중소기업 제로트러스트 구축 방법｜직원 30명 회사도 필요한 이유

중소기업 제로트러스트 구축 방법을 검색하면 가장 먼저 드는 생각이 있습니다.

“직원 20~30명인 회사에도 이런 복잡한 보안이 필요할까?”

제로트러스트라는 이름 때문에 대기업이나 금융회사에서 사용하는 비싼 보안시스템이라고 생각하기 쉽습니다.

하지만 기본 개념은 생각보다 단순합니다.

한 번 로그인했다고 계속 믿지 않고, 필요한 사람에게 필요한 권한만 주는 것입니다.

직원 30명인 회사에서도 직원 계정, 클라우드, NAS, ERP, 이메일, VPN을 사용하고 있다면 이미 여러 사람이 회사 정보에 접근하고 있습니다.

퇴사자의 계정이 남아 있거나, 여러 사람이 관리자 계정을 공유하거나, 외부업체가 필요 이상으로 많은 시스템에 접속할 수 있다면 회사 규모와 관계없이 위험은 생길 수 있습니다.

제로트러스트는 이런 문제를 해결하기 위해 모든 것을 새로 구축하는 것이 아니라 현재 회사의 계정과 접근권한을 다시 정리하는 것부터 시작할 수 있습니다.

제로트러스트는 영어로 Zero Trust입니다.

직역하면 ‘아무도 믿지 않는다’는 의미처럼 보이지만 실제 보안에서는 조금 다르게 이해하는 것이 좋습니다.

핵심은 다음과 같습니다.

접속했다고 무조건 신뢰하지 말고 계속 확인한다.

예를 들어 회사 직원이 정상적인 아이디와 비밀번호로 로그인했다고 해도 항상 안전하다고 볼 수는 없습니다.

비밀번호가 유출됐을 수도 있고 평소와 전혀 다른 장소에서 접속했을 수도 있습니다.

그래서 제로트러스트에서는 다음과 같은 요소를 함께 확인합니다.

• 누구인지
• 어떤 기기를 사용하는지
• 어디에서 접속하는지
• 어떤 시스템에 접근하는지
• 필요한 권한인지
• 평소와 다른 행동은 없는지

즉, 회사 내부에서 접속했다는 이유만으로 모든 것을 허용하는 방식에서 벗어나는 것입니다.

일반적인 보안과 제로트러스트 차이

기존 회사 보안을 건물에 비유해보겠습니다.

회사 정문에서 출입증을 확인한 뒤 건물 안으로 들어오면 여러 공간을 비교적 자유롭게 이동할 수 있는 구조가 전통적인 방식과 비슷합니다.

제로트러스트는 다릅니다.

정문을 통과했더라도 서버실에 들어갈 때 다시 확인하고, 중요 문서에 접근할 때도 권한을 확인합니다.

이를 표로 정리하면 다음과 같습니다.

구분	기존 방식	제로트러스트 방식
기본 생각	내부는 비교적 신뢰	내부·외부 모두 확인
로그인	한 번 인증	지속적인 확인
접근권한	넓게 부여 가능	필요한 만큼만 부여
관리자 권한	공용 사용 가능	사용자별 최소화
외부접속	VPN 접속 후 허용	접속 후에도 권한 확인
이상행동	사고 후 확인	접속 과정에서 지속 확인

제로트러스트에서 가장 중요한 것은 비싼 장비가 아니라 신뢰를 자동으로 주지 않는 운영 원칙입니다.

직원 30명 중소기업에도 제로트러스트가 필요한 이유

직원이 적으면 보안 위험도 적을 것이라고 생각할 수 있습니다.

하지만 실제로는 직원 수보다 몇 개의 계정과 시스템이 서로 연결되어 있는지가 중요합니다.

직원 30명인 회사를 생각해보겠습니다.

회사가 다음 서비스를 사용한다고 가정합니다.

• 이메일
• NAS
• ERP
• 그룹웨어
• 클라우드
• VPN
• 회계 프로그램
• 회사 홈페이지 관리자
• 원격지원 프로그램

직원은 30명이지만 실제 관리해야 하는 계정과 접근경로는 훨씬 많아질 수 있습니다.

여기에 외부 세무사, 홈페이지 관리업체, 전산업체, 설비업체까지 추가된다면 회사 밖에서 접근하는 사용자도 생깁니다.

제로트러스트는 이런 환경에서 효과가 있습니다.

1. 공용 계정부터 없애기

중소기업에서 가장 먼저 확인하기 좋은 것이 공용 계정입니다.

예를 들어 다음과 같은 계정입니다.

admin

office

manager

service

여러 직원이 하나의 계정을 공유하면 편하기는 합니다.

하지만 문제가 발생했을 때 누가 사용했는지 확인하기 어렵습니다.

가능하면 직원마다 개별 계정을 사용하는 것이 좋습니다.

예를 들어,

기존

admin → 직원 5명이 공동사용

보다는

개선

kim01
lee02
park03

처럼 사용자별로 나누는 것입니다.

그러면 퇴사자가 발생했을 때 해당 직원 계정만 차단하면 됩니다.

제로트러스트의 첫 번째 단계는 의외로 거창하지 않습니다.

누가 사용하는 계정인지 알 수 있도록 만드는 것입니다.

2. MFA를 적용하기

비밀번호만으로 로그인하는 회사라면 MFA 적용을 검토할 수 있습니다.

MFA는 Multi-Factor Authentication, 다중인증을 의미합니다.

쉽게 말하면 비밀번호 외에 한 가지 인증을 더 요구하는 것입니다.

예를 들어,

아이디 + 비밀번호 + 휴대폰 인증

방식입니다.

비밀번호가 유출되어도 추가 인증을 통과하지 못하면 계정 접근을 막을 수 있습니다.

모든 시스템에 한꺼번에 MFA를 적용하기 어렵다면 중요한 시스템부터 적용할 수 있습니다.

우선순위는 다음과 같이 잡아볼 수 있습니다.

1. 관리자 계정
2. 회사 이메일
3. 클라우드
4. VPN
5. 중요 업무시스템

특히 관리자 계정과 외부에서 접근할 수 있는 계정에는 MFA 적용 효과가 큽니다.

3. 직원마다 필요한 권한만 주기

제로트러스트의 핵심 중 하나가 최소 권한입니다.

업무에 필요한 만큼만 접근하도록 하는 것입니다.

예를 들어 회사에 인사팀, 영업팀, 생산팀이 있다고 가정해보겠습니다.

영업팀 직원이 급여자료까지 볼 필요는 없습니다.

생산팀 직원이 회계자료를 수정할 필요도 없습니다.

따라서 모든 직원에게 동일한 폴더와 시스템 권한을 주기보다 업무별로 나누는 것이 좋습니다.

예를 들면 다음과 같습니다.

직원	필요한 접근권한
영업팀	고객·견적·영업자료
생산팀	생산자료·설비정보
회계팀	회계·세금·급여자료
관리자	시스템 관리
외부업체	계약된 업무 범위

여기서 중요한 원칙은 이것입니다.

혹시 필요할 수도 있으니 권한을 주는 것이 아니라 실제 필요한 권한만 준다.

작은 회사일수록 직원들이 여러 업무를 담당해 권한이 넓어지기 쉽기 때문에 한번 정리해볼 필요가 있습니다.

4. 퇴사자 계정을 바로 정리하기

직원이 퇴사하면 출입카드와 회사 노트북은 반납받으면서 계정은 그대로 남겨두는 경우가 있습니다.

특히 다음 계정을 놓치기 쉽습니다.

• 회사 이메일
• VPN
• NAS
• 클라우드
• 홈페이지 관리자
• ERP
• 공유드라이브
• 원격지원 프로그램

퇴사자 계정 관리에서는 퇴사 당일 처리할 체크리스트를 만들어두는 것이 좋습니다.

예를 들어,

• 이메일 차단
• VPN 차단
• NAS 계정 삭제
• 클라우드 접근권한 삭제
• 관리자 계정 비밀번호 변경
• 회사 장비 회수
• 외부 서비스 계정 확인

이 정도만 정해놓아도 담당자가 바뀌었을 때 빠뜨릴 가능성을 줄일 수 있습니다.

5. 관리자 계정을 일반 업무에 사용하지 않기

관리자 계정은 일반 직원 계정보다 할 수 있는 일이 많습니다.

프로그램 설치, 계정 생성, 설정 변경, 데이터 접근까지 가능한 경우가 있습니다.

문제는 이 관리자 계정을 평소 인터넷 검색이나 이메일 확인에도 사용하는 것입니다.

관리자 계정이 탈취되면 공격자 역시 높은 권한을 얻을 가능성이 있습니다.

그래서 가능하다면 다음처럼 구분하는 것이 좋습니다.

일반 업무 → 일반 계정

시스템 설정 → 관리자 계정

관리자 계정을 항상 사용할 이유는 없습니다.

필요한 순간에만 관리자 권한을 사용하는 습관이 중요합니다.

6. 외부업체도 내부 직원과 똑같이 관리하기

중소기업에서는 외부업체가 여러 시스템을 관리하는 경우가 많습니다.

예를 들어,

• 홈페이지 제작업체
• ERP 유지보수 업체
• 전산업체
• 스마트공장 구축업체
• 설비 유지보수 업체
• 회계·세무 관련 업체

등이 있습니다.

문제는 프로젝트가 끝났는데도 계정이 그대로 남아 있는 경우입니다.

외부업체 계정에는 특히 네 가지 기준을 적용하면 좋습니다.

누가 접속하는가?

어디까지 접속하는가?

언제까지 사용할 수 있는가?

접속기록이 남는가?

외부업체라고 해서 무조건 위험하다는 뜻이 아닙니다.

누가 어떤 권한을 가지고 있는지가 불분명한 상태가 위험한 것입니다.

7. 회사 안에서 접속한다고 무조건 믿지 않기

과거에는 회사 내부망이면 비교적 안전하다고 보는 경우가 많았습니다.

하지만 노트북, 스마트폰, 클라우드, 재택근무, VPN 등이 늘면서 내부와 외부의 경계가 예전만큼 명확하지 않습니다.

직원이 회사 와이파이에 연결되어 있다고 해서 모든 시스템에 자동으로 접근하도록 할 필요는 없습니다.

중요 시스템은 다시 인증하도록 하거나 사용자별 권한을 확인하는 방식을 적용할 수 있습니다.

제로트러스트에서 중요한 생각은 이것입니다.

장소보다 사용자와 권한을 확인한다.

돈 적게 들이고 제로트러스트 시작하는 순서

중소기업에서 처음부터 새로운 보안 플랫폼을 구축할 필요는 없습니다.

현재 사용하고 있는 계정과 기능부터 정리할 수 있습니다.

1단계. 계정 목록 만들기

회사에서 사용하는 시스템을 적어봅니다.

• 이메일
• NAS
• ERP
• VPN
• 클라우드
• 홈페이지
• 원격지원

그리고 각 시스템에 누가 계정을 가지고 있는지 정리합니다.

2단계. 사용하지 않는 계정 삭제

퇴사자, 계약 종료 업체, 장기 미사용 계정을 찾습니다.

불필요한 계정은 비활성화하거나 삭제합니다.

3단계. 관리자 권한 줄이기

직원 중 관리자 권한을 가진 사람이 몇 명인지 확인합니다.

업무상 필요하지 않다면 일반 사용자 권한으로 변경합니다.

4단계. 중요 계정에 MFA 적용

관리자 계정, 이메일, VPN, 클라우드처럼 외부에서 접근 가능한 시스템부터 MFA를 적용합니다.

5단계. 업무별 접근권한 구분

모든 직원이 모든 자료를 볼 수 있는 구조라면 부서와 업무에 따라 권한을 나눕니다.

6단계. 접속기록 확인

중요 시스템은 누가 언제 로그인했는지 확인할 수 있도록 합니다.

여기까지만 해도 상당 부분은 별도의 대규모 보안 프로젝트 없이 시작할 수 있습니다.

직원 30명 회사 제로트러스트 예시

직원 30명인 제조기업을 예로 들어보겠습니다.

기존에는 다음과 같이 운영하고 있었다고 가정합니다.

기존 상태

• NAS 관리자 계정 5명 공동사용
• 외부업체 VPN 공용계정 사용
• 퇴사자 이메일 일부 유지
• 모든 직원이 공용폴더 전체 접근
• 관리자 계정 MFA 없음

이 회사가 처음부터 비싼 제로트러스트 시스템을 살 필요는 없습니다.

먼저 이렇게 바꿀 수 있습니다.

1개월차

공용계정 사용자별 분리

2개월차

퇴사자·미사용 계정 정리

3개월차

관리자와 VPN 계정 MFA 적용

4개월차

부서별 NAS 접근권한 분리

5개월차

외부업체 계정 기간 제한

6개월차

중요 시스템 접속기록 정기 확인

이것도 제로트러스트 접근의 시작입니다.

중요한 것은 제품 이름이 아니라 누구에게 어떤 권한을 줄 것인가를 계속 관리하는 것입니다.

중소기업 제로트러스트 구축 체크리스트

우리 회사가 현재 어느 정도 준비되어 있는지 아래 항목으로 확인해볼 수 있습니다.

• 직원마다 개인 계정을 사용하는가?
• 관리자 공용계정을 최소화했는가?
• 퇴사자 계정을 바로 삭제하는가?
• 관리자 계정에 MFA를 적용했는가?
• VPN 등 외부접속 계정에 MFA를 적용했는가?
• 부서별 접근권한이 구분되어 있는가?
• 외부업체 계정을 별도로 관리하는가?
• 외부업체 계정 사용기간을 정하고 있는가?
• 중요 시스템 접속기록을 확인할 수 있는가?
• 관리자 권한을 가진 사용자를 파악하고 있는가?
• 사용하지 않는 계정을 정기적으로 확인하는가?
• 중요 데이터에 접근할 수 있는 사용자를 알고 있는가?

모든 항목을 한 번에 해결할 필요는 없습니다.

답하기 어려운 항목이 있다면 바로 그 부분이 우리 회사가 먼저 정리할 부분이라고 생각하면 됩니다.

제로트러스트 도입에서 자주 하는 실수

제로트러스트를 새로운 보안제품 하나를 설치하는 프로젝트라고 생각하면 시작부터 복잡해질 수 있습니다.

특히 다음과 같은 접근은 주의할 필요가 있습니다.

모든 시스템을 한꺼번에 바꾸려는 것

업무 영향이 커질 수 있습니다.

관리자 계정이나 외부접속처럼 위험도가 높은 영역부터 시작하는 것이 현실적입니다.

직원에게 설명하지 않고 권한만 줄이는 것

어제까지 열리던 폴더가 갑자기 차단되면 업무 불편으로 받아들여질 수 있습니다.

왜 권한을 변경하는지 설명하는 과정도 필요합니다.

MFA만 적용하면 끝났다고 생각하는 것

MFA는 중요한 보안수단이지만 제로트러스트 전체를 의미하지는 않습니다.

계정관리, 최소 권한, 외부접속 관리 등이 함께 이루어져야 합니다.

너무 많은 보안제품부터 구입하는 것

실제 운영할 사람이 없다면 좋은 제품도 제대로 활용하기 어렵습니다.

기존 환경에서 할 수 있는 계정과 권한 관리부터 정리한 이후 부족한 기능을 추가하는 편이 좋습니다.

SIEM·XDR·SOAR과 제로트러스트는 어떤 관계일까?

제로트러스트는 특정 보안제품 이름이라기보다 접근을 관리하는 보안 원칙에 가깝습니다.

반면 SIEM, XDR, SOAR은 보안 운영 과정에서 로그를 수집하고 위협을 탐지하거나 대응을 자동화하는 데 활용할 수 있는 기술입니다.

쉽게 구분하면,

제로트러스트 → 누가 무엇에 접근하도록 허용할 것인가

SIEM → 어떤 기록이 발생했는가

XDR → 위험한 행동이 발생했는가

SOAR → 문제가 발생하면 어떻게 대응할 것인가

라고 볼 수 있습니다.

회사 보안이 어느 정도 커지면 이런 기술을 서로 연결할 수도 있습니다.

중소기업 제로트러스트는 계정 정리부터 시작하면 된다

중소기업 제로트러스트 구축 방법을 어렵게 생각할 필요는 없습니다.

직원 30명 회사라면 처음부터 거대한 시스템을 도입하는 것보다 먼저 현재 회사에 존재하는 계정을 확인해보는 것이 좋습니다.

그 다음 네 가지를 순서대로 확인하면 됩니다.

누가 접속할 수 있는가?

그 사람에게 정말 필요한 권한인가?

접속한 사람이 실제 본인인지 확인할 수 있는가?

더 이상 필요하지 않은 권한은 없어지는가?

제로트러스트는 모든 직원을 의심하자는 개념이 아닙니다.

사용자를 불편하게 만드는 것이 목적도 아닙니다.

계정이 탈취되거나 실수가 발생하더라도 한 번의 문제가 회사 전체로 번지지 않도록 접근범위를 줄이는 것에 가깝습니다.

중소기업이라면 가장 먼저 비싼 보안솔루션의 견적을 받기보다 오늘 회사에서 사용하고 있는 관리자 계정과 퇴사자 계정이 몇 개인지 확인하는 것부터 시작해볼 수 있습니다.

자주 묻는 질문

제로트러스트란 무엇인가요?

한 번 인증했다고 사용자를 계속 신뢰하는 것이 아니라 사용자, 기기, 접근대상 등을 확인하고 필요한 최소한의 권한만 부여하는 보안 방식입니다.

직원 30명 중소기업에도 제로트러스트가 필요한가요?

직원 수보다 회사가 사용하는 계정, 클라우드, VPN, NAS, 외부업체 접속 등 접근경로가 얼마나 있는지가 중요합니다. 소규모 회사도 계정과 권한 관리 원칙을 적용할 수 있습니다.

제로트러스트를 구축하려면 비싼 솔루션이 필요한가요?

반드시 그렇지는 않습니다. 사용자별 계정 사용, 퇴사자 계정 삭제, 관리자 권한 최소화, MFA 적용, 외부업체 계정 관리처럼 기존 시스템에서도 시작할 수 있는 항목이 많습니다.

제로트러스트와 MFA는 같은 것인가요?

아닙니다. MFA는 제로트러스트를 구현하는 데 활용할 수 있는 인증 방법 중 하나입니다. 제로트러스트에는 인증뿐 아니라 최소 권한, 계정관리, 접근통제, 접속기록 등의 개념도 포함됩니다.

중소기업에서 가장 먼저 해야 할 것은 무엇인가요?

회사에서 사용하는 계정 목록부터 만드는 것이 좋습니다. 누가 어떤 시스템에 접근할 수 있는지 정리하면 미사용 계정이나 과도한 관리자 권한을 발견하기 쉬워집니다.