정보보호
무엇을 지키는가. 정보보호의 세 가지 목표와 그 목표들이 서로 충돌한다는 사실, 그리고 보안이 결국 균형을 정하는 활동인 이유를 설명합니다.
정보보호의 세 가지 목표
정보보호는 흔히 세 요소로 설명됩니다. 영문 머리글자를 따 CIA 라고 부릅니다.
- 기밀성: 허가된 사람만 정보에 접근할 수 있어야 합니다.
- 무결성: 정보가 허가되지 않은 방법으로 변경되지 않아야 합니다.
- 가용성: 필요할 때 정보와 시스템을 사용할 수 있어야 합니다.
세 목표는 종종 서로 부딪힙니다. 접근을 엄격히 막을수록 기밀성은 높아지지만 가용성은 떨어지고, 업무 속도도 느려집니다. 보안을 강화했더니 현업이 우회로를 만들어 쓰더라는 이야기는 이 충돌에서 나옵니다. 그래서 정보보호는 위험을 없애는 활동이 아니라, 위험의 크기에 맞춰 균형점을 정하는 활동에 가깝습니다.
통제의 세 갈래
보호를 위해 적용하는 수단을 통제라고 하며, 대체로 셋으로 나눕니다.
- 관리적 통제: 정책, 규정, 절차, 교육, 책임자 지정처럼 사람과 조직을 다루는 통제입니다.
- 기술적 통제: 접근 권한, 암호화, 방화벽, 로그 기록처럼 시스템으로 구현되는 통제입니다.
- 물리적 통제: 출입 통제, 시건 장치, 저장 매체의 보관과 파기처럼 공간과 물건을 다루는 통제입니다.
기술적 통제만 잔뜩 사 두고 관리적 통제가 비어 있는 조직이 많습니다. 솔루션은 도입되어 있는데 그 로그를 아무도 보지 않고, 권한 대장은 만들었는데 갱신되지 않는 상태입니다. 통제는 도입이 아니라 운영에서 완성됩니다.
정보보호와 개인정보 보호의 차이
둘은 겹치지만 같지 않습니다. 정보보호는 정보 자산 전반을 지키는 것이 목적이고, 개인정보 보호는 특정 개인을 알아볼 수 있는 정보를 어떻게 다루는가 를 규율합니다.
예를 들어 고객 정보를 완벽히 암호화해 보관하고 접근 통제도 철저히 했다고 합시다. 정보보호 관점에서는 훌륭합니다. 그런데 그 정보를 수집 목적과 무관한 마케팅에 활용했다면 개인정보 보호 원칙을 위반한 것입니다. 기술적으로 안전한 것과 법적으로 적법한 것은 다른 문제이고, 보안 부서만 있고 개인정보 담당이 없는 조직이 자주 걸려 넘어지는 지점입니다. 자세한 내용은 개인정보 문서에서 다룹니다.
보안이 실패하는 지점
사고의 원인을 따라가 보면 최신 공격 기법보다 평범한 것들이 더 자주 나옵니다. 퇴직자 계정이 살아 있었고, 공용 계정을 여럿이 나눠 썼고, 패치가 밀려 있었고, 담당자가 첨부파일을 열었습니다.
정보보호가 어려운 이유는 새로운 위협을 모르기 때문이 아니라, 이미 아는 것을 계속 지키기가 어렵기 때문입니다. 보안은 한 번의 구축이 아니라 유지의 문제입니다.
위험 평가 (리스크 진단)
모든 위험을 없앨 수는 없으므로, 무엇부터 막을지 정해야 합니다. 자산과 위협, 취약점, 영향의 관계를 통해 위험을 판단하고 대응을 선택하는 방법을 설명합니다.
정의
위험 평가는 조직이 보유한 자산에 어떤 위협이 있고, 그것이 현실화될 가능성과 영향이 어느 정도인지를 분석해 대응의 우선순위를 정하는 절차입니다.
출발점은 냉정한 전제입니다. 모든 위험을 없앨 수는 없습니다. 자원은 유한하고, 완벽한 보안은 업무를 마비시킵니다. 그러므로 위험 평가의 진짜 목적은 위험을 발견하는 것이 아니라 어디에 먼저 투입할지를 정하는 것 입니다.
구성 요소
- 자산: 지켜야 할 대상입니다. 데이터, 시스템, 설비, 인력이 모두 포함됩니다. 자산 목록이 없으면 위험 평가는 시작할 수 없습니다.
- 위협: 자산에 해를 끼칠 수 있는 잠재적 사건이나 행위자입니다. 해킹, 내부자 유출, 화재, 장비 고장, 담당자의 실수가 모두 위협입니다.
- 취약점: 위협이 파고들 수 있는 약한 지점입니다. 패치되지 않은 서버, 과도하게 부여된 권한, 존재하지 않는 승인 절차, 훈련되지 않은 담당자.
- 가능성과 영향: 그 일이 얼마나 일어날 법한지, 일어나면 얼마나 큰 손실이 생기는지입니다.
위협과 취약점은 짝을 이룰 때만 위험이 됩니다. 아무리 강력한 공격 기법이 존재해도 우리 환경에 해당 취약점이 없으면 위험은 작고, 반대로 사소한 취약점이라도 그것을 노리는 위협이 실제로 존재하면 위험은 커집니다.
정성적 평가와 정량적 평가
정성적 평가는 높음, 중간, 낮음 같은 등급으로 표현합니다. 빠르고 적용하기 쉽지만 기준이 주관적이어서, 평가자가 바뀌면 결과도 바뀔 수 있습니다.
정량적 평가는 예상 손실액처럼 숫자로 표현합니다. 비교가 명확하고 투자 판단에 직접 쓸 수 있지만, 신뢰할 만한 데이터가 있어야 성립합니다. 근거 없는 숫자는 오히려 잘못된 확신을 줍니다. 실무에서는 정성적 평가를 기본으로 하고 중요한 항목만 정량화하는 절충이 흔합니다.
위험 대응
- 감소: 통제를 도입해 가능성이나 영향을 낮춥니다. 가장 흔한 선택입니다.
- 전가: 보험이나 계약을 통해 다른 주체에게 넘깁니다. 다만 평판의 손상처럼 전가되지 않는 것도 있습니다.
- 회피: 위험을 발생시키는 활동 자체를 하지 않습니다. 수집하지 않은 개인정보는 유출되지도 않습니다.
- 수용: 대응 비용이 예상 손실보다 크다면 감수하기로 결정합니다.
네 번째가 중요합니다. 수용은 방치가 아닙니다. 누가, 어떤 근거로, 무엇을 감수하기로 했는지가 기록으로 남아야 수용입니다. 아무도 결정하지 않아 그대로 남아 있는 위험은 수용이 아니라 방치이고, 사고가 나면 그 차이가 책임을 가릅니다.
잔여 위험
통제를 적용한 뒤에도 남는 위험을 잔여 위험이라고 합니다. 잔여 위험이 0 이 되는 일은 없습니다. 위험 평가가 끝났다는 것은 위험이 사라졌다는 뜻이 아니라, 남은 위험의 크기를 조직이 알고 있고 그것을 감당하기로 했다는 뜻입니다.
