보안 진단에서 드러난 참담한 현실을 바탕으로 Zero Trust와 Defense in Depth 8계층 방어 체계를 설계했습니다. 예산 제한, 보안 담당자 1인, AI 서비스 무중단이라는 세 가지 제약 속에서 NIST SP 800-207 기반 보안 아키텍처를 만든 IT 팀장의 실전 경험을 공유합니다.
SERIES
중견기업 통합 보안 아키텍처 설계 실전기
1편. 보안 진단에서 드러난 민낯
2편. Zero Trust와 Defense in Depth — 현실에 맞는 보안 아키텍처 설계 ← 현재 글
3편. 48시간 긴급 대응부터 12개월 로드맵까지
4편. ISO 27001 인증, 12개월 만에 가능할까
"이상적인 보안 아키텍처는 알겠는데, 이걸 우리 회사에서 어떻게 하죠?"
1편에서 보안 진단 결과를 공유한 뒤, 제가 가장 먼저 부딪힌 질문이 바로 이것이었습니다. 교과서에는 SIEM, SOAR, NDR, CASB... 온갖 솔루션이 등장하지만, 현실에는 세 가지 제약이 있었습니다. 예산(스타트업 수준), 인력(보안 담당자 1명), 운영 연속성(AI 서비스 중단 불가).
이 세 가지 제약 안에서 어떻게 보안 아키텍처를 설계했는지 공유합니다.
설계의 세 가지 제약조건
아키텍처를 그리기 전에, 먼저 현실의 경계를 명확히 했습니다.
| 제약 | 현실 | 설계 원칙 |
|---|---|---|
| 예산 | 대기업 수준 투자 불가 | 기존 장비 최대 활용, OSS 우선, 단계적 투자 |
| 인력 | 전담 보안팀 없음 (1인) | 관리 부담 최소화, 자동화 중심 |
| 운영 연속성 | AI 서비스 24/7 무중단 | 단계적 전환, 롤백 계획 필수 |
"모든 것을 한꺼번에 할 수 없다"는 전제가 오히려 설계를 명확하게 만들었습니다. 이상적인 구조가 아니라 지금 이 조건에서 가능한 구조를 만드는 것이 목표였습니다.
Defense in Depth: 8계층 방어 체계
단일 보안 통제의 실패가 전체 침해로 이어지지 않도록, 8계층의 중첩 방어 체계를 설계했습니다.
Defense in Depth 8계층 방어 체계 — L0 Identity가 모든 계층을 관통
핵심은 Layer 0 — Identity입니다. 모든 계층을 관통하는 핵심 통제로, Google Workspace SSO + MFA + 조건부 접근 + PAM을 통해 "누가 무엇에 접근하는가"를 어디서든 검증합니다.
8계층의 핵심
방화벽이 뚫려도 EDR이 잡고, EDR을 우회해도 SIEM이 탐지하고, 탐지가 늦어도 세그멘테이션이 확산을 막는다. 어느 한 계층의 실패가 곧바로 치명적 피해로 이어지지 않는 구조.
Zero Trust: "내부도 믿지 않는다"
1편에서 드러난 가장 심각한 문제 중 하나가 내부 = 안전이라는 암묵적 전제였습니다. VPN으로 들어오면 내부 모든 리소스에 접근 가능했고, 네트워크 위치만으로 신뢰를 부여했습니다.
NIST SP 800-207의 Zero Trust 7대 원칙을 우리 환경에 적용했습니다.
Zero Trust 7대 원칙 — 현재(적색) vs 목표(청색) 구현 수준
가장 큰 전환은 "네트워크 위치 = 신뢰"를 제거한 것입니다. VPN으로 접속했더라도 리소스별 재인증을 요구하고, 접근할 때마다 디바이스 상태·위치·행위를 기반으로 동적 판단합니다.
이를 위해 4단계 신뢰 수준 모델을 설계했습니다.
| 수준 | 명칭 | 대상 | 인증 요구 |
|---|---|---|---|
| Level 0 | Zero Trust | 외부 클라이언트 | API Key + Rate Limit |
| Level 1 | Verify First | VPN 접속 사용자 | SSO + MFA(TOTP) |
| Level 2 | Conditional | 인증된 내부 사용자 | MFA + 디바이스 준수 |
| Level 3 | Elevated | 검증된 관리자 | FIDO2 + PAM + JIT 권한 |
Super Admin은 Level 3 — 물리 보안키(FIDO2) + PAM 경유 + 시간 제한 권한(2~4시간) + 세션 녹화. 1편에서 "Super Admin조차 비밀번호만"이었던 것과 비교하면 완전히 다른 세계입니다.
Assume Breach: 이미 뚫린 후를 설계하다
Zero Trust를 적용해도 100% 방어는 불가능합니다. 그래서 "이미 뚫렸다면?"이라는 질문을 먼저 던지고, 각 시나리오별 설계 대응을 정의했습니다.
Assume Breach 시나리오별 잠재 피해도 — 대응 전(적색) vs 대응 후(녹색)
시나리오: 사무실 PC 감염
Before: 플랫 네트워크 → GPU 직행
After: EDR 격리 + VLAN 차단 + SIEM 알림
시나리오: 관리자 계정 탈취
Before: 비밀번호로 모든 시스템 접근
After: FIDO2 필수 + PAM 녹화 + JIT 2시간
시나리오: GPU 서버 장악
Before: 내부망 전체 접근 가능
After: 마이크로세그멘테이션 + 호스트 FW
시나리오: VPN 자격증명 유출
Before: VPN 접속 = 내부 무제한
After: 리소스별 재인증 + 이상 접속 탐지
"방어가 실패하면 어떻게 되는가"를 모든 계층에서 답할 수 있어야 진정한 보안 아키텍처입니다.
예산 0원으로 시작한 설계 결정들
현실적 설계에서 가장 중요한 것은 무엇을 먼저 하는가입니다.
핵심 설계 결정 3가지
1. 기존 장비 최대 활용 — FortiGate에 이미 포함된 IPS/UTM 라이선스를 활성화하지 않고 있었습니다. 추가 비용 0원으로 네트워크 탐지 역량을 확보.
2. SIEM은 OSS로 — 상용 SIEM은 연간 수천만 원. Wazuh(오픈소스)를 선택하여 SIEM/HIDS/취약점 스캔을 하나의 플랫폼으로.
3. Phase 0은 48시간 — GitLab 차단, 방화벽 Deny-All, EDR 전사 배포, MFA 전직원 적용, IPS 활성화를 48시간 내 완료.
설계하면서 배운 것
"완벽한 보안 아키텍처는 없다 —
제약에 맞는 아키텍처가 있을 뿐"
교과서적인 Zero Trust를 그대로 적용하면 보안 담당자 1인이 운영할 수 없습니다. 대기업 수준의 SOC를 구축하려면 예산이 수십 배 필요합니다. 결국 이 회사, 이 예산, 이 인력에서 가능한 최선을 찾는 것이 설계의 본질이었습니다.
Defense in Depth의 8계층을 한꺼번에 구축할 수는 없습니다. 하지만 위협의 우선순위(DREAD 점수)와 제약의 현실을 교차시키면, "지금 당장 해야 하는 것"이 보입니다.
NEXT
3편: 48시간 긴급 대응부터 12개월 로드맵까지
설계는 했습니다. 47개 보안 통제를 어떤 순서로, 얼마의 기간에 구현할 것인가? Phase 0(48시간)부터 Phase 3(12개월)까지의 구현 로드맵을 다룹니다.
이 글이 도움이 되셨다면 댓글로 여러분의 경험도 공유해주세요.
"우리 회사는 보안 아키텍처를 이렇게 설계했다"는 이야기, 환영합니다. 구독하시면 시리즈의 다음 편을 놓치지 않으실 수 있습니다.
'Security Architecture' 카테고리의 다른 글
| ISO 27001 인증, 12개월 만에 가능할까 — 보안 성숙도 Level 1에서 시작한 인증 여정 (0) | 2026.03.23 |
|---|---|
| 47개 보안 통제를 12개월에 구현하다 — 48시간 긴급 대응부터 로드맵까지 (0) | 2026.03.22 |
| 방화벽 전 포트 오픈, SIEM 없음, MFA 없음 — 보안 진단에서 드러난 중견기업의 민낯 (0) | 2026.03.21 |