제로트러스트, 스타트업도 할 수 있나? — 현실적 시작 가이드

"아무것도 신뢰하지 마라" — 말은 멋진데, 현실은?

제로트러스트(Zero Trust)는 보안의 최신 트렌드이자 방향성입니다. 핵심은 단순합니다: 사내 네트워크에 있다고 무조건 신뢰하지 않고, 모든 접근 요청을 검증한다.

그런데 많은 CTO/IT담당자가 이렇게 생각합니다: "그거 대기업이나 하는 거 아닌가? 우리는 직원 50명인데."

결론부터 말하면, 제로트러스트는 규모와 상관없이 단계적으로 도입할 수 있습니다. 오히려 조직이 작을수록 빠르게 적용할 수 있는 영역이 많습니다.

왜 지금 제로트러스트인가

VPN의 한계가 드러났다

전통적인 보안 모델은 "VPN으로 사내망에 들어오면 신뢰"했습니다. 하지만:
- 재택근무/하이브리드 근무가 일상이 됐고
- 클라우드 서비스(AWS, GCP, SaaS)가 사내망 밖에 있고
- VPN 계정이 탈취되면 사내 전체에 횡적 이동이 가능합니다

2025년 VPN 취약점을 이용한 침해 사고가 전년 대비 3배 증가했습니다. VPN은 "성벽"인데, 성벽 안에 들어오면 아무 곳이나 갈 수 있는 구조입니다.

클라우드 시대에 "사내망"이란 개념이 사라졌다

AWS에 서버가 있고, Google Workspace로 문서를 관리하고, Slack으로 소통하고, GitHub에 코드가 있습니다. "사내망"이 어디인가요? 보호해야 할 경계가 사라진 겁니다.

스타트업이 지금 바로 할 수 있는 5단계

1단계: ID 기반 접근 제어 (비용: 0원~)

모든 시스템 접근을 개인 ID 기반으로 통제합니다. 공유 계정을 폐기하고, 개인별 계정 + MFA(다중 인증)를 적용합니다.

• Google Workspace/Microsoft 365: MFA 강제 켜기 (관리자 콘솔에서 5분)
• AWS: IAM 사용자별 MFA 의무화
• GitHub: Organization 레벨 2FA 강제
• 공유 계정([email protected] 등) 폐기

이것만 해도 자격 증명 탈취 공격의 80%를 막습니다.

2단계: 최소 권한 원칙 적용 (비용: 0원)

"일단 Admin 줬다가 나중에 줄이자"를 금지합니다.

• AWS IAM: 필요한 서비스/액션만 허용하는 정책 작성
• SaaS: 역할별 권한 분리 (개발자/마케팅/경영진)
• 파일 공유: "링크가 있는 모든 사람" 대신 "특정 사용자만"
• 퇴사자 계정 즉시 비활성화 프로세스 수립

3단계: 디바이스 신뢰 (비용: 월 $3~5/인)

접근하는 디바이스도 검증합니다. 개인 노트북에서 아무 보안 없이 회사 시스템에 접근하는 것을 차단합니다.

• MDM(모바일 디바이스 관리) 도입: OS 버전, 디스크 암호화, 백신 설치 여부 확인
• Cloudflare Access, Google BeyondCorp Remote Access 같은 제로트러스트 프록시 활용
• 조건: MFA 통과 + 관리 디바이스 + 최신 OS → 접근 허용

4단계: 네트워크 세분화 (비용: 클라우드 설정)

서버 간 통신도 "필요한 것만" 허용합니다.

• AWS Security Group: 서버 간 포트 단위 접근 제어
• DB 서버: 애플리케이션 서버에서만 접근 가능하게 (인터넷 직접 접근 차단)
• 관리 포트(SSH 22번): VPN 또는 SSM Session Manager로만 접근

5단계: 지속적 검증 (비용: 도구에 따라 다름)

한 번 인증했다고 영원히 신뢰하지 않습니다.

• 세션 타임아웃 설정 (4~8시간)
• 이상 행위 탐지: 평소와 다른 시간/위치/패턴에서 접근 시 재인증 요구
• 정기 접근 권한 리뷰 (분기 1회)

단계별 도입 로드맵

1~2단계는 이번 주에 바로 시작할 수 있고, 비용도 들지 않습니다.

우리 회사에 맞는 제로트러스트 설계

모든 기업의 환경이 다릅니다. AWS인지 GCP인지, SaaS를 몇 개 쓰는지, 재택 비율이 얼마인지에 따라 우선순위가 달라집니다.

SENTRIX는 기업 환경을 진단하고, 현실적으로 적용 가능한 제로트러스트 로드맵을 설계합니다. 대기업 컨설팅 방법론을 중소기업 규모에 맞게 조정합니다.

제로트러스트 도입 상담 신청하기 →