1. 방대한 산업 네트워크, 취약점이 된 복잡성
사이버 위협이 날로 정교해지는 시대에, 기업 보안은 더 이상 선택이 아닌 생존의 문제가 되었습니다. 튀르키예의 주요 산업 그룹 조슈쿤외즈 홀딩(Coşkunöz Holding)은 7개 사업 분야, 12개 계열사, 3,000명의 임직원을 거느린 대형 제조 그룹으로, 첨단 제조부터 물류에 이르기까지 광범위한 IT·OT(Operation Technology)·IoT(Internet of Things) 환경을 운영하고 있습니다.
이처럼 복잡하고 방대한 네트워크를 하나의 일관된 보안 체계로 묶는다는 것은 결코 단순한 문제가 아니었습니다. 네트워크의 공격 표면은 기하급수적으로 넓어지고 있었고, 조슈쿤외즈 홀딩은 새로운 사이버 보안 패러다임을 모색해야 했습니다. 그 해답이 바로 지니언스가 제시하는 제로 트러스트 아키텍처였습니다.
2. 복잡한 환경이 만들어낸 네 가지 핵심 문제
조슈쿤외즈 홀딩이 보안 체계를 재정비하며 도출한 핵심 과제는 네 가지였습니다. 이 문제들은 서로 얽혀 있어, 하나를 해결하지 않으면 나머지도 악화되는 연쇄적 구조를 띠고 있었습니다.
(1) 하나의 규칙으로 다룰 수 없는 세 가지 체계
조슈쿤외즈 홀딩의 네트워크는 크게 세 가지 영역으로 구성되어 있습니다. 첫 번째는 일반적인 사무 환경의 IT 시스템, 두 번째는 공장 생산 라인을 구동하는 OT 시스템, 그리고 세 번째는 IP 카메라와 스마트 센서를 비롯한 수많은 IoT 기기들입니다. 문제는 이 세 가지 환경이 각각 완전히 다른 보안 요구사항을 가진다는 점입니다.
OT 시스템은 가용성이 생명입니다. 보안 패치 하나가 생산 라인을 멈추게 할 수 있기 때문에 함부로 업데이트할 수 없습니다. 반면 IT 시스템은 기밀성과 무결성이 더 중요하며, IoT 기기들은 그 자체로는 단순하지만 종류가 너무 많아 일일이 관리하기가 쉽지 않습니다. 이 세 가지를 하나의 보안 정책으로 묶으려는 시도는 '공장이 멈추지 않으면서도 보안이 강화되어야 한다'는 모순적인 요구를 동시에 해결해야 하는 난제였습니다.
(2) 보이지 않으면 지킬 수 없다
보안의 기본은 자산을 파악하는 것입니다. 어디에 무엇이 연결되어 있는지 모르는 상태에서는 어떤 보안 정책도 허점을 가질 수밖에 없습니다. 조슈쿤외즈 홀딩은 바로 이 가시성의 문제를 심각하게 겪고 있었습니다. 알려진 기기뿐 아니라 누가, 언제, 어떤 기기를 네트워크에 연결했는지조차 파악이 어려운 상황이었던 것입니다.
예를 들어, 협력업체 직원이 점검을 위해 노트북을 네트워크에 연결했을 때, 그 기기가 사전에 승인된 것인지, 최신 보안 패치가 적용되어 있는지, 어떤 리소스에 접근했는지를 실시간으로 파악할 수 있는 수단이 없었습니다. 이는 단순한 불편함의 문제가 아닙니다. 가시성이 없다는 것은 곧 정책 적용이 불가능하다는 뜻이고, 이는 위험 관리 자체가 사실상 무력화된다는 것을 의미합니다.
(3) 빠르게 늘어나는 기기, 느리게 따라가는 관리
기기 수가 늘어날수록 취약점 관리는 기하급수적으로 어려워집니다. 조슈쿤외즈 홀딩 역시 구형 펌웨어를 탑재한 IP 카메라, 패치되지 않은 레거시 시스템, 잘못 구성된 네트워크 장비 등이 도처에 존재했습니다. 이런 기기들은 그 자체로 잠재적인 침투 경로가 됩니다. 특히 OT 환경에서의 레거시 시스템은 더욱 까다롭습니다. 수십 년 된 장비에 현대적인 보안 에이전트를 설치하는 것은 불가능에 가깝고, 패치를 적용하더라도 생산 라인에 영향을 줄 수 있어 쉽사리 실행하기 어렵습니다.
(4) 보안과 생산성, 두 마리 토끼를 동시에
제조업 환경에서 보안 솔루션 도입이 어려운 이유 중 하나는 '중단 없는 운영'에 대한 요구입니다. 아무리 훌륭한 보안 솔루션이라도 생산 라인이 멈춘다면 의미가 없습니다. 조슈쿤외즈 홀딩은 새로운 보안 조치를 도입하면서 동시에 기존 운영이 단 한 순간도 방해받지 않기를 원했습니다.
이는 솔루션의 기술적 우수성만큼이나 '도입 방식'이 중요하다는 것을 의미합니다. 단계적으로 도입하고, 기존 인프라와 충돌 없이 통합되며, 혹시 문제가 생기더라도 빠르게 롤백할 수 있는 유연성이 요구되었습니다. 한 마디로, 보안과 운영 효율성이 공존할 수 있는 접근법이 필요했습니다.
3. 지니언스의 솔루션: NAC에서 ZTNA로의 진화
앞서 살펴본 네 가지 과제는 단순히 개별적인 기술 문제가 아니었습니다. 가시성이 없으니 정책을 적용할 수 없고, 정책을 적용할 수 없으니 취약점이 방치되고, 취약점이 방치되니 운영 연속성마저 위협받는 구조적인 문제였습니다. 지니언스는 이 연결고리를 끊기 위해 두 단계의 솔루션을 제시했습니다.
(1) 1단계: Genian NAC — 보이지 않던 것들을 보이게 하다
먼저 도입된 Genian NAC는 네트워크에 연결된 모든 자산을 에이전트 없이 탐지하고 프로파일링했습니다. IP 카메라처럼 에이전트 설치가 불가능한 기기까지 포함하여, IT·OT·IoT 전 영역의 가시성을 확보한 것입니다. '디바이스 플랫폼 인텔리전스' 기능은 각 기기의 OS·펌웨어·운영 상태를 파악해 맞춤형 보안 정책을 자동 적용했으며, 이상 기기는 실시간으로 격리할 수 있게 되었습니다. 무엇보다 기존 인프라를 그대로 활용하는 방식으로 생산 라인을 단 한 번도 멈추지 않았습니다.
(2) 2단계: Genian ZTNA — 신뢰는 가정하지 않는다, 항상 검증한다
NAC로 탄탄한 기반을 마련한 뒤, 조슈쿤외즈 홀딩은 Genian ZTNA로 보안 아키텍처를 한 단계 끌어올렸습니다. ZTNA의 핵심은 '절대 신뢰하지 말고, 항상 검증하라(Never Trust, Always Verify)'는 원칙입니다. 사용자·기기·위치에 관계없이 접근을 시도할 때마다 신원과 상태를 검증하고, 필요한 리소스에만 최소 권한으로 접근을 허용합니다.
Genian ZTNA가 이 맥락에서 특히 강력한 이유는, Genian NAC의 모든 핵심 기능을 포함하면서 이를 확장하는 통합 플랫폼 설계를 채택하고 있다는 점입니다. 다시 말해, NAC에서 ZTNA로의 전환이 '갈아엎기'가 아니라 '진화'로 이루어집니다. 기존 NAC 투자와 데이터를 그대로 활용하면서 더 넓은 범위의 보안을 실현할 수 있습니다. 기존 NAC 투자를 그대로 활용하면서 원격 액세스 보안(위치 무관 검증), 애플리케이션 단위 접근 제어(측면 이동 차단), 클라우드 보안(멀티 클라우드까지 일관된 정책 적용)을 추가했습니다.
이로써 조슈쿤외즈 홀딩은 앞서 살펴본 네 가지 과제(복잡한 인프라, 제한된 가시성, 취약점 관리, 운영 연속성)를 하나의 일관된 솔루션으로 해결할 수 있었습니다.
4. 숫자 그 이상의 ‘운영 효율’ 혁신
조슈쿤외즈 홀딩의 보안 전환은 단순한 솔루션 도입을 넘어 조직 전체의 보안 관리 방식을 근본적으로 바꿔놓았습니다. IT·OT·IoT를 포함한 모든 연결 자산이 실시간으로 파악되고, 이상 기기는 즉각 격리됩니다. NAC에서 ZTNA로의 업그레이드는 기존 인프라를 활용해 중복 투자 없이 이루어졌으며, 12개 계열사 수천 대 기기의 보안 아키텍처가 운영 중단 없이 전환되었습니다. 어디서 무엇으로 접속하든 동일한 보안 원칙이 적용되면서 보안팀의 관리 부담은 줄고 전사 보안 수준은 균일하게 높아졌습니다. 공격자가 내부로 진입하더라도 측면 이동이 차단되어 피해를 최소화할 수 있는 체계도 갖춰졌습니다.
5. 산업 현장에서 배우는 제로 트러스트 전환의 의미
조슈쿤외즈 홀딩의 사례는 단순한 성공 사례 소개를 넘어, 오늘날 기업들이 직면한 보안 과제에 대한 중요한 시사점을 제공합니다. 첫째, 제로 트러스트는 개념이 아니라 여정입니다. 완벽한 ZTNA를 한 번에 구현하려 하지 말고, NAC로 가시성과 접근 제어의 기반을 마련한 뒤 ZTNA로 자연스럽게 확장하는 단계적 접근이 현실적입니다. 지니언스가 제시하는 제로 트러스트 전환 경로가 바로 이 철학을 담고 있습니다.
둘째, OT·IoT 환경에서도 ZTNA는 작동합니다. 레거시 장비, 에이전트 설치 불가, 패치 제약이 있는 환경에서도 충분한 가시성과 제어를 확보할 수 있습니다. 핵심은 '기기에 무언가를 설치하는 것'이 아니라 '네트워크 차원에서 접근 자체를 제어하는 것'입니다. ZTNA가 바로 이 접근법의 본질입니다.
.png)
.png)
