[IT 워크북] Leader's Source Code #3. "아무도 믿지 않는 것"이 아니다: 클라우드플러그 신순철 대표가 말하는 제로 트러스트(Zero Trust)

디지털 전환(DX)과 인공지능 전환(AX)의 파도가 비즈니스 생태계를 덮치면서 기업의 업무 속도는 눈부시게 빨라졌습니다.

하지만 동전의 양면처럼, 연결되는 도구와 외부 서비스가 늘어날수록 보안 구멍 또한 기하급수적으로 넓어지고 있습니다.

과거처럼 사내망과 외부망을 나누는 경계선 보안만으로는 직원이 언제 어디서나 클라우드와 AI에 접속해 일하는 오늘날의 환경을 방어하기란 불가능에 가깝습니다.

[IT 워크북]의 세 번째 인터뷰는 기존의 물리 네트워크 위에 신원 기반 보안 오버레이를 구현하여 미래 보안의 기준을 제시하는 클라우드플러그(Cloude Plug)의 신순철 대표님을 만났습니다.

보안이 오퍼레이션을 가로막는 '걸림돌'이 아닌 '안전한 가속 페달'이 되는 비결부터, 예산이 부족한 SMB(중소·중견기업)가 솔루션 없이 당장 실천할 수 있는 무비용 보안 가이드까지 현장의 생생한 소스 코드를 아낌없이 공개합니다.

1. AX·DX 시대 보안 위기의 본질: "확인되지 않은 신뢰에 의존하지 말 것"

Q. 최근 많은 기업이 AI(AX)와 클라우드(DX) 도구를 도입하며 전례 없는 업무 속도를 경험하고 있습니다.

하지만 연결되는 도구와 AI 서비스가 많아질수록 보안 리스크 역시 기하급수적으로 늘어날 것 같습니다.
기술 과잉의 시대, 오늘날 비즈니스 리더들이 마주한 보안 위기의 본질은 무엇이며, 보안이 오퍼레이션의 '걸림돌'이 아닌 '필수 기반'이 되어야 하는 이유는 무엇인가요?

A. 디지털 전환(DX)과 인공지능 전환(AX)이 가져온 가장 큰 변화는 업무 속도뿐만 아니라 연결의 수가 급격히 늘었다는 점입니다.

과거에는 임직원이 사무실 안에서 정해진 시스템을 사용했지만, 지금은 사람뿐 아니라 외부 협력사, 개인 장치, 클라우드 서비스, 자동화 프로그램과 AI 서비스까지 기업의 데이터에 접근합니다.

오늘날 보안 위기의 본질은 단순히 해킹 기술이 발전했다는 데 있지 않습니다.

기업이 ‘누가, 어떤 장치와 서비스로, 어떤 정보에 접근하고 있는지’를 정확히 파악하기 어려워졌다는 데 있습니다. 연결 관계를 알지 못하면 권한을 제대로 통제할 수 없고, 사고가 발생해도 피해 범위를 신속하게 확인하기 어렵습니다.

이런 환경에서는 회사 내부에 접속했다거나 비밀번호를 한 번 입력했다는 이유만으로 사용자를 계속 신뢰해서는 안 됩니다.

사용자와 장치의 신원을 확인하고, 현재 업무에 필요한 자원만 허용하며, 연결 이후에도 이상이 없는지 지속적으로 살펴야 합니다.

이것이 제로 트러스트(Zero Trust)의 기본 원칙입니다.

쉽게 말하면 ‘아무도 믿지 않는다’가 아니라, ‘확인되지 않은 신뢰에 의존하지 않는다’는 뜻입니다.

보안을 업무의 걸림돌로 생각하면 문제가 생길 때마다 접속을 막거나 예외를 허용하는 방식으로 대응하게 됩니다. 그러면 보안은 복잡해지고 현업은 불편을 피하기 위해 우회 방법을 찾게 됩니다.

반대로 처음부터 필요한 사람과 서비스가 필요한 자원에만 안전하게 연결되도록 설계하면 보안과 업무 효율을 함께 높일 수 있습니다.

자동차가 빨라질수록 브레이크가 더 중요해지는 것과 같습니다.

브레이크는 자동차를 느리게 만들기 위한 장치가 아니라 더 빠르고 안전하게 달릴 수 있게 하는 기반입니다.

AX와 DX 시대의 보안도 마찬가지입니다.

보안은 성장을 늦추는 비용이 아니라 기업이 안심하고 속도를 낼 수 있도록 만드는 필수 기반이어야 합니다.

2. 기존 경계 보안의 한계와 클라우드플러그의 IDN

Q. 기존의 전통적인 방화벽이나 물리적 네트워크 보안 방식은 원격 근무가 일상화되고 AI가 데이터를 주고받는 지금의 환경을 방어하는 데 한계가 있다고 들었습니다.

클라우드플러그의 핵심 솔루션인 'IDN'은 기존 물리 인프라 위에 어떻게 '신원 기반의 보안 오버레이'를 구성하는지, 그리고 왜 이것이 미래 오퍼레이션의 기준이 되는지 리더들의 눈높이에서 쉽게 설명해 주실 수 있나요?

A. 기존의 네트워크 보안은 회사 내부와 외부를 나누고, 그 경계에 방화벽을 세우는 방식으로 발전해 왔습니다.

하지만 지금은 임직원이 사무실 밖에서 일하고, 업무 시스템은 여러 클라우드에 분산돼 있으며, 외부 협력사와 AI 서비스까지 기업 데이터에 연결됩니다.

이제는 회사 건물의 경계만 지키는 방식으로 전체 업무 환경을 보호하기 어렵습니다.

이러한 변화에 대응하기 위해 네트워크의 기준을 ‘접속 장소’에서 ‘신원과 업무 권한’으로 전환하는 솔루션이 중요하다고 생각하는데, 기존 인터넷이나 사내망을 모두 교체하지 않고도 현재 사용 중인 인프라 위에 기업 전용의 안전한 연결 환경을 구성하는 것이죠.

쉽게 말하면 기존 방식이 회사 건물의 정문을 지키는 보안이었다면, 저희 IDN과 같은 보안 솔루션은 건물에 들어온 이후에도 각 사람이 허가받은 공간에만 출입하도록 관리하는 체계입니다.

회사 내부에 들어왔다고 해서 모든 공간을 자유롭게 이용하도록 허용하지 않는 것입니다.

IDN과 같은 솔루션은 사용자, 장치, 업무 시스템과 AI 서비스의 신원 및 권한을 기준으로 사전에 허용된 대상만 연결합니다.

재무 담당자는 회계 시스템에, 개발자는 개발 서버에, AI 서비스는 업무 수행에 필요한 데이터에만 접근하도록 연결 범위를 구분할 수 있습니다.

이는 접속 위치만 믿지 않고 매번 신원과 권한을 확인하는 제로 트러스트 원칙을 네트워크 연결에 적용하는 방식입니다. 기업의 관점에서 이러한 가치는 단순히 통신을 암호화하는 데 있지 않습니다.

분산된 사용자와 업무 자원의 연결을 하나의 정책으로 관리하고, 불필요한 접근 경로를 줄이며, 문제가 발생했을 때 피해가 회사 전체로 확산되는 것을 제한할 수 있다는 데 있습니다.

결국 미래 네트워크의 기준은 ‘회사 내부에 들어왔으니 신뢰한다’가 아닙니다.

‘확인된 사용자와 장치가 허용된 업무 자원에만 안전하게 연결되도록 한다’는 것입니다.

이를 통해 기업은 보안을 강화하면서도 새로운 인력, 지점, 클라우드와 AI 서비스를 보다 유연하게 업무에 연결할 수 있습니다.

3. 철저한 권한 제어와 중앙 관리가 오퍼레이션에 주는 3가지 변화

Q. Cloudplug IDN의 핵심 기능 중 하나가 '사용자, AI 서비스, 장치가 오직 허용된 업무 자원에만 연결되도록 하고, 운영자가 이를 한곳에서 관리하는 것'이라고 들었습니다.

사내 인프라가 이렇게 '철저한 권한 제어와 중앙 관리' 형태로 재설계되었을 때, 보안 담당자와 실무 리더들이 오퍼레이션 측면에서 체감하게 되는 가장 큰 변화(시간 단축, 관리 비용 절감 등)는 무엇인가요?

A. 조직의 연결을 제로 트러스트 원칙에 따라 관리하면 가장 크게 달라지는 점은 보안 관리가 단순하고 명확해진다는 것입니다.

기존에는 직원이 입사하거나 부서를 옮길 때마다 방화벽, 가상사설망(VPN), 서버 계정 등을 각각 설정해야 했습니다. 퇴사자나 외부 협력사의 권한도 여러 시스템에서 일일이 찾아 삭제해야 했습니다.

이 과정에서 미처 제거하지 못한 계정과 오래된 권한이 보안 문제로 남기도 합니다.

제로 트러스트 방식에서는 ‘회사 직원이니까 허용한다’가 아니라 ‘현재 맡은 업무에 이 자원이 필요한가’를 기준으로 권한을 부여합니다.

예를 들어 재무팀 직원에게는 회계 시스템을, 개발자에게는 개발 서버를 연결해 주는 방식입니다. 같은 회사의 직원이라도 업무와 관계없는 시스템에는 접근하지 못하도록 합니다.

실무에서 체감할 수 있는 변화는 크게 세 가지입니다.

중앙 관리의 핵심은 단순히 모든 것을 한 화면에서 보는 데 있지 않습니다. 필요한 사람에게 필요한 업무 자원만 연결하고, 상황이 달라지면 그 권한을 빠르게 변경하는 데 있습니다.

다만 중앙에서 관리한다고 해서 모든 문제가 자동으로 해결되는 것은 아닙니다.

잘못된 정책을 전체 조직에 한꺼번에 적용하면 업무 장애가 커질 수 있습니다. 따라서 정책을 작은 범위부터 적용하고, 정상적으로 사용하던 업무 연결에 문제가 없는지 확인한 뒤 확대해야 합니다.

보안은 강하게 설정하는 것만큼 안정적으로 운영하는 것도 중요합니다.

4. 솔루션 없는 SMB를 위한 보안 소스 코드

Q. 예산과 인력이 부족한 중소·중견기업(SMB)이나 스타트업 리더들은 "보안 솔루션 도입은 아직 우리에게 사치"라며 방치하곤 합니다.

하지만 대표님께서는 '당장 비싼 솔루션을 도입하지 않고도, 조직 내부의 오퍼레이션 규칙이나 보안 습관만으로도 회사의 핵심 자산을 지킬 수 있는 최소한의 방법'이 있다고 보시는지 궁금합니다.

SMB 리더들이 오늘 당장 실천해야 할 최소한의 '무비용 보안 지침'이 있다면 공유해 주세요.

A. 예산과 인력이 부족하다고 해서 보안을 미뤄서는 안 됩니다. 그렇다고 처음부터 비싼 보안 솔루션을 모두 도입할 필요도 없습니다. 먼저 회사에서 가장 중요한 정보가 무엇이고, 누가 그 정보에 접근할 수 있는지부터 확인해야 합니다.

제로 트러스트 역시 반드시 고가의 솔루션을 구매해야만 시작할 수 있는 것은 아닙니다.

‘한 번 허용했으니 계속 믿는다’는 방식에서 벗어나, 필요한 사람에게 필요한 권한만 주고 더 이상 필요하지 않으면 바로 회수하는 것부터 시작할 수 있습니다.

중소기업과 스타트업이 오늘부터 실천할 수 있는 방법은 다음과 같습니다.

가장 중요한 원칙은 간단합니다.

“한 번 확인했다고 계속 믿지 말고, 필요한 사람에게 필요한 자료와 시스템만 필요한 기간 동안 열어 둬야 합니다.”

보안은 큰 비용을 들여야만 시작할 수 있는 일이 아닙니다.

중요한 자료를 정하고, 계정을 나누고, 추가 인증을 적용하고, 불필요한 권한을 없애는 것부터 시작할 수 있습니다. 보안 솔루션은 이러한 원칙을 더 편리하고 정확하게 실행하도록 돕는 도구입니다.

5. 리더를 위한 최종 제언

Q. 클라우드플러그가 궁극적으로 지향하는 '안전하고 끊김 없는 비즈니스 연결의 미래'는 어떤 모습인가요?

더불어, 눈앞의 비즈니스 성장에 몰입하느라 정작 뒤로 열려 있는 보안의 구멍을 놓치고 있는 수많은 대표님과 운영 설계자(리더)분들에게 마지막으로 한 말씀 부탁드립니다.

A. 클라우드플러그가 만들고자 하는 미래는 보안 때문에 업무가 불편해지지 않으면서도, 필요한 사람만 필요한 시스템에 안전하게 연결되는 환경입니다.

사용자는 복잡한 절차 없이 편리하게 일하고, 운영자는 회사의 연결 상태와 권한을 한곳에서 확인하고 관리할 수 있어야 합니다.

보안이 강하다는 것은 모든 연결을 막는다는 뜻이 아닙니다.

사용자가 누구인지, 어떤 장치를 사용하는지 확인하고 업무에 필요한 시스템만 연결해 주는 것입니다.

새로운 직원이나 장치가 추가되더라도 기존 사용자의 정상적인 업무가 끊기지 않아야 합니다. 보안과 편리함, 연결 안정성을 함께 지키는 것이 중요합니다.

제로 트러스트도 사람을 무조건 의심하자는 개념이 아닙니다.

회사 안에 있다는 이유만으로 모든 접근을 허용하지 않고, 각자의 업무에 필요한 권한만 주자는 원칙입니다.

외부 직원이나 협력사도 신원과 권한이 확인되면 필요한 시스템을 안전하게 사용할 수 있어야 합니다.

또한 보안은 기술 담당자만의 일이 아닙니다.

회사에서 어떤 정보가 가장 중요한지, 누가 그 정보에 접근해야 하는지는 경영진과 실무 책임자가 함께 결정해야 합니다. 결국 보안은 기술의 문제가 아니라 회사 운영과 경영의 문제입니다.

회사가 성장하면 직원과 시스템뿐 아니라 접근 권한도 함께 늘어납니다.

이때 퇴사자의 계정이나 더 이상 필요하지 않은 권한을 정리하지 않으면 회사의 보안 구멍으로 남게 됩니다.

보안의 구멍은 거창한 기술이 부족해서만 생기는 것이 아닙니다. 관리되지 않은 계정과 필요 이상으로 넓게 허용된 권한에서 시작되는 경우가 많습니다. 리더는 먼저 다음 질문에 답할 수 있어야 합니다.

“우리 회사의 중요한 정보에 지금 누가 접근할 수 있는가?”

이 질문에 바로 답하기 어렵다면, 핵심 정보에 접근할 수 있는 사람과 계정부터 확인해야 합니다.

그리고 더 이상 필요하지 않은 계정과 권한은 즉시 정리해야 합니다.

완벽한 보안 체계를 기다리기보다 지금 확인할 수 있는 위험부터 하나씩 찾아 막는 것, 그것이 회사를 지키는 가장 현실적인 방법입니다.