데카르트는 확실한 답에 도달하기 위해 먼저 의심했습니다. 그의 의심은 모든 것을 부정하기 위한 태도가 아니었습니다. 당연하다고 여겼던 것들을 하나씩 다시 확인하고, 끝까지 흔들리지 않는 근거를 찾기 위한 과정이었습니다.
보안에서도 비슷한 변화가 일어나고 있습니다. 과거에는 내부망, 사내 계정, 관리 단말 같은 기준이 신뢰의 근거가 되었습니다. 하지만 클라우드, 원격근무, SaaS, BYOD, API, 그리고 AI 도구가 일상화되면서 이런 기준만으로는 충분하지 않습니다.
이제 보안은 계속 질문해야 합니다.
이 AI 도구는 어떤 데이터와 권한을 사용하고 있습니까?
데카르트가 “나는 생각한다, 고로 존재한다”고 말했다면, AI 시대의 보안은 이렇게 말할 수 있습니다.
나는 검증한다, 고로 신뢰한다.
Zero Trust는 흔히 “Never Trust, Always Verify”로 설명됩니다. 직역하면 “절대 신뢰하지 말고, 항상 검증하라”는 뜻입니다. 하지만 이 말을 단순히 “아무도 믿지 말라”는 의미로 받아들이면 본질을 놓치기 쉽습니다.
Zero Trust는 조직 구성원을 불신하자는 원칙이 아닙니다. 신뢰를 더 안전하게 만들기 위해, 신뢰의 근거를 계속 확인하자는 보안 방식입니다.
한 번 허용된 세션이라도 행위가 달라지면 다시 판단합니다.
이 관점에서 Zero Trust의 목적은 차단이 아닙니다. 목적은 검증된 신뢰입니다. 데카르트가 의심을 통해 더 확실한 답을 찾으려 했다면, Zero Trust는 검증을 통해 더 안전한 접근을 허용합니다.
AI 시대의 보안 환경에서는 확인해야 할 대상이 더 많아집니다. 기존에는 사용자, 단말, 네트워크, 애플리케이션이 주요 대상이었습니다. 이제는 여기에 AI 도구, 자동화된 작업, 프롬프트, 데이터 흐름, 서비스 계정, API 호출까지 더해집니다.
피싱은 더 정교해지고, 악성 행위는 더 빠르게 변형됩니다. 정상 계정과 정상 도구를 악용하는 공격도 늘어납니다. 공격자는 더 빠르게 움직이고, 방어자는 더 많은 신호를 더 짧은 시간 안에 판단해야 합니다.
따라서 AI 시대의 Zero Trust는 단순한 네트워크 접근 제어에 머물 수 없습니다. 신원, 단말, 행위, 데이터, 애플리케이션 사용 흐름을 함께 봐야 합니다.
최근 글로벌 보안 기업들의 움직임도 같은 방향을 보여줍니다.
CrowdStrike는 AI 보안 영역을 강화하며 프롬프트, AI 에이전트, 데이터, 아이덴티티, 인프라까지 보호 범위를 넓히고 있습니다. 단순히 엔드포인트에서 악성코드를 탐지하는 수준을 넘어, AI가 사용되는 환경 전체를 보안의 대상으로 보고 있습니다.
SentinelOne도 생성형 AI와 agentic AI 보안 전략을 강화하고 있습니다. AI 도구 사용에 대한 가시성, 데이터 유출 방지, 프롬프트 공격 대응, AI 에이전트 보호가 주요 방향으로 제시되고 있습니다.
이 흐름에서 읽을 수 있는 메시지는 분명합니다.
보안 경쟁은 더 이상 악성코드를 얼마나 잘 탐지하느냐에만 머물지 않습니다. 앞으로의 보안은 신원, 단말, 데이터, 행위, AI 사용 흐름을 얼마나 잘 연결하고 검증하느냐의 싸움이 됩니다.
Zero Trust의 첫 질문은 “믿을 것인가”가 아닙니다. 그보다 먼저 “무엇을 보고 판단할 것인가”를 물어야 합니다.
판단의 출발점은 가시성입니다.
어떤 사용자가, 어떤 단말로, 어떤 네트워크에, 어떤 상태로 연결되어 있는지 알지 못하면 검증도 불가능합니다. 이 지점에서 NAC는 여전히 중요합니다. 오히려 AI 시대에는 더 중요해집니다. AI가 아무리 정교한 판단을 해도, 판단의 기초가 되는 자산 식별과 접속 가시성이 부정확하면 신뢰 판단은 흔들릴 수밖에 없습니다.
NAC는 연결된 단말과 사용자를 식별하고, 네트워크 접근을 통제하며, 보안 정책을 실행하는 기반이 됩니다. 그렇기에 NAC는 Zero Trust의 현실적인 출발점으로 볼 수 있습니다.
NAC가 “네트워크에 들어와도 되는가”를 묻는다면, ZTNA는 한 걸음 더 나아가 묻습니다.
지금 이 사용자가, 이 단말 상태로, 이 애플리케이션에 접근해도 됩니까?
전통적인 VPN은 사용자를 네트워크 안으로 들여보내는 방식에 가깝습니다. 반면 ZTNA는 네트워크 전체가 아니라 필요한 애플리케이션과 리소스 단위로 접근을 제한합니다. 사용자의 신원, 단말 상태, 위치, 접근 대상, 정책, 위험도를 종합해 판단합니다.
AI 시대에는 이 판단이 더 세밀해집니다.
AI 도구가 어떤 권한으로 어떤 시스템을 호출합니까?
ZTNA는 네트워크 경계 중심의 보안을 애플리케이션과 사용 흐름 중심의 보안으로 확장합니다. AI 시대에는 이 사용 흐름 안에 자동화된 작업과 AI 도구의 동작까지 포함되어야 합니다.
Zero Trust에서 신원은 가장 중요한 기준점입니다. 사용자가 누구인지, 어떤 역할을 갖는지, 어떤 그룹에 속하는지, 어떤 애플리케이션에 접근할 수 있는지, 어떤 권한을 부여받았는지가 접근 판단의 기반이 됩니다.
IAM은 이 신원 계층을 담당합니다. 사용자 인증, SSO, MFA, 역할과 그룹 관리, 토큰 기반 접근 제어를 통해 “누가 접근하는가”에 대한 기준을 제공합니다.
사용자만 인증해서는 부족합니다. 서비스 계정, API 클라이언트, 자동화된 작업이 어떤 권한으로 동작하는지도 관리해야 합니다. AI 도구가 내부 시스템과 연동될수록, 그 도구가 어떤 사용자 또는 서비스의 권한으로 실행되는지 명확해야 합니다.
IAM은 “누가 접근하는가”를 확인하는 역할에서 더 나아가, “어떤 권한이 어떤 상황에서 사용되는가”를 관리하는 기준점이 되고 있습니다.
NAC, ZTNA, EDR이 단말·접근·행위 신호를 제공한다면, IAM은 그 판단의 중심에 있는 신원과 권한의 기준을 제공합니다.
Zero Trust에서 중요한 것은 접근 전 검증만이 아닙니다. 접근 이후에도 신뢰는 계속 확인되어야 합니다.
정상 사용자가 정상 단말로 로그인했더라도, 그 이후 단말에서 이상 행위가 발생할 수 있습니다. 계정이 탈취되면 정상 계정처럼 보이는 접근이 이어질 수 있습니다. AI 도구가 내부 데이터를 처리하는 과정에서 의도치 않은 정보 노출이 발생할 수도 있습니다.
EDR은 이 지점에서 중요한 역할을 합니다. 단말에서 발생하는 프로세스, 파일, 네트워크, 행위 이벤트를 관찰하고, 이상 징후를 탐지하며, 필요한 경우 격리나 차단 같은 대응을 수행합니다.
AI 시대의 공격은 더 빠르고 자동화됩니다. 따라서 접근 시점의 검증만으로는 부족합니다. 접속 이후의 행위, 데이터 접근, 프로세스 변화, 외부 통신, 자동화된 작업을 계속 관찰하고, 위험이 커지면 신뢰 상태를 다시 평가해야 합니다.
EDR은 Zero Trust의 지속적인 검증을 가능하게 하는 핵심 신호를 제공합니다.
AI 시대의 보안 아키텍처에서 NAC, ZTNA, IAM, EDR은 각각 따로 떨어진 제품으로만 볼 수 없습니다. 이들은 신뢰를 판단하기 위한 서로 다른 신호를 제공합니다.
AI는 이 신호들을 연결해 더 빠르고 정교한 판단을 도울 수 있습니다.
하지만 AI 역시 검증의 대상입니다. AI가 판단한다고 해서 무조건 안전한 것은 아닙니다. AI가 어떤 데이터에 접근하는지, 어떤 권한으로 실행되는지, 어떤 도구를 호출하는지, 어떤 결과를 만들어내는지도 관리되어야 합니다.
| 영역 | 역할 | AI 시대의 의미 |
| NAC | 연결된 사용자와 단말 식별 | 신뢰 판단의 출발점이 되는 자산 · 접속 가시성 확보 |
| ZTNA | 애플리케이션 접근 통제 | 사용자, 단말, 위치, 리소스, 위험도 기반 접근 판단 |
| IAM | 신원과 권한 관리 | 사용자, 서비스, 자동화된 작업의 권한 사용 기준 제공 |
| EDR | 단말 행위 탐지와 대응 | 접속 이후 신뢰 상태 재평가 |
| AI 보안 | AI 사용 흐름과 데이터 접근 통제 | 프롬프트, 데이터, 도구 호출, 자동화된 행위 검증 |
핵심은 제품을 나열하는 것이 아닙니다. 핵심은 신뢰를 판단하기 위한 신호와 통제 지점을 연결하는 것입니다.
과거의 보안은 경계를 만들고, 그 안에 들어온 대상을 신뢰하는 방식에 가까웠습니다. 하지만 지금의 업무 환경은 그렇게 단순하지 않습니다.
AI 도구는 데이터를 읽고, 요약하고, 다른 시스템을 호출합니다.
이 환경에서 신뢰는 고정될 수 없습니다.
정상 AI 사용이 의도치 않은 보안 리스크로 이어질 수 있습니다.
그래서 신뢰는 한 번 부여되는 권한이 아니라, 계속 갱신되는 판단이어야 합니다.
자동화된 작업과 AI 사용 흐름까지 검증합니다.
검증은 불신이 아닙니다. 검증은 안전한 신뢰를 만들기 위한 절차입니다.
데카르트의 의심은 확실한 답을 찾기 위한 과정이었습니다. Zero Trust의 검증도 마찬가지입니다. 내부망, 사내 계정, 등록된 단말이라는 이유만으로 신뢰하지 않습니다. 신원과 단말 상태, 행위와 리소스 사용 흐름을 바탕으로 접근을 판단합니다.
AI 시대에는 이 검증의 범위가 더 넓어집니다. 사람뿐 아니라 서비스, API, 데이터 흐름, 자동화된 작업, AI 사용 흐름까지 확인해야 합니다.
AI는 이 신호들을 연결해 판단을 고도화할 수 있지만, AI 자체도 검증의 대상이 됩니다.
신뢰는 더 이상 한 번 부여되는 권한이 아닙니다. 신뢰는 계속 확인되고, 조정되고, 필요하면 회수될 수 있어야 하는 판단입니다. 그래서 AI 시대의 보안은 이렇게 말할 수 있습니다.
나는 검증한다, 고로 신뢰한다.
Genians NAC, ZTNA, EDR 관련 공개 자료
지니언스 Nexus 팀에서 개발을 담당하며, 인증과 권한 관리 및 사이버 보안을 중심으로 안전하고 편리한 서비스를 만드는 방법을 고민합니다.