제로트러스트 예산 27% 감소에도 ISMS-P 연계 통한 기업 투자 환경 조성 시급

핵심 요약

- 2026년 제로트러스트 예산이 2025년 62억원에서 45억원으로 27% 감소하며 정책 추진 동력 약화 우려 - 최형두 국회 과기방통위 위원, ISMS-P 등 기존 인증제도와의 연계를 통한 민간 투자 활성화 방안 제시 - 개념 검토 단계를 넘어 실질적 구현 단계로의 전환을 위한 제도적 기반 마련 필요성 대두

주요 내용

국회 과학기술정보방송통신위원회 최형두 위원이 2026년 제로트러스트 보안 예산 감소에 대한 우려와 함께, ISMS-P 인증제도와의 연계 필요성을 강조했다. 2025년 62억원 규모였던 제로트러스트 예산이 2026년 45억원으로 17억원(27.4%) 감소하면서, 제로트러스트 보안 체계 구축을 추진 중인 기업들의 투자 의욕이 저하될 수 있다는 지적이다.

제로트러스트는 '신뢰하지 않고 항상 검증한다(Never Trust, Always Verify)'는 원칙으로, 내부망이라도 모든 접근을 검증하는 차세대 보안 패러다임이다. 랜섬웨어와 공급망 공격이 고도화되면서 전 세계적으로 제로트러스트 도입이 가속화되고 있으나, 국내에서는 예산 감소로 정책 추진력이 약화되는 상황이다.

최 위원은 기업들이 제로트러스트 보안 체계를 지속적으로 구축할 수 있도록, 공시 의무화와 ISMS-P 등 기존 인증제도와의 연계를 검토해야 한다고 제안했다. 현재 ISMS-P 인증 취득 기업이 3,000개를 넘어선 상황에서, 인증 심사 항목에 제로트러스트 관련 통제 항목을 포함하면 별도의 예산 투입 없이도 민간 부문의 자발적 투자를 유도할 수 있다는 분석이다.

보안 업계에서는 제로트러스트가 개념 검토 단계를 넘어 실질적 구현 단계로 진입해야 할 시점이라는 데 공감대를 형성하고 있다. 특히 원격근무와 클라우드 전환이 일상화된 2026년 현재, 경계 기반 보안(Perimeter Security)의 한계가 명확해지면서 제로트러스트 도입은 선택이 아닌 필수로 인식되고 있다.

전문가 시각

ISMS-P 선임심사원으로서 현장에서 목격하는 가장 큰 문제는, 기업들이 제로트러스트를 '추가적인 투자'로 인식한다는 점이다. 그러나 제로트러스트는 기존 보안 체계를 전면 교체하는 것이 아니라, 현재의 접근통제·인증·네트워크 분리 등 ISMS-P 통제 항목을 고도화하는 방향으로 접근해야 한다. 예를 들어 ISMS-P 인증기준 2.8.1(사용자 식별) 및 2.8.2(사용자 인증)를 다중인증(MFA)과 지속적 검증(Continuous Verification)으로 강화하면, 자연스럽게 제로트러스트 원칙이 구현된다.

ISMS-P 인증 심사 시 제로트러스트 관련 통제를 평가 항목에 포함하는 것은 충분히 가능하며, 오히려 필요하다. 2.9.1(네트워크 접근) 심사 시 마이크로 세그멘테이션 구현 여부, 2.10.6(원격접속 통제) 심사 시 VPN 대신 ZTNA(Zero Trust Network Access) 도입 여부 등을 확인하면, 기업들은 인증 유지를 위해 자연스럽게 제로트러스트 요소를 도입하게 된다. 정부 예산 감소가 오히려 민간 주도의 실질적 보안 투자를 촉진하는 계기가 될 수 있다.

ISMS-P 심사원 체크포인트

1. 인증기준 2.8.2(사용자 인증) - 다중인증 및 지속적 검증
- 제로트러스트의 핵심인 '지속적 검증' 원칙이 구현되려면, 최초 로그인 시 인증만으로는 부족하며 세션 중에도 사용자·기기·위치·행위 패턴을 지속 검증해야 함
- 심사 시 확인사항: MFA 적용률, 적응형 인증(Adaptive Authentication) 구현 여부, 비정상 접근 패턴 탐지 체계
- 관련 법규: 개인정보보호법 제29조(안전조치의무), 개인정보의 안전성 확보조치 기준 제4조(접근통제)

2. 인증기준 2.9.1(네트워크 접근) - 마이크로 세그멘테이션
- 전통적 DMZ 기반 경계 보안을 넘어, 내부망을 세밀하게 분리하고 각 구간마다 접근 정책을 적용하는 마이크로 세그멘테이션이 제로트러스트의 핵심 구현 기술
- 심사 시 확인사항: 네트워크 세그먼트별 접근통제 정책 수립 및 이행, 내부 트래픽 모니터링 체계, Least Privilege 원칙 적용
- 관련 법규: 정보통신망법 제45조(정보보호 조치), ISMS-P 인증기준 해설서 네트워크 분리 요구사항

3. 인증기준 2.10.6(원격접속 통제) - ZTNA 도입
- 전통적 VPN은 네트워크 전체 접근을 허용하는 반면, ZTNA는 애플리케이션 단위로 접근을 제어하여 제로트러스트 원칙 구현
- 심사 시 확인사항: 원격접속 시 기기 상태 검증, 접속 후 네트워크 가시성 제한, 세션별 로깅 및 모니터링
- 관련 법규: 개인정보의 안전성 확보조치 기준 제7조(접속기록 보관)

CPPG·ISMS-P 연계 포인트

1. 제로트러스트 아키텍처의 3대 핵심 요소
제로트러스트는 ① 신원 검증(Identity Verification) - 사용자·기기 지속 인증, ② 최소 권한(Least Privilege) - 필요한 자원에만 접근 허용, ③ 침해 가정(Assume Breach) - 내부망도 신뢰하지 않고 모니터링으로 구성된다. ISMS-P 인증기준의 접근통제(2.8), 네트워크 보안(2.9), 침해사고 대응(2.11) 영역이 이 세 요소와 직접 연계되므로, 시험 출제 시 통합 이해를 요구하는 문항이 출제될 가능성이 높다.

2. 경계 기반 보안(Perimeter Security)과 제로트러스트의 차이
전통적 경계 기반 보안은 '내부는 신뢰, 외부는 차단'하는 Castle-and-Moat 모델이나, 클라우드·모바일·원격근무 환경에서는 명확한 경계가 없어 한계가 있다. 제로트러스트는 네트워크 위치와 무관하게 모든 접근을 검증하는 'Never Trust, Always Verify' 원칙을 적용한다. CPPG 시험에서는 보안 패러다임 변화와 개인정보 접근통제의 연관성, ISMS-P에서는 각 통제 항목별 구현 방안을 묻는 문제로 출제 가능하다.