제로 트러스트의 일반적인 원칙과 아키텍처를 정의한다면, SP 800-207A는 멀티클라우드 및 하이브리드 환경에서 클라우드 네이티브 애플리케이션의 접근통제를 구현하는 방법을 다룬다.
특히 다음 기술과 관련된다.
- 애플리케이션 및 서비스 신원.
- API 게이트웨이.
- 사이드카 프록시.
- 서비스 메시(Service Mesh).
- SPIFFE(Secure Production Identity Framework for Everyone).
- 세분화된 애플리케이션 수준 접근 정책.
SP 800-207A는 사용자 신원뿐 아니라 애플리케이션과 서비스 자체의 신원을 기반으로 접근통제를 수행하는 아키텍처를 설명한다.[3]
NIST SP 1800-35의 정식 명칭은 Implementing a Zero Trust Architecture이다.
2025년 6월 최종 발행되었다.
NIST 산하 국가사이버보안우수센터(NCCoE)는 24개 협력업체와 함께 19개의 제로 트러스트 아키텍처 구현 사례를 구축하고 이를 문서화하였다.
SP 800-207이 원칙과 논리적 아키텍처를 제시한다면, SP 1800-35는 실제 기술을 조합한 구현 사례와 구축 과정에서 확인된 사항을 제공한다.
구현 사례에는 신원 거버넌스 강화, 마이크로 세그멘테이션, 소프트웨어 정의 경계 및 관련 보안 기술이 활용된다.
SP 1800-35는 상위 수준의 PDF 문서와 상세한 구현 정보를 제공하는 웹 문서로 구성된다.[4]
NIST SP 800-207은 본문 7개 장과 부록 A·B로 구성된다.
| 구분 | 영문 제목 | 주요 내용 |
|---|---|---|
| 제1장 | Introduction | 제정 배경, 목적 및 문서 구성 |
| 제2장 | Zero Trust Basics | 제로 트러스트의 정의, 7대 원칙 및 네트워크에 관한 가정 |
| 제3장 | Logical Components of Zero Trust Architecture | PE·PA·PEP, 구현 접근법, 배포 모델 및 신뢰 알고리즘 |
| 제4장 | Deployment Scenarios/Use Cases | 원격 사업장, 멀티클라우드, 외부 협력업체 및 조직 간 협업 시나리오 |
| 제5장 | Threats Associated with Zero Trust Architecture | 정책 결정 기능 침해, 서비스 거부, 인증정보 탈취 등 위협 |
| 제6장 | Zero Trust Architecture and Possible Interactions with Existing Federal Guidance | 미국 연방정부의 기존 보안 지침 및 정책과의 관계 |
| 제7장 | Migrating to a Zero Trust Architecture | 기존 경계 기반 환경에서 제로 트러스트로 전환하는 절차 |
| 부록 A | Acronyms | 약어 |
| 부록 B | Identified Gaps in the Current State-of-the-Art in ZTA | 제로 트러스트 구현 기술의 한계와 추가 연구 과제 |
제6장은 제로 트러스트 아키텍처와 미국 연방정부의 기존 보안 지침 및 정책 사이의 관계를 설명한다.
주요 항목은 다음과 같다.
- NIST 위험 관리 프레임워크(RMF).
- NIST 개인정보 보호 프레임워크.
- 연방 신원·자격증명·접근 관리(FICAM).
- Trusted Internet Connections(TIC) 3.0.
- EINSTEIN 국가사이버보호시스템.
- 지속적 진단 및 완화(CDM) 프로그램.
- Cloud Smart 정책 및 연방 데이터 전략.
제로 트러스트는 이러한 기존 보안체계를 전면적으로 대체하기보다 상호 보완하는 방식으로 도입할 수 있다.
부록 B는 2020년 당시 제로 트러스트 기술과 구현 환경에서 확인된 한계를 정리한다.
주요 내용은 다음과 같다.
- 제로 트러스트 설계·계획·조달에 사용되는 공통 용어 부족.
- 기존 연방 보안 정책과 제로 트러스트의 관계에 대한 인식 문제.
- 구성요소 사이의 표준화된 인터페이스 부족.
- 독점적인 API와 데이터 형식에 대한 의존.
- 공격자의 제로 트러스트 대응 방식에 관한 연구 필요성.
- 사용자 경험과 운영 편의성 문제.
- 네트워크 장애 및 서비스 중단 상황에서의 복원력.
이 내용은 2020년 당시의 기술 현황과 연구 과제를 반영한 것으로, 현재도 모든 문제가 동일한 수준으로 남아 있다는 의미는 아니다.
NIST SP 800-207을 실제 시스템에 적용할 때는 다음 사항을 구분해야 한다.
- 제로 트러스트의 기본 원칙과 이를 구현하는 개별 보안 제품.
- 사용자 인증과 자원 접근에 대한 인가.
- 네트워크 연결 허용과 개별 자원 접근 허용.
- 최초 인증과 세션 중 지속적인 위험 평가.
- 정책 결정 기능과 정책 집행 기능.
- 네트워크 분리와 신원 기반 동적 접근통제.
- 사용자 계정과 서비스 계정 등 비인간 주체.
- 조직이 소유한 자산과 실제로 신뢰할 수 있는 상태의 자산.
제로 트러스트는 특정 VPN, 프록시, 방화벽 또는 접근통제 솔루션을 도입하는 것만으로 완성되지 않는다.
조직의 자산과 업무 흐름을 식별하고, 자원별 접근 정책을 수립하며, 정책의 결정·집행·모니터링을 일관되게 운영해야 한다.
또한 제로 트러스트를 도입하더라도 취약점 관리, 침해사고 대응, 백업, 보안관제 및 기존 보안 통제의 필요성이 사라지는 것은 아니다.
NIST SP 800-207은 제로 트러스트 아키텍처의 개념과 설계 원칙을 제공하는 지침이며, 특정 제품의 인증 기준이나 모든 조직에 직접 적용되는 법적 의무를 정의하는 문서는 아니다.
- ↑ 1.0 1.1 1.2 1.3 1.4 Scott Rose, Oliver Borchert, Stu Mitchell, Sean Connelly, Zero Trust Architecture, NIST Special Publication 800-207, 2020-08.
- ↑ NIST Computer Security Resource Center, SP 800-207, Zero Trust Architecture, 확인: 2026-10-23.
- ↑ Ramaswamy Chandramouli, Zack Butcher, A Zero Trust Architecture Model for Access Control in Cloud-Native Applications in Multi-Cloud Environments, NIST SP 800-207A, 2023-09.
- ↑ Scott Rose 외, Implementing a Zero Trust Architecture, NIST SP 1800-35, 2025-06.