제로 트러스트 보안 아키텍트, 회사 안에 들어온 직원도 믿지 않는 보안 시스템을 설계한다

회사 내부망에 접속했다. 아이디와 비밀번호도 정확하다. 심지어 회사에서 지급한 노트북을 사용하고 있다.

그런데 보안 시스템은 다시 묻는다.

“정말 이 사람에게 지금 이 데이터에 접근할 권한을 줘도 될까?”

과거의 기업 보안이 회사 외부에서 침입자를 막는 높은 성벽을 만드는 일이었다면, 제로 트러스트(Zero Trust)​는 성벽 안으로 들어온 사람조차 자동으로 신뢰하지 않는 방식입니다.

그리고 이 복잡한 보안 구조를 기업 전체에 맞게 설계하는 사람이 바로 제로 트러스트 보안 아키텍트(Zero Trust Security Architect)​입니다.

왜 회사 내부 사용자까지 의심해야 할까?

전통적인 기업 보안에는 명확한 경계가 있었습니다.

회사 밖은 위험한 공간이고, 방화벽을 통과해 회사 내부망에 들어온 직원과 컴퓨터는 상대적으로 신뢰할 수 있다고 보는 방식입니다.

하지만 클라우드와 재택근무가 확산되면서 이 경계가 흐려졌습니다. 직원은 집이나 카페에서 업무 시스템에 접속하고, 기업 데이터는 회사 서버뿐 아니라 여러 클라우드 서비스에 흩어져 있습니다.

NIST 역시 제로 트러스트를 설명하면서 네트워크 위치나 기기의 소유 여부만으로 사용자나 자산에 암묵적인 신뢰를 부여하지 않는다는 점을 강조합니다.

즉, “회사 안에 있으니까 안전하다”라는 공식이 더 이상 통하지 않는 것​입니다.

실제 사례 — NIST가 19개의 제로 트러스트 구축 사례를 만든 이유

제로 트러스트는 단순한 보안 유행어에서 실제 구축 기술로 빠르게 이동하고 있습니다.

2025년 미국 NIST는 제로 트러스트 아키텍처 구현을 위한 실무 가이드인 SP 1800-35를 발표했습니다. 특히 24개 기술 협력사와 함께 상용 기술을 활용해 19개의 실제 제로 트러스트 아키텍처 예시를 구축했습니다.

흥미로운 점은 정답 하나를 제시하지 않았다는 것입니다.

기업마다 기존 시스템, 클라우드 환경, 직원 수, 데이터 중요도가 다르기 때문에 제로 트러스트 역시 하나의 제품을 설치한다고 완성되는 시스템이 아니기 때문입니다. NIST도 기업별로 ZTA로 전환하는 단 하나의 방식은 없다고 설명합니다.

바로 이 지점에서 제로 트러스트 보안 아키텍트의 역할이 중요해집니다.

제로 트러스트의 기술 원리

제로 트러스트를 아주 단순하게 표현하면 “Never Trust, Always Verify”, 즉 처음부터 신뢰하지 말고 접근할 때마다 검증한다는 개념에 가깝습니다.

예를 들어 직원 A가 회사 데이터베이스에 접속한다고 가정해보겠습니다.

시스템은 단순히 비밀번호만 확인하지 않습니다.

사용자는 누구인가 → 등록된 기기인가 → 기기 보안 상태는 정상인가 → 어디에서 접속했는가 → 평소와 다른 행동은 없는가 → 이 데이터에 접근할 권한이 있는가

이런 여러 신호를 종합해 접근 허용 여부를 판단합니다.

CISA의 Zero Trust Maturity Model은 이를 Identity, Devices, Networks, Applications and Workloads, Data​라는 다섯 가지 핵심 영역으로 구분하며, 여기에 가시성·분석, 자동화·오케스트레이션, 거버넌스를 함께 적용합니다.

따라서 제로 트러스트는 단순히 방화벽을 강화하는 기술이 아닙니다.

사용자·기기·네트워크·애플리케이션·데이터 전체의 접근 구조를 다시 설계하는 보안 전략입니다.

제로 트러스트 보안 아키텍트란?

제로 트러스트 보안 아키텍트는 기업의 IT 환경을 분석하고 누가, 어떤 기기로, 어떤 조건에서, 어떤 데이터에 접근할 수 있는지를 설계하는 보안 전문가​입니다.

일반 보안 엔지니어가 특정 보안 제품을 구축하고 운영하는 역할에 가깝다면 보안 아키텍트는 한 단계 위에서 전체 구조를 바라봅니다.

예를 들어 개발자에게 모든 서버 접근 권한을 주는 대신 업무에 필요한 서버만 접근하도록 설계하고, 관리자 계정은 추가 인증을 요구하며, 의심스러운 접속이 발견되면 자동으로 접근 권한을 제한하도록 정책을 설계할 수 있습니다.

보안 기술뿐 아니라 기업 업무 프로세스를 이해하는 능력이 필요한 이유입니다.

실제 업무와 하루 일과

오전에는 보안 대시보드와 전날 발생한 접근 이벤트를 확인합니다. 비정상 로그인이나 새로운 기기 접속, 과도한 권한 사용이 있었는지 분석합니다.

이후 클라우드·네트워크·개발팀과 회의를 진행할 수 있습니다.

예를 들어 신규 SaaS 서비스가 도입된다면 “누가 사용할 것인가?”, “어떤 데이터에 연결되는가?”, “MFA는 적용되는가?”, “퇴사자의 접근 권한은 어떻게 제거되는가?” 등을 검토합니다.

오후에는 IAM 정책이나 네트워크 세분화 구조를 설계하고 테스트 환경에서 접근 정책을 검증합니다.

즉 하루 종일 해커와 싸우는 직업이라기보다,

해커가 침입하더라도 마음대로 움직일 수 없는 구조를 미리 만드는 직업에 가깝습니다.

사용하는 장비·기술

제로 트러스트 보안 아키텍트에게 중요한 기술은 매우 다양합니다.

• IAM / ICAM — 사용자 신원 및 접근권한 관리
• MFA — 다중 인증
• PAM — 관리자·특권 계정 관리
• Microsegmentation — 네트워크를 작은 영역으로 분리
• ZTNA — Zero Trust Network Access
• SASE / SSE — 클라우드 기반 네트워크·보안 통합
• SIEM / SOAR — 보안 이벤트 분석 및 자동 대응
• EDR / XDR — 엔드포인트 위협 탐지
• Cloud Security — AWS·Azure·Google Cloud 등의 보안 구조
• Python / PowerShell — 보안 자동화 및 데이터 분석

NIST의 실제 ZTA 구현 가이드에서도 신원 관리, 마이크로세그멘테이션, SASE, SDP 등이 주요 제로 트러스트 기술로 다뤄집니다.

연봉은 어느 정도일까?

‘Zero Trust Security Architect’만을 별도 직업으로 집계하는 공식 통계는 제한적이므로 정보보안 분석가와 네트워크 아키텍트 직군을 참고하는 것이 현실적입니다.

미국 노동통계국(BLS)의 2025년 자료에서 Information Security Analysts의 평균 연봉은 약 13만2,510달러, Computer Network Architects는 약 13만9,580달러​로 집계됐습니다.

다만 제로 트러스트 아키텍트는 일반적으로 경력직 보안 설계 역할이므로 실제 보상은 경력, 기업 규모, 클라우드 전문성, 국가에 따라 큰 차이가 날 수 있습니다.

국내 역시 ‘제로 트러스트 보안 아키텍트’라는 하나의 직군보다 정보보안·클라우드 보안·보안 아키텍트 채용 안에서 관련 역할을 찾는 방식이 현실적입니다.

필요한 역량과 진입 방법

처음부터 제로 트러스트 아키텍트로 취업하는 경우는 많지 않습니다.

보통 다음과 같은 경로를 거칩니다.

네트워크·서버 기초 → 정보보안 → IAM·클라우드 보안 → 보안 설계 경험 → Security Architect → Zero Trust 전문화

전공은 컴퓨터공학, 정보보호, 소프트웨어공학 등이 유리하지만 반드시 특정 전공만 가능한 것은 아닙니다.

특히 TCP/IP, DNS, VPN, 방화벽, Linux, Windows/Active Directory, IAM, 클라우드, 암호화와 인증 구조를 이해해야 합니다.

관련 역량을 증명하기 위해 Security+, CISSP, CCSP, 클라우드 보안 관련 자격 등을 준비하는 방법도 있습니다.

무엇보다 중요한 것은 제품 이름을 많이 외우는 것이 아니라 “왜 이 사용자에게 이 권한을 허용해야 하는가?”를 설계할 수 있는 능력​입니다.

AI 시대에는 오히려 더 중요해질까?

AI는 제로 트러스트 보안에서 양쪽 역할을 모두 할 가능성이 큽니다.

보안 시스템에서는 AI를 활용해 수많은 로그인과 네트워크 이벤트를 분석하고 평소와 다른 행동을 빠르게 탐지할 수 있습니다.

반대로 공격자 역시 AI를 이용해 피싱 메시지 제작, 계정 공격, 사회공학 공격 등을 더욱 정교하게 만들 수 있습니다.

특히 기업 내부에 생성형 AI와 AI 에이전트가 늘어난다면 새로운 질문도 등장합니다.

“사람이 아닌 AI에게는 어떤 데이터 접근 권한을 줘야 할까?”

결국 미래의 제로 트러스트는 사람과 컴퓨터뿐 아니라 AI 에이전트의 신원과 권한까지 관리하는 방향으로 확장될 가능성이 있습니다.

따라서 AI가 제로 트러스트 아키텍트를 없애기보다는 보안 아키텍트가 설계해야 할 대상과 복잡성을 늘릴 가능성이 더 큽니다.

FAQ

Q1. 제로 트러스트는 직원도 믿지 않는다는 뜻인가요?

직원을 범죄자로 의심한다는 의미가 아닙니다. 사용자나 기기의 위치만으로 자동 신뢰하지 않고 필요한 접근 권한을 지속적으로 검증한다는 보안 원칙입니다.

Q2. 방화벽이나 VPN을 없애는 기술인가요?

아닙니다. 기존 보안 기술을 무조건 제거하기보다 IAM, MFA, 엔드포인트 보안, 네트워크 세분화 등 여러 기술을 조합해 접근 통제를 강화합니다.

Q3. 신입도 제로 트러스트 보안 아키텍트가 될 수 있나요?

바로 아키텍트가 되기보다는 네트워크·시스템·보안 엔지니어 경험을 쌓은 뒤 보안 설계 직무로 이동하는 경로가 일반적입니다.

Q4. 코딩을 잘해야 하나요?

개발자 수준의 코딩이 항상 필요한 것은 아니지만 Python, PowerShell 등의 자동화 능력이 있다면 상당히 유리합니다.

Q5. 클라우드를 반드시 알아야 하나요?

중요도가 매우 높습니다. 현대의 제로 트러스트는 온프레미스와 여러 클라우드에 분산된 자원을 보호하는 문제와 밀접하게 연결돼 있습니다.

Q6. 전망이 좋은 직업인가요?

제로 트러스트는 특정 보안 제품 하나가 아니라 기업 전체의 접근 제어 원칙입니다. CISA 역시 정부기관의 제로 트러스트 전환을 위한 성숙도 모델을 제공하고 있으며, NIST도 실제 구현 사례를 지속적으로 구체화하고 있어 관련 설계 역량의 활용 범위는 상당히 넓다고 볼 수 있습니다.

함께 알아보면 좋은 희귀 IT 직업

내부 링크를 연결한다면 다음 직업들과 궁합이 좋습니다.

사이트 신뢰성 엔지니어(SRE) — 서비스가 장애 없이 안정적으로 운영되도록 시스템을 설계하는 직업

AI 음성 포렌식 분석가 — AI로 조작된 음성과 실제 음성을 분석하는 전문가

딥페이크 포렌식 분석가 — 조작된 이미지와 영상을 찾아내는 디지털 포렌식 전문가

AI 데이터 큐레이터 — AI가 학습할 데이터를 선별하고 품질을 관리하는 직업

디지털 트윈 엔지니어 — 현실의 시설과 시스템을 가상공간에 복제하는 전문가

마무리 — 해커를 막는 것이 아니라 ‘신뢰’를 다시 설계한다

제로 트러스트 보안 아키텍트가 흥미로운 이유는 단순히 보안 프로그램을 다루는 직업이 아니기 때문입니다.

누구에게 어떤 권한을 줄 것인지, 어떤 상황에서 다시 인증할 것인지, 계정 하나가 탈취됐을 때 공격자가 어디까지 이동할 수 있도록 허용할 것인지까지 기업 전체의 디지털 구조를 설계합니다.

과거의 보안이 “외부 침입자를 어떻게 막을 것인가?”​에 집중했다면 제로 트러스트 시대의 질문은 달라집니다.

“침입자가 이미 안에 들어왔다고 가정한다면 우리는 무엇을 보호해야 할까?”

클라우드와 원격근무를 넘어 AI 에이전트까지 기업 시스템에 접속하는 시대가 된다면 이 질문은 더욱 중요해질 것입니다.

그리고 그 질문을 실제 네트워크와 보안 정책으로 바꾸는 사람이 바로 제로 트러스트 보안 아키텍트입니다.