[김정덕의 인간중심보안-8] ‘인간중심보안’과 ‘제로트러스트’

기술과 문화 결합이 디지털 신뢰 완성

[연재목차 Part 3. 인간중심보안과 보안문화]
1. AI 시대, 왜 인간 중심 보안인가
2. AI 시대, 인간 중심 보안을 구현하려면
3. 인간의 창의성과 AI 보안
4. 보안 위반, 뇌 과학 해법
5. 넛지 보안의 힘
6. 감정과 비합리성, 보안의 숨은 힘
7. 디지털 야누스, 두얼굴의 사용자
8. ‘인간중심보안’과 ‘제로트러스트’
9. ESG 너머, 인적 지속가능성과 보안
10. 예산·인력 없는 중소기업, '사람'이 답이다
11. 보안문화, Nature vs. Nurture
12. 보안 성패를 가르는 7가지 문화 유형
13. 한국형 보안문화 진단 모델_K-SCT
14. 디지털 보안문화 전환 모델_CORE TRUST

[보안뉴스= 김정덕 중앙대 산업보안학과 명예교수/인간중심보안포럼 의장] 최근 사이버 보안 분야에서는 두 가지 상반된 철학이 공존하고 있습니다. 하나는 ‘신뢰'를 바탕으로 직원의 자율성과 책임을 강조하는 ‘인간중심보안’(People-Centric Security)이고, 다른 하나는 ‘아무도 신뢰하지 않는 것’을 전제로 모든 것을 검증하는 ‘제로트러스트’(Zero Trust)입니다. 이 둘은 언뜻 보기에 서로 모순되는 것처럼 보이지만, 사실은 현대 조직이 갖춰야 할 필수적인 상호 보완 관계에 있습니다.

인간중심보안: ‘신뢰하되, 검증하라'
인간중심보안은 직원을 잠재적 위험 요소나 통제의 대상으로 보는 대신, 신뢰를 기반으로 한 ‘보안 파트너'로 인식하는 접근법입니다. 이 전략의 핵심은 직원에게 자율성과 책임을 부여해 긍정적이고 능동적인 보안 문화를 구축하는 것입니다. 구체적이고 엄격한 통제보다는 기본적인 원칙을 제시하고, 직원들이 상황 변화에 유연하게 대응하도록 유도합니다.

이러한 ‘신뢰' 중심의 문화는 직원들의 자발적인 참여와 헌신을 이끌어내 보안 수준을 근본적으로 향상시키는 것을 목표로 합니다. 이는 ‘신뢰하되 검증한다’(Trust but Verify)는 패러다임으로 요약될 수 있습니다.

제로트러스트: ‘신뢰하지 말고, 항상 검증하라’
반면, 제로트러스트는 ‘절대 신뢰하지 말고, 항상 검증하라’(Never Trust, Always Verify)는 원칙에 기반한 보안 아키텍처입니다. 내부 네트워크든 외부든 모든 접근 요청을 신뢰할 수 없는 것으로 간주하며, 사용자의 신원, 기기 상태, 위치 등을 지속적으로 인증합니다. 내부자라 할지라도 최소 권한만 부여하고, 모든 활동을 실시간 모니터링해 위협을 탐지 대응합니다. 이 모델에서 '신뢰'는 제거해야 할 취약점으로 여겨집니다.

클라우드와 원격 근무 환경에서 기존 경계형 보안이 무효화된 상황에서, 제로트러스트는 모든 접근을 잠재적 위협으로 간주하고 철저히 확인하는 강력한 방어 체계를 제공합니다. 그러나 많은 조직이 그 중요성을 인식하면서도 도입을 주저하는 이유는 막대한 비용과 기술적 복잡성 때문입니다. 이로 인해 경영진 동의를 얻기 어렵고, 인식과 실제 구현 간 격차가 커지며 전면 도입 사례는 소수에 그칩니다.

제로트러스트의 장벽 극복
제로트러스트 아키텍처를 위해 기존 인프라를 일시에 교체하는 것은 현실적으로 불가능합니다. 비용과 복잡성을 관리하며 점진적으로 보안 수준을 높이는 전략적 접근이 필수적입니다. 이를 위해 마이크로 세그멘테이션이 우선적으로 적용해야 합니다.

이 기술은 네트워크를 작고 격리된 구역으로 나누어 한 구역 침해 시 공격자의 횡적 이동을 차단합니다. 전체 네트워크를 재구축하지 않고 핵심 구역부터 분리·통제할 수 있어, 적은 비용으로 제로트러스트 기초를 마련하는 효과적인 출발점입니다. 이를 통해 가장 중요한 데이터와 자산을 우선순위로 정해 단계적으로 보호 대상을 넓혀가는 명확한 로드맵을 수립하는 것이 중요합니다.

제로트러스트와 인간중심보안의 시너지
위와 같은 기술적, 전략적 해법만으로는 충분하지 않습니다. 제로트러스트가 성공적으로 안착하기 위해서는 ‘사용자’의 역할이 결정적이며, 바로 이 지점에서 ‘인간중심보안’과의 상호 보완 관계가 빛을 발합니다.

- 역할 구분: 제로트러스트는 ‘절대 신뢰하지 않고, 항상 검증한다’는 원칙 아래 모든 접근을 통제하는 기술적 안전망입니다. 직원 실수나 계정 탈취 시에도 피해를 최소화하는 최후 보루 역할을 합니다. 반면, 인간중심보안은 직원을 ‘신뢰하는 보안 파트너’로 보고, 교육과 긍정적 소통으로 보안 의식을 내재화하는 문화적 접근입니다.

- 비용 효율성: 잘 훈련된 직원은 피싱 식별과 의심 활동 보고 등 고가의 보안 솔루션이 탐지하기 전에 1차 방어선 역할을 수행합니다. 이는 잠재적 위협의 수를 줄여 제로트러스트 시스템이 처리해야 할 부하와 운영 비용을 줄여줍니다. 즉, 사람에 대한 투자가 기술 투자 효율을 높이는 것입니다.

- 검증 피로감 완화: 제로트러스트의 엄격한 인증은 사용자에게 불편함을 주고 업무 효율을 저하시킬 수 있다는 비판을 받습니다. 하지만 보안 의식이 높은 직원은 위험한 행동을 할 가능성 자체가 낮아, 불필요한 경고를 줄이고, 보안 정책 필요성을 이해해 거부감을 감소시킵니다. 기술 통제와 문화 공감이 융화될 때 업무 효율도 유지됩니다.

지속 가능한 디지털 신뢰
제로트러스트 아키텍처의 높은 비용과 복잡성은 이 전략이 틀렸다는 신호가 아니라, 기술만으로는 완전한 보안을 이룰 수 없다는 증거입니다. 가장 현명한 해법은 제로트러스트를 단계적으로 도입해 안전망을 구축하는 동시에, 인간중심보안 문화를 조성하여 구성원을 능동적 방어자로 만드는 것입니다. ‘믿지 않음’을 전제로 한 기술과 ‘믿음’을 기반으로 한 문화의 결합으로 지속 가능한 ‘디지털 신뢰’가 완성될 것입니다.

[글_김정덕 중앙대 산업보안학과 명예교수/인간중심보안포럼 의장]

필자 소개_ 중앙대학교 산업보안학과 명예교수, 인간중심보안포럼 의장, 한국정보보호학회 부회장, 금융 정보보호관리체계 인증위원, 전 JTC1 SC27 정보보안 국제표준화 전문위 의장 및 의원, 전 ISO 27014(정보보안 거버넌스) 에디터 등 역임

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다