2편. Human Zero Trust — 사람에게 권한을 어떻게 줄 것인가?
Zero Trust에서는 사용자를 인증하는 것만으로는 부족하다. 사용자가 누구인지 알고 있어도 다음을 판단해야 한다.
– 어떤 Resource에 접근할 수 있는가?
– 어떤 Action을 수행할 수 있는가?
– 언제 접근할 수 있는가?
– 어떤 Device에서 접근하고 있는가?
– 이 작업은 일반적인 행동인가?
– 지금 이 사용자에게 이 권한이 정말 필요한가?
1편. Zero Trust — 신뢰하지 않는 시스템은 어떻게 만드는가
우리는 지금까지 시스템을 운영하면서 많은 것을 “신뢰”해왔다.
내부 네트워크에 있는 서버는 외부보다 안전하다고 생각했고, 같은 Kubernetes Cluster에 있는 Workload는 어느 정도 신뢰할 수 있다고 생각했으며, 운영자에게 높은 권한을 부여하고 “이 사람은 필요한 작업만 할 것”이라고 생각했다.
하지만 시스템이 복잡해지고 공격 경로가 다양해지면서 이러한 가정은 점점 위험해졌다.
그리고 AI Agent가 Infrastructure를 직접 변경하기 시작하면서 이 문제는 더욱 중요해지고 있다.
AI에게 모든 권한을 줄 수 있을까?
