정보 보안 3원칙이란?
정보 보안 3원칙이란 기밀성, 무결성, 가용성이라는 세 가지 기준을 따르는 정보 보안 모델입니다. 조직은 이 모델을 참고하여 세 가지 핵심 분야를 다루는 보안 절차와 정책을 수립할 수 있습니다. 보안 3원칙은 다소 광범위하고 포괄적인 개념이지만, 올바른 계획을 수립하는 것 뿐만 아니라 사이버 보안 위협을 식별하고 이를 억제하고 최소화하는 보안 및 위험 완화 솔루션을 구현하기에 적합한 것으로 검증되었습니다.
보안 3원칙은 효과적 보안 태세가 갖춰야 할 주요 요건들이지만 때로는 상충되기도 합니다.
예를 들어 기밀성을 확보하기 위한 데이터 액세스 솔루션은 사용하기 번거로워 데이터 가용성을 저해할 수 있습니다. 보안 3원칙을 균형 있게 추구하려면 조직 고유의 상황을 고려해야 합니다.
모든 사이버 위협이 조직 외부의 사이버 공격에서 비롯되는 것은 아닙니다. 그렇기에 보안 3원칙 모델에 따라 기밀성을 확보할 때는 외부 사이버 범죄자 뿐만 아니라 내부자의 실수나 악의적 행동까지 고려해야 합니다.
사이버 보안에서 정보 보안 3원칙의 중요성
정보 보안 3원칙은 정보 보안에 대한 포괄적인 가이드를 제공합니다. 조직은 이를 근거로 환경을 평가하고, 취약점을 파악하고, 해결책을 찾고, 기존 환경을 최적화할 수 있습니다. 조직은 보안 3원칙을 모두 고려해 각 영역의 중요성을 검토하고 비중을 따져 적절한 균형을 찾은 후 종합적인 관점에서 보안을 확립해야 합니다.
보안 3원칙이 중요한 이유를 이해하려면 해당 모델을 통해 어떤 취약점을 해소할 수 있는지를 생각해 보는 것도 좋습니다. 각 원칙에 따라 해결할 수 있는 취약점은 다음과 같습니다.
기밀성 원칙에 따라 해결할 수 있는 취약점:
무결성 원칙에 따라 해결할 수 있는 취약점:
- 과도한 사용자 권한
- 멀웨어
- 물리적 변조
- 랜섬웨어
- SQL 삽입 공격
가용성 원칙에 따라 해결할 수 있는 취약점:
- 재난(화재, 홍수, 지진 등)
- 분산 서비스 거부(DDoS) 공격
- 하드웨어 고장
- 설정 오류
- 하드 디스크나 서버의 물리적 손상
- 랜섬웨어
- 소프트웨어 버그
정보 보안 3원칙의 구성 요소는 무엇인가요?
기밀성
기밀성이란 정보 접근, 사용, 공유를 제한하는 시스템과 프로세스를 구현하여 정보를 무단 액세스로부터 보호하는 것입니다. 최고 수준의 데이터 보호 표준을 확립하고 민감한 정보의 보안을 유지하려면 보안 3원칙의 기밀성을 구현할 때 최소 권한의 원칙에 따라 액세스를 제한해야 합니다. 즉, 사용자는 업무 수행에 반드시 필요한 정보에 대해서만 필요한 기간 동안에만 액세스 권한을 부여받아야 합니다.
사용자가 계정에 액세스할 때 다단계 인증을 요구하는 것도 기밀성의 원칙을 따르는 것입니다. 이 경우 웹사이트에 로그인하려는 사용자는 자신의 모바일 기기로 전송된 코드를 입력해야 합니다. 이때 보안 질문을 추가로 활용할 수도 있습니다.
무결성
무결성이란 데이터를 무단으로 수정하거나 삭제할 수 없게 하는 것입니다. 무결성의 원칙은 데이터의 신뢰성과 완전성을 보장하기 위한 것입니다.
해시, 암호화, 디지털 인증서, 디지털 서명은 무결성 원칙을 구현하기 위한 수단입니다. 이러한 방법을 활용하면 무결성을 검증하고 진위를 부인하거나 부정할 수 없도록 만들 수 있습니다.
가용성
가용성은 사용자가 필요한 정보에 적시에 안정적으로 접근할 수 있음을 뜻합니다. 이를 위해서는 시스템이 변조되지 않도록 보호해야 합니다.
정보 보안 3원칙에서 가용성은 흔히 탄광의 카나리아 같은 역할을 합니다. 시스템이 침해되면 보통 가용성에 먼저 문제가 생기기 때문입니다. 이러한 점 때문에 보안 3원칙에서 기밀성 및 무결성보다 가용성을 먼저 고려하는 경우가 많습니다.
보안 3원칙에 따라 예방하고 완화하려는 가용성 장애의 대표 사례로는 DDoS 공격과 랜섬웨어가 있습니다. 이들을 비롯한 다른 가용성 관련 공격 경로들이 가용성 보안 활동의 핵심 대상입니다. 기밀성과 무결성이 유지되더라도 액세스할 수 없다면 데이터는 가치가 없게 됩니다.
정보 보안 3원칙 모델이 사용하는 보안 통제 수단
정보 보안 3원칙 모델은 다음과 같은 보안 통제 수단을 사용합니다.
- 기밀성 정책
- 데이터 분류
- 데이터 거버넌스 프로그램
- 데이터 보존 정책
- 디지털 액세스 제어 수단(다단계 인증, 패스워드리스 사인온
- 저장 데이터와 전송 데이터 암호화
- 기업 보안 시스템
- 안티 바이러스 소프트웨어
- 엔드포인트 보호
- 데이터 손실 방지 솔루션
- 방화벽
- 아이덴티티 및 액세스 관리(IAM)
- 역할 기반 액세스 제어(RBAC) 시스템
- 비밀 유지 계약
- 물리적 액세스 제어
- 강력한 비밀번호
기업이 정보 보안 3원칙 모델을 사용하는 이유
정보 보안 3원칙은 단순하면서도 강력하여 모든 유형의 기업이 널리 사용합니다. 보안 3원칙의 몇 가지 장점은 다음과 같습니다.
신속한 사고 대응 지원
정보 보안 3원칙의 각 요소는 보안 사고의 사후 대응에 활용할 수 있습니다. 민감한 데이터의 기밀성을 보호하는 시스템은 보안 사고의 영향을 완화합니다.
예를 들어 감염된 시스템을 격리하는 프로토콜로는 데이터 유출을 막거나 줄일 수 있고, 암호화를 통해서는 민감한 데이터가 설령 유출되더라도 활용되지 못하게 만들 수 있습니다. 로깅 메커니즘과 같은 무결성 제어 수단을 통해서는 공격자의 시스템 및 데이터 변조 여부를 판단하여 유효한 버전을 복구할 수 있습니다.
보안 3원칙에서 가용성을 위한 모범 사례를 따르면 공격이나 서비스 중단이 발생했을 때 시스템과 데이터에 대한 액세스를 신속하게 복구할 수 있습니다.
보안 교육 프로그램의 프레임워크 제공
정보 보안 3원칙 모델은 위협을 정의하고 사용자가 조직의 보안 태세를 최적화를 위해 이행해야 할 핵심 보안 조치를 상세히 제시함으로써 보안 교육 프로그램의 틀을 제공합니다. 먼저 기밀성 측면에서는 사용자 교육 시 액세스 제어 및 민감한 데이터 처리 절차, 사회공학적 공격 전략에 대한 인식, 적절한 비밀번호 관리 및 암호화의 중요성을 다뤄야 합니다.
무결성 측면에서는 데이터 변조 여부 파악 방법, 정보의 신뢰성을 확보하는 법, 정보 입력 또는 사용 전 데이터 출처 검증의 중요성, 데이터 무결성이 손상된 것으로 의심되는 사고를 보고하고 그에 대응하는 방법이 포함되어야 합니다. 가용성 측면에서는 보안 사고 및 재난 복구 절차, 가용성 위협 사례(DDos, 시스템 오류 등)에 대한 대응법, 백업 절차를 가르쳐야 합니다.
사이버 보안 사고 사후 평가 지원
정보 보안 3원칙을 따르면 보안 사고의 영향을 체계적으로 평가할 수 있습니다. 또한 보안 수단의 효과를 면밀히 파악하고 개선이 필요한 부분을 식별할 수 있습니다.
사이버 킬 체인 차단
정보 보안 3원칙을 따라 여러 단계에 걸쳐 공격을 저지하는 보안 조치를 실행하여 사이버 킬 체인을 차단할 수 있습니다. 사이버 킬 체인은 정찰, 무기화, 전달, 취약점 악용, 설치, 명령 및 제어, 목표 실행 등의 단계로 구성되며, 공격자는 이러한 단계를 거쳐 목표를 달성하려 합니다. 공격자는 일반적으로 이 과정에서 기밀성, 무결성, 가용성 중 하나 이상의 요소를 침해하려고 하므로, 보안 3원칙은 모델은 이러한 공격 흐름을 차단하는 데 중요한 역할을 합니다.
정보 보안 3원칙의 과제
정보 보안 3원칙은 강력한 사이버 보안 태세의 기반으로 널리 인정받고 있으나 해결해야 할 과제도 존재합니다. 몇 가지 한계와 과제는 다음과 같습니다.
보안과 사용성의 균형 찾기
정보 보안 3원칙의 한 가지 문제점은 보안과 사용성의 균형점을 찾기가 어렵다는 것입니다. 이 문제는 기밀성, 무결성, 가용성의 내재적인 상충 관계와 원활한 사용자 경험을 보장하는 과정에서 비롯됩니다.
더욱 강력한 보안 조치인 엄격한 액세스 제어, 암호화, 빈번한 데이터 검증 등을 활용하면 시스템 보안을 강화할 수 있지만, 가용성이 떨어져 정보를 활용하기 어려워지며 그 과정에서 많은 시간이 소모됩니다. 이는 사용자 불만, 비효율성은 물론 더 나아가서는 보안 프로토콜 우회 시도를 유발할 수 있습니다. 그러나 보안 계층을 축소하여 사용성을 우선시하면 방어 체계가 약화되어 시스템이 공격에 더욱 취약해질 수 있습니다.
제한적인 범위
보안 3원칙은 기밀성, 무결성, 가용성에만 집중하며, 사이버 보안의 다른 측면들(인증, 책임 추적, 부인 방지, 보안 인식, 지속적 모니터링의 필요성, 사고 대응, 위협 인텔리전스)은 다루지 않으므로 비판을 받습니다. 세 가지 영역에만 초점을 맞추면 공격자가 그 외의 간과되는 영역을 악용할 수 있으므로 보안 태세에 공백이 발생할 수 있습니다.
구체성 부족
보안 3원칙은 구체성이 부족하다는 한계가 있습니다. 이는 다양한 조직의 요구 사항을 충족하거나 보안 지식이 부족한 조직에 적합한 보안 조치를 효과적으로 구현하는 데 어려움을 초래할 수 있습니다. 보안 3원칙은 기밀성, 무결성, 가용성의 기본 원칙을 강조하지만 그 내용은 비교적 단순하며 해당 원칙들을 충족하기 위한 상세 지침도 제공하지 않습니다.
이러한 모호성은 보안 관행의 일관되지 않은 해석과 적용으로 이어질 수 있으며 이로 인해 보안에 공백이 생길 수 있습니다. 또한 구체적인 지표나 프레임워크가 없어, 조직이 이를 토대로 보안 태세를 효과적으로 평가하거나 취약점의 우선순위를 판단하기 어렵습니다. 따라서 정교한 사이버 위협 에 대처하는 데 필요한 전략을 개발하기 어려울 수 있습니다.
정보 보안 3원칙의 이점
정보 보안 3원칙이 그 문제점에도 불구하고 널리 사용되는 이유는 다양한 이점을 제공하기 때문입니다. 조직이 보안 3원칙을 따라 보안 프로그램을 구축하여 얻을 수 있는 몇 가지 이점은 다음과 같습니다.
- 데이터 보안 및 개인정보보호—데이터 무단 액세스, 도난, 조작을 차단할 수 있습니다.
- 컴플라이언스—민감한 정보를 보호하기 위한 규제와 법률 체계를 준수하도록 지원합니다.
- 선제적 위험 예방—취약성을 식별하고 완화하여 보안상의 허점을 메우고 사이버 공격을 예방할 수 있게 해줍니다.
- 가용성—시스템과 데이터의 가용성을 유지할 뿐만 아니라 무단 액세스를 방지하여 그 품질을 보장합니다.
- 보안 역량 강화—조직의 사이버 보안 태세를 최적화하여 전반적 보안을 강화합니다.
- 직원 교육—포괄적이고 효과적인 사이버 보안 교육 프로그램의 가이드라인을 제공합니다.
정보 보안 3원칙을 참조하는 표준
정보 보안 3원칙은 정보 보안 생태계의 중추이며 다음과 같이 다양한 표준에서 참조하고 있습니다.
ISO 27001
ISO는 ISO 27001 표준의 주요 이점 중 하나가 “데이터 무결성, 기밀성, 가용성”이라고 설명합니다. 또한 ISO 27001을 통해 조직은 “재무제표, 지적 재산권, 직원 데이터, 제3자로부터 위탁받은 정보와 같은 자산을 온전한 상태로 기밀로 유지하고 필요 시 언제든지 접근 가능하도록 보장”할 수 있다고 기술합니다.
GDPR
유럽연합의 일반데이터보호규정(GDPR)은 세계에서 가장 엄격한 개인정보보호 및 보안 법률의 하나이며, 제32조에는 보안 3원칙의 각 요소가 언급되어 있습니다(“처리 시스템 및 서비스의 지속적인 기밀성, 무결성, 가용성, 복원력을 보장”).
PCI-DSS
지불 카드 산업 데이터 보안 표준(PCI DSS)은 그 전반에서 기밀성과 무결성을 명시적으로 거론하고 있으며, 특히 요건 3(“저장된 계정 데이터 보호”)과 요건 7(“시스템 구성 요소와 카드 소유자 데이터에 대한 액세스 제한”)에서는 이를 더욱 구체적으로 언급합니다. 가용성은 시스템 보안 유지(요건 6) 및 지속적 모니터링과 액세스 제어(요건 10, 11) 등의 조치에 함축적으로 반영되어 있습니다.
NIST SP 800-53
NIST SP 800-53(정보 시스템 및 조직을 위한 보안 및 개인정보보호 통제)은 표준 전반에서 보안 3원칙의 각 요소를 언급하고 있습니다. 기밀성은 3.3.4항(정보 기밀성을 위한 보안 및 개인정보보호 통제), 무결성은 3.3.3항(정보 무결성을 위한 보안 및 개인정보보호 통제), 가용성은 3.3.2항(정보 가용성을 위한 보안 및 개인정보보호 통제)에서 언급됩니다.
정보 보안 3원칙: 단순하지만 구현은 쉽지 않은 핵심 기반
정보 보안의 가장 기본적인 토대는 정보 보안 3원칙 위에 구축됩니다. 기업은 이 검증된 원칙을 따라 자산을 보호하기 위한 보안 체계를 설계하고 유지할 수 있습니다.
보안 3원칙은 전 세계 대부분의 정보 보안 지침, 모범 사례, 표준에 반영되어 있을 정도로 매우 효과적인 지침입니다. 더 나아가 보안 3원칙은 보안 및 개인정보보호 규제에 반영되기도 합니다.
보안 3원칙은 겉보기에는 단순하지만 결코 과소평가해서는 안 되며, 보안 실무자라면 누구나 활용해야 하는 도구입니다.
