KISA, 2026년 말 제로트러스트 시범사업 성과보고서 발간 예정…ISMS-P 인증 연계 방안 주목

핵심 요약

- KISA, 2026년 말 3년간 제로트러스트 시범사업 성과를 종합한 보고서 발간 예정 - ISMS-P 등 정보보호 인증제도를 통해 제로트러스트 보안 요건 제도화 추진 - 국내 보안 제도 기반을 활용한 제로트러스트 확산 전략 구체화

주요 내용

한국인터넷진흥원(KISA)이 2026년 말 제로트러스트 시범사업의 3년간 성과를 집대성한 보고서를 발간할 예정이다. KISA 관계자는 "지난 3년간의 성과를 체계적으로 정리해 국내 제로트러스트 도입 가이드라인으로 활용할 수 있도록 할 것"이라고 밝혔다.

특히 주목할 점은 ISMS(정보보호관리체계 인증)와 ISMS-P(개인정보보호관리체계 인증) 같은 기존 인증제도와 제로트러스트를 연계하려는 움직임이다. 현행 인증제도에서 보안 요건을 정의하고 준수를 유도하는 방식으로 제로트러스트 원칙을 제도화하는 방안이 검토되고 있다.

우리나라는 ISMS-P 등 의무인증제도를 통해 일정 규모 이상 기업의 정보보호 수준을 관리해왔다. 이러한 제도적 기반은 새로운 보안 패러다임인 제로트러스트를 확산시키는 데 유리한 환경을 제공한다. 정부는 시범사업 결과를 바탕으로 실효성 있는 제로트러스트 도입 모델을 제시할 계획이다.

제로트러스트는 '절대 신뢰하지 말고 항상 검증하라(Never Trust, Always Verify)'는 원칙에 따라 네트워크 경계 내부도 신뢰하지 않는 보안 접근법이다. 클라우드와 원격근무 확산으로 기존 경계 기반 보안의 한계가 드러나면서 전 세계적으로 도입이 가속화되고 있다.

전문가 시각

제로트러스트와 ISMS-P 인증의 연계는 매우 의미 있는 시도다. 현재 ISMS-P 인증기준은 접근통제, 암호화, 인증 등 제로트러스트의 핵심 요소를 상당 부분 포함하고 있으나, 명시적으로 제로트러스트 아키텍처를 요구하지는 않는다. 2026년 말 발간될 성과보고서가 향후 인증기준 개정의 기초 자료로 활용될 가능성이 높다는 점에서, 기업들은 시범사업의 방향성과 결과를 주의 깊게 살펴볼 필요가 있다.

실무적으로는 ISMS-P 인증 준비 과정에서 제로트러스트 원칙을 선제적으로 적용하는 것을 권장한다. 특히 2.8.1(인증 및 권한관리), 2.5.3(네트워크 접근), 2.9.2(암호화 적용) 등의 통제항목을 제로트러스트 관점에서 재설계하면, 향후 인증기준 강화에도 유연하게 대응할 수 있다. 단, 제로트러스트 도입 시 사용자 편의성 저하와 초기 구축비용 증가를 고려한 단계적 접근이 필요하다.

ISMS-P 심사원 체크포인트

1. 인증 및 권한관리(2.8.1) 제로트러스트의 핵심인 다단계 인증(MFA)과 최소권한 원칙 적용 여부를 확인한다. 심사 시 단순한 ID/PW 인증을 넘어 생체인증, OTP 등 추가 인증수단 적용 현황과 직무별 최소 권한 부여 원칙 준수를 점검한다. 개인정보보호법 제29조(안전조치의무)에서 요구하는 접근통제 조치가 제로트러스트 수준으로 강화되었는지 검토해야 한다.

2. 네트워크 접근 통제(2.5.3) 기존 경계 기반 보안에서 벗어나 마이크로 세그멘테이션, ID 기반 접근통제 등 제로트러스트 원칙 적용 여부를 확인한다. 내부 네트워크라도 무조건 신뢰하지 않고 접근 시마다 인증·인가하는 체계 구축 여부, VPN 대신 ZTNA(Zero Trust Network Access) 솔루션 도입 현황을 심사한다. 원격근무 환경에서 개인정보 접근 통제가 적절히 이루어지는지가 핵심이다.

3. 암호화 및 데이터 보호(2.9.2) 제로트러스트 환경에서는 데이터 중심 보안이 강조된다. 저장·전송 단계별 암호화뿐 아니라 사용 단계에서도 데이터 보호가 이루어지는지 확인한다. 개인정보보호법 시행령 제30조에 따른 암호화 조치가 네트워크 내부 통신에도 적용되는지, DLP(데이터유출방지) 등 데이터 중심 보호 대책이 마련되었는지 점검한다.

CPPG·ISMS-P 연계 포인트

제로트러스트 아키텍처의 7대 원칙 NIST SP 800-207 기반 제로트러스트는 ①모든 리소스를 신뢰하지 않음 ②네트워크 위치와 무관한 접근통제 ③세션별 접근 권한 부여 ④동적 정책 기반 접근 결정 ⑤모든 자산의 무결성 모니터링 ⑥모든 리소스 인증 및 인가 ⑦지속적 보안상태 평가를 핵심으로 한다. ISMS-P 인증기준 2.8(접근통제) 및 2.10(침해사고 관리)과 직접 연계된다.

최소권한 원칙과 직무분리 제로트러스트의 최소권한(Least Privilege) 원칙은 CPPG 및 ISMS-P에서 강조하는 직무분리, 권한관리와 동일 맥락이다. 사용자에게 업무 수행에 필요한 최소한의 권한만 부여하고, 권한 남용 방지를 위해 정기적으로 검토·갱신해야 한다. 개인정보 처리 권한은 더욱 엄격하게 관리되어야 하며, 특권 계정의 경우 PAM(Privileged Access Management) 등 강화된 통제가 필요하다.