정보 보안이란 무엇인가?
정보 보안(Information Security)은 데이터가 저장되거나 한 지점에서 다른 지점으로 전송되는 모든 과정에서 무단 접근과 변조로부터 안전하게 보호될 수 있도록 고안된 일련의 보안 실무 체계입니다. 정보 보안을 효과적으로 구현하기 위해서는 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability)이라는 세 가지 핵심 축, 이른바 CIA 삼각원칙이 반드시 뒷받침되어야 합니다.
1. 기밀성(Confidentiality)
기밀성은 정보 보안의 첫 번째 축으로, 특정 등급으로 분류된 정보가 그 정보가 지정된 집단 외부로 유출되지 않도록 보장하는 것을 의미합니다. 즉, 접근 권한을 부여받은 사람만이 해당 정보를 열람할 수 있어야 하며, 여기서 말하는 '집단'은 특정 조직, 부서 또는 특정 개인이 될 수 있습니다.
기밀성은 민감한 정보가 허가되지 않은 제3자에게 노출되는 것을 차단하는 것을 목표로 합니다. 기밀성을 확보하는 방법은 크게 두 가지이며, 실무에서는 두 방식을 조합하여 활용하기도 합니다.
- 접근 제한: 비밀로 유지해야 할 정보에 대한 접근 자체를 통제하는 방식
- 암호화: 기밀 데이터를 암호화하여 권한 없는 사용자가 내용을 해독하지 못하도록 하는 방식
2. 무결성(Integrity)
두 번째 축인 무결성은 정보의 품질과 신뢰성과 관련된 개념입니다. 경영진이 의사결정의 근거로 삼는 정보가 수집·저장·전송되는 과정에서 악의적이든 우연이든 변경되지 않았음을 보장할 수 있어야 한다는 뜻입니다.
무결성을 제공하는 대표적인 방법 중 하나는 전송할 메시지 끝에 특정 지표나 메시지 다이제스트(message digest)를 붙이는 것입니다. 전송 과정에서 이 다이제스트가 손상되지 않고 그대로 유지된다면 해당 정보의 무결성이 보존된 것으로 판단할 수 있습니다. 요컨대 무결성이란 자산이나 정보는 오직 승인된 주체만이, 그리고 승인된 방식으로만 변경할 수 있어야 한다는 원칙입니다.
3. 가용성(Availability)
세 번째 축인 가용성은 필요한 시점에 시스템과 데이터를 정상적으로 이용할 수 있어야 한다는 개념입니다. 시스템이나 데이터를 사용할 수 없게 되면 사업 기회를 놓치고, 마감 기한을 어기며, 고객과의 약속마저 지키지 못하는 상황이 발생할 수 있습니다.
업무에 필요한 데이터가 정확히 존재하더라도, 서비스를 수행해야 하는 순간에 접근할 수 없다면 그 정보는 사실상 무용지물이 됩니다. 따라서 가용성은 정보 보안에서 결코 간과할 수 없는 필수 요소입니다.
세 가지 축이 하나로 완성하는 정보 보안
기밀성, 무결성, 가용성은 정보 보안의 세 가지 핵심 축으로 널리 인정받고 있습니다. 불법적인 사건을 예방할 충분한 안전 장치가 갖춰지지 않으면 조직의 가장 중요한 자산, 특히 정보 자산이 위험에 그대로 노출됩니다. 따라서 이 세 가지 축을 통해 정보 자산을 철저히 보호하고 숨기는 것이 무엇보다 중요합니다.
또한 이 세 가지 핵심 축과 함께 보완적으로 활용할 수 있는 지원 체계도 존재합니다. 대표적으로 식별 및 인증(Identification & Authentication), 접근 통제(Access Control), 부인 방지(Non-Repudiation) 등이 있으며, 이를 세 가지 핵심 축과 병행하면 더욱 견고한 정보 보안 체계를 구축할 수 있습니다.