미 해군과 국토안보부가 제로 트러스트를 구현한 방법

제로 트러스트에는 프레임워크가 부족하지 않습니다.

성숙도 모델, 참조 아키텍처, 공급업체 솔루션은 어디에나 존재합니다. 하지만 많은 팀에게 제로 트러스트는 여전히 이론에 머물러 있는 것처럼 느껴집니다. 개념적으로는 이해가 되지만 실제 성과로 이어지기는 어렵습니다.

이것이 최근 웨비나 ' 노이즈가 아닌 데이터 보호'의 초점이었습니다: 실용적인 제로 트러스트 대화. 이 세션에서는 일루미오의 수석 에반젤리스트이자 제로 트러스트 창시자인 존 킨더백이 돈 예스케와 함께 제로 트러스트가 실제로 작동하기 위해 무엇이 필요한지 살펴봅니다.

예스케는 이전에 미국 해군과 국토안보부에서 제로 트러스트 아키텍처 작업을 주도하여 정부에서 가장 복잡하고 미션 크리티컬한 환경에서 직접 경험을 쌓았습니다.

이 경험을 통해 그는 제로 트러스트가 광범위한 포부에서 집중적인 실행으로 전환될 때 비로소 현실화된다는 사실을 깨달았습니다.

이러한 변화는 표면 보호라는 한 가지 아이디어에서 시작됩니다.

이것이 바로 DHS와 해군이 제로 트러스트를 이론에서 운영 현실로 옮기는 데 도움이 된 것입니다. 오늘날 조직에서 배울 수 있는 점은 다음과 같습니다.

운영 중심이 없는 제로 트러스트가 실패하는 이유

예스케의 경험에 따르면 제로 트러스트는 시작도 하기 전에 무너지는 경우가 많습니다.

문제는 개념을 이해하지 못하는 것입니다. 대부분의 팀은 제로 트러스트의 원칙을 이해하고 있습니다. 문제는 이러한 원칙이 어떻게 적용되는가입니다.

대규모 조직, 특히 정부 기관의 경우 기본 접근 방식은 대규모로 사고하는 것입니다. 보안 팀은 엔터프라이즈 수준에서 이니셔티브를 구성하고 요구 사항을 광범위하게 적용합니다. 얼마나 널리 배포되었는지를 기준으로 성공을 측정합니다.

예스케는 이를 제로 트러스트 여정의 초기 단계로 설명하며, 특정 결과보다는 전체 공격 표면에 초점을 맞추고 있습니다.

이는 익숙한 패턴으로 이어집니다. 팀은 조직 전체에서 MFA(다단계 인증) 또는 엔드포인트 제어와 같은 기능을 구현합니다. 이러한 단계는 중요한 단계이지만 자동으로 의미 있는 보호로 이어지지는 않습니다.

빠진 부분은 집중력입니다.

보호해야 할 대상을 명확하게 이해하지 못하면 전략적으로 통제하지 않고 일률적으로 적용하게 됩니다. 따라서 영향을 측정하기가 더 어려워지고 중요한 영역에서 위험이 지속되기 쉬워집니다.

보호 표면: 제로 트러스트가 시작되는 곳

예스케는 미국 국토안보부와 해군에서 일하면서 제로 트러스트에 대해 보다 실용적으로 생각할 수 있는 방법을 소개했습니다.

보안 리더는 모든 것을 똑같이 보호하려고 하는 대신 가장 중요한 것이 무엇인지 파악하는 방향으로 전환해야 합니다.

DHS에서는 어떤 데이터, 애플리케이션 또는 서비스가 손상될 경우 임무 실패를 초래할 수 있는지 간단하지만 강력한 질문을 던지는 것을 의미했습니다.

이 질문은 전체 전략을 재구성합니다.

조직은 광범위한 범위에서 벗어나 구체적인 성과로 나아갈 수 있습니다. 또한 특히 리소스와 복잡성이 모두 높은 환경에서 작업의 우선순위를 자연스럽게 정할 수 있습니다.

여기서 보호 표면의 개념이 중요해집니다.

보호 표면은 중요한 것의 가장 작은 단위입니다. 전체 네트워크나 시스템이 아닙니다. 이는 조직이 잃어서는 안 되는 특정 자산 또는 리소스입니다.

이에 집중함으로써 팀은 정확하고 측정 가능하며 실제 위험에 부합하는 제어를 설계할 수 있습니다.

제로 트러스트 운영의 의미

제로 트러스트를 운영 가능한 것으로 전환하려면 무엇이 중요한지 파악하는 것 이상의 것이 필요합니다. 반복 가능한 방법으로 보안을 구축할 수 있어야 합니다.

예스케는 이것이 실제로 어떻게 작동하는지 설명했습니다.

보호 표면 정의

첫 번째 단계는 보호 표면을 명확한 용어로 정의하는 것입니다. 이는 대규모 시스템을 이해하고 제어할 수 있는 작은 구성 요소로 나누는 것을 의미합니다. 범위가 너무 넓으면 관리가 불가능해집니다.

예스케의 유용한 규칙은 보호 서페이스에 액세스해야 하는 모든 엔티티를 해당 액세스가 필요한 시기와 이유와 함께 나열할 수 있어야 한다는 것입니다. 그렇게 할 수 없다면 여전히 범위가 너무 넓습니다.

네트워크의 정상 상태 이해

보호 표면이 정의되면 다음 단계는 보호 표면이 어떻게 사용되는지 이해하는 것입니다. 여기에는 트랜잭션 흐름을 매핑하고 정상적인 동작을 식별하는 작업이 포함됩니다. 이러한 맥락이 없으면 의미 있는 정책을 시행하기 어렵습니다.

거기서부터 컨트롤은 최대한 보호 표면에 가깝게 설계되고 적용됩니다. 이는 종종 경계에 컨트롤을 배치하는 기존 접근 방식과 중요한 차이점입니다.

이 과정에서 정책은 핵심적인 역할을 합니다. 모든 액세스 권한 결정은 가정이 아닌 명시적인 규칙에 따라 이루어집니다. 액세스 권한은 조건이 충족되는 경우에만 부여되며, 시간이 지남에 따라 지속적으로 평가됩니다.

제로 트러스트 정책 모니터링 및 개선

마지막으로 시스템을 모니터링하고 개선합니다. 원격 분석은 환경이 어떻게 작동하는지에 대한 인사이트를 제공하여 팀이 정책을 조정하고 시간이 지남에 따라 개선할 수 있도록 합니다.

이 접근 방식은 제로 트러스트를 원칙의 집합에서 작동하는 시스템으로 전환합니다.

단순한 도구가 아닌 기능의 역할

예스케의 경험에서 얻은 또 다른 중요한 교훈은 조직이 기술에 대해 어떻게 생각하는가 하는 것입니다.

많은 경우 제로 트러스트는 일련의 제품 결정으로 접근합니다. 팀은 무엇을 구축할 것인가보다 무엇을 구매할 것인가에 집중합니다.

DHS에서 예스케는 다른 접근 방식을 취했습니다. 제품에서 시작하는 대신 기능에 집중했습니다.

기능은 리소스를 보호하는 기능을 수행할 수 있는 능력입니다. 여기에는 사람, 프로세스, 기술이 함께 작동하는 것이 포함됩니다.

이 구분은 중요합니다.

즉, 성공은 도구의 배포 여부에 따라 정의되지 않습니다. 이는 조직이 해당 도구가 지원하고자 하는 기능을 일관되게 수행할 수 있는지 여부에 따라 정의됩니다.

예스케는 많은 환경이 이미 필요한 도구를 갖추고 있다는 점에 주목했습니다. 문제는 이러한 도구가 항상 효과적으로 사용되거나 서로 조화를 이루지 못한다는 것입니다.

조직은 역량에 집중함으로써 이미 보유한 역량을 더 잘 활용하는 동시에 부족한 부분을 파악할 수 있습니다.

복잡한 환경 전반에서 제로 트러스트 확장

정부 환경의 가장 큰 과제 중 하나는 규모입니다.

예를 들어 미국 국토안보부에는 다양한 임무와 기술적 요구 사항을 가진 다양한 기관이 포함되어 있습니다. 단일하고 획일적인 접근 방식이 항상 실용적인 것은 아닙니다.

예스케는 이러한 복잡성을 보호 웹이라는 개념을 통해 어떻게 해결했는지 설명했습니다.

보호 웹은 특정 보호 표면을 중심으로 구성된 기능 집합입니다. 이를 통해 팀은 각 자산에 맞는 방식으로 제로 트러스트를 적용하는 동시에 더 광범위한 전략에 부합하는 방식으로 제로 트러스트를 적용할 수 있습니다.

이 접근 방식은 점진적인 발전을 가능하게 합니다.

조직은 전체 환경을 한 번에 전환하는 대신 단계별로 제로 트러스트를 구축할 수 있습니다. 각 보호 표면은 발전의 단위가 되어 더 크고 탄력적인 아키텍처를 만드는 데 기여합니다.

킨더백이 토론에서 강조했듯이, 제로 트러스트는 한 번에 하나의 보호 표면을 구축하는 방식으로 구축되어야 합니다.

제로 트러스트를 실제 작동하는 것으로 전환하기

제로 트러스트는 종종 목적지로 논의되기도 합니다. 하지만 실제로는 방법일 뿐입니다.

돈 예스케의 경험에서 알 수 있듯이 성공은 프레임워크를 채택하거나 도구 세트를 배포한다고 해서 얻어지는 것이 아닙니다. 이는 명확하고 집중된 전략을 적용하고 이를 일관되게 실행하는 데서 비롯됩니다.

보호 표면이 이를 가능하게 합니다.

조직이 이론에서 행동으로 옮길 수 있는 방법을 제공합니다. 이는 시작점, 구조, 진행 상황을 측정할 수 있는 방법을 제공합니다.

복잡성이 계속 증가하는 세상에서는 이러한 명확성이 필수적입니다.

제로 트러스트의 목표는 모든 것을 동일하게 보호하는 것이 아니라 주변에서 어떤 일이 발생하더라도 가장 중요한 것을 보호하는 것입니다.

방법 알아보기 Illumio 정부 기관에 제로 트러스트 보안을 구축할 수 있습니다.