미 국방부, 우주 지상국 시스템 대상 제로 트러스트 아키텍처 요구사항 공개
미국 국방부가 우주 지상국 및 위성 운용 인프라에 제로 트러스트 아키텍처(Zero Trust Architecture, ZTA) 요구사항 지침서를 공식 발표했다. 군 시스템뿐 아니라 국방부 계약 상업 위성 운용사에도 2027년까지 전환 완료가 의무화된다.
미국 국방부 최고정보책임자(CIO) 실이 발간한 이번 지침서는 우주 지상 인프라 전반을 겨냥한 사이버 위협에 대응하기 위해 마련됐다. 지침서는 모든 지상국 접속 요청에 신원 기반 지속 검증을 요구하며, 위성 명령 전송 시스템에 대한 접근을 **최소 권한 원칙(Least Privilege)**으로 제한하는 72개의 구체적 통제 항목을 규정하고 있다.
가장 주목할 만한 기술 요건은 위성 운용자가 지상 제어 시스템에 접속할 때 FIDO2 표준 기반 하드웨어 다중 인증을 의무화한다는 점이다. 기존의 소프트웨어 기반 인증으로는 지상국 접근 경로에 대한 충분한 보호가 어렵다는 판단에 따른 것이다. 아울러 모든 위성-지상국 간 통신 세션은 실시간 행동 분석(behavioral analytics)으로 지속 모니터링해야 하며, 이상 징후 발생 시 자동 차단 체계를 갖추도록 규정했다.
위성 소프트웨어 업데이트 배포 파이프라인에 대한 코드 서명 의무화도 핵심 요건에 포함됐다. 공급망 취약점 지속 평가 체계 구축을 함께 요구한 것은, 최근 위성 소프트웨어 공급망을 노린 공격이 현실적인 위협으로 부상한 데 따른 대응이다. 이 요구사항은 군 위성 지상 인프라뿐 아니라 국방부와 계약 관계에 있는 모든 상업 위성 운용사에게도 동등하게 적용된다.
업계 분석가들은 이 요구사항이 상업 위성 운용사들에게 상당한 기술·비용 부담을 줄 것으로 예상하면서도, 최근 상업 위성 인프라를 겨냥한 사이버 공격이 급증하는 상황에서 불가피한 조치라고 평가했다. 요건을 충족하지 못할 경우 국방부 계약에서 배제될 수 있어, 위성 서비스 업계 전반에 걸친 보안 수준 상향이 사실상 강제된다.
한국 방위사업청도 유사한 제로 트러스트 기준을 국내 군 위성 사업에 적용하는 방안을 검토 중인 것으로 알려졌다. 이번 미국 국방부 지침이 동맹국 및 우방국의 우주 사이버보안 정책 수립에 직접적인 참조 기준이 될 가능성이 높으며, 국내 군 위성 및 상업 위성 운용사들도 유사 요건 도입에 대비한 선제적 준비가 필요한 시점이다.