CISA, 연방기관 제로트러스트 전환 가이드 공개…SASE·TIC 3.0 활용 강조

미국 사이버보안·인프라보안국(CISA) 공식 발표에 따르면 CISA는 2026년 6월 24일 연방 민간기관이 제로트러스트 아키텍처로 전환하는 데 참고할 수 있는 새 가이드를 공개했다. 이번 문서는 ‘The Journey to Zero Trust’ 시리즈의 하나로, 보안 접속 서비스 엣지(SASE)를 활용해 Trusted Internet Connections(TIC) 3.0 체계 안에서 현대화된 접속 구조를 구현하는 방식을 다룬다.

CISA는 이번 가이드가 기존 TIC 2.0 기반의 중앙 집중형 트래픽 경유 구조에서 벗어나, 분산된 클라우드·원격근무 환경에 맞는 보안 접속 모델을 설계하도록 돕는 데 목적이 있다고 설명했다. TIC 2.0은 경계 기반 보안 모델에 가까워 모든 트래픽을 중앙 통제 지점으로 보내는 방식이 많았다. 그러나 클라우드 애플리케이션 사용과 원격 접속이 늘면서 지연 시간, 가시성, 정책 적용 범위에서 한계가 드러났다는 것이 CISA의 진단이다.

새 가이드는 연방기관의 기술 책임자와 엔터프라이즈 아키텍트를 주요 독자로 삼는다. CISA는 기관이 기존 MTIPS 연결 방식을 SASE 솔루션으로 전환할 때 고려해야 할 계획 수립, 성숙도 향상, 가시성 확보, 통제 강화, CISA 서비스와의 원격 측정 공유를 주요 축으로 제시했다. 발표문은 이 전환이 네트워크 성능 개선과 지연 시간 감소에도 기여할 수 있다고 설명했다.

SASE는 네트워크 보안 기능과 광역 네트워크 접속을 클라우드 기반 구조로 결합하는 접근이다. 제로트러스트 관점에서는 사용자의 위치나 네트워크 경계를 신뢰의 기준으로 삼지 않고, 신원, 기기 상태, 애플리케이션 접근 맥락, 정책 검증을 지속적으로 적용하는 구조와 맞닿아 있다. CISA가 TIC 3.0의 유연성을 강조한 것도 기관별 업무 환경과 클라우드 도입 수준에 따라 단일한 경계 보안 모델만으로는 대응이 어렵다는 판단으로 볼 수 있다.

이번 발표는 미국 연방기관을 직접 대상으로 하지만, 공공기관과 핵심 인프라 운영 조직에도 참고 신호가 된다. 국내에서도 클라우드 전환, 원격근무, SaaS 이용이 확대되면서 기존 망 경계 중심 보안 모델만으로는 사용자 경험과 보안 가시성을 동시에 확보하기 어렵다는 문제가 반복되고 있다. CISA의 가이드는 제로트러스트 전환이 단일 제품 도입이 아니라 네트워크 경로, 인증 체계, 정책 집행, 로그·원격 측정 공유를 함께 재설계하는 작업임을 보여준다.

다만 CISA의 문서는 미국 연방 민간기관 환경을 기준으로 작성됐다. 다른 국가나 민간기업이 그대로 적용하려면 각 조직의 규제 요건, 데이터 위치, 클라우드 사업자 구조, 기존 네트워크 계약, 보안 관제 체계를 따로 검토해야 한다. 제로트러스트와 SASE 전환은 장기적인 아키텍처 변화인 만큼, 단기 성능 개선 효과와 함께 권한 관리·감사·장애 대응 절차를 함께 설계하는 것이 중요하다.

출처: CISA https://www.cisa.gov/news-events/news/new-cisa-guide-assists-federal-agencies-transitioning-modernized-zero-trust-architectures
출처: CISA Guide https://www.cisa.gov/resources-tools/resources/using-sase-modern-tic-30-solution
출처: CISA PDF https://www.cisa.gov/sites/default/files/2026-06/The_Journey_to_Zero_Trust_Using_SASE_in_a_Modern_TIC-3.0_Solution_CB_Approved_508c.pdf