가이드라인이 말하는 것을,
금융의 문 앞에서 구현합니다.

가이드라인 2.0은 제로 트러스트 아키텍처의 기본 원리를 여섯 항목으로 정리합니다. 출발점은 하나입니다 — 어떤 접근도 기본적으로 신뢰하지 않고, 명시적으로 확인한 뒤에만 리소스 접근을 허용한다. 망분리라는 벽이 낮아지는 금융권에서 이 여섯 원리는 곧 "벽이 하던 일을 무엇이 이어받는가"에 대한 답입니다.

각 카드의 윗부분은 가이드라인의 요지, 아랫부분은 길목마다 검문소 구조에서 그 원리를 구현하는 방식입니다.

가이드라인은 NIST SP 800-207을 따라 제로 트러스트 아키텍처를 제어 영역과 데이터 영역으로 나눕니다. 제어 영역의 정책결정지점(PDP)은 정책 엔진(PE)과 정책 관리자(PA)로 구성되고, 데이터 영역의 정책시행지점(PEP)이 접근 주체와 리소스 사이를 지킵니다. 여기에 가이드라인 2.0이 새로 명명한 정책정보지점(PIP) — ID 관리, SIEM, 행위 로그, 규제·내부규정, 위협 인텔리전스, 데이터 접근 정책 — 이 신뢰도 판단용 데이터를 공급합니다.

아래 그림은 같은 구조를 K-금융지주에 놓고, 각 지점에 어떤 에이전트가 서는지를 겹쳐 그린 것입니다. 핵심 차이는 하나입니다 — 정책 엔진이 하나가 아니라 여럿이고, 서로를 감시한다는 것.

가이드라인은 보호해야 할 기업망의 핵심 요소를 식별자·신원, 기기 및 엔드포인트, 네트워크, 시스템, 애플리케이션 및 워크로드, 데이터의 여섯으로 정하고, 모든 요소에 걸쳐 작동해야 하는 교차 기능으로 가시성 및 분석과 자동화 및 통합을 둡니다. 데이터가 가장 중요한 보호 대상이고, 식별자로 구분되는 사용자가 기기를 이용해 네트워크 위에서 애플리케이션을 통해 데이터에 접근한다는 흐름입니다.

은행·증권에 이 여덟 항목을 놓으면, 시뮬레이터의 여덟 컴포넌트와 여섯 요청 에이전트가 정확히 어느 칸에 서 있는지가 보입니다.

가이드라인 2.0은 CISA 성숙도 모델 2.0과 NSA 문서를 참고해 성숙도를 4단계로 재정의했습니다(1.0에는 없던 '초기' 단계 추가). 핵심 요소 여섯과 교차 기능 둘에 대해 52가지 세부역량을 단계별로 기술하며, 5장의 체크리스트로 자사 수준을 스스로 진단할 수 있게 했습니다.

아래 레이더는 물리적 망분리에 의존해 온 전형적인 금융사(AS-IS)와, 길목마다 검문소 구조를 도입한 목표 모델(TO-BE)을 가이드라인의 단계 정의에 비추어 놓아 본 것입니다. 개별 기관의 실제 수준은 5장 체크리스트 진단으로 확정합니다.

가이드라인 1.0이 제시한 다섯 단계 순환 주기를 2.0은 단계별로 구체화했습니다. 핵심은 현재 보안 아키텍처를 성숙도 모델의 세부역량에 연결해 갭을 분석하고, 우선순위를 정해 목표(To-Be) 모델을 설계하는 것입니다. 금융보안원 「금융보안 거버넌스 가이드」가 권고하는 CEO·CISO·실무자 역할 분담도 같은 틀 안에서 정리됩니다.

Algometrics는 이 다섯 단계 각각에서 시뮬레이터를 도구로 씁니다 — 진단에는 체크리스트와 함께, 설계에는 귀사 컴포넌트로 재구성한 모델로, 검증에는 침투 시나리오로.

가이드라인 2.0은 도입 후 효과를 두 가지로 검증하라고 합니다. 하나는 성숙도 기반 체크리스트, 다른 하나는 침투시험입니다. 침투시험 부분에서 가이드라인이 예로 드는 것이 EU 금융 인프라·기관 대상 프레임워크 TIBER-EU — 위협 인텔리전스(TI)로 대상 기관의 위협을 먼저 파악하고, 레드팀(RT)이 최적화된 시나리오로 시험하는 방식입니다. 실시간 시스템이 중요한 금융기관은 실제 피해를 내는 단계까지 가지 않고 가능성을 증명하는 단계까지만 수행하며, 이 한계를 보완하는 기술로 BAS(Breach and Attack Simulation)를 언급합니다.

길목마다 검문소 시뮬레이터는 바로 이 BAS의 자리에 있습니다. 여섯 시나리오는 가이드라인 표 5-11의 방식대로 핵심 요소·기능과 MITRE ATT&CK 전술에 대응시켰고, 각 행에서 바로 실행할 수 있습니다.

가이드라인 부록은 제로 트러스트 세부역량과 ISMS-P 인증기준을 연계표로 정리합니다. 금융회사는 대부분 ISMS-P 인증을 이미 운영하고 있으므로, 길목마다 검문소가 구현하는 세부역량이 어느 인증기준에 대응하는지를 알면 인증 유지와 성숙도 개선을 한 번에 진행할 수 있습니다. 아래는 시뮬레이터의 여섯 단계가 직접 다루는 세부역량만 추린 것입니다.