정보 보안(InfoSec)의 기본 개념
정보 보안(Information Security, 흔히 InfoSec이라 부름)은 조직이 데이터를 안전하게 보호하기 위해 활용하는 장치, 프로세스, 정책 전반을 아우르는 개념입니다. 여기에는 업무용 또는 개인 데이터에 허가받지 않은 사람이 접근하지 못하도록 차단하는 각종 정책 설정도 포함됩니다.
정보 보안은 열람, 변조, 기록, 중단 또는 파괴와 같은 무단 행위로부터 민감한 데이터를 지켜주는 역할을 합니다.
정보 보안의 핵심 목표
정보 보안의 가장 중요한 목표는 사용자 계정 정보, 재무 기록, 지적 재산권 같은 핵심 정보의 안전성과 프라이버시를 확보하는 것입니다. 이를 통해 조직은 내부 및 외부 위협을 예방하고, 탐지하고, 대응함으로써 데이터와 기술을 효과적으로 보호할 수 있습니다.
정보 보안 업무는 IT 부서만의 책임이 아니라 최고 경영진을 포함한 조직 전체의 공동 책임입니다. 또한 InfoSec 전략이 성공적으로 자리 잡으려면 조직 구성원들이 적절한 교육과 자발적인 참여를 통해 정보 보안 문제에 대한 이해를 높이는 것이 필수적입니다.
요약하면, 정보 보안이란 컴퓨터 자산을 무단 접근, 무단 사용, 변경, 성능 저하, 파괴 등 각종 위협으로부터 예방하고 보호하는 모든 활동을 말합니다.
정보 보안의 두 가지 하위 유형
정보 보안은 크게 두 가지 유형으로 나뉩니다.
- 물리적 정보 보안: 잠금장치, 출입 통제 시스템 등 눈에 보이는 실체적 보호 장치를 통해 시설과 장비를 보호합니다.
- 논리적 정보 보안: 암호화, 접근 권한 관리처럼 물리적 형태가 없는 소프트웨어 기반 보호 수단을 의미합니다.
정부, 군대, 금융 기관, 병원, 일반 기업들은 직원, 고객, 제품, 연구 자료, 재무 상태에 관한 방대한 기밀 정보를 보유하고 있기 때문에, 이러한 정보를 무단 접근·사용·변조·파괴로부터 지키는 것이 매우 중요합니다.
다층 방어 구조로 이해하는 정보 보안의 작동 방식
정보 보안은 네트워크의 경계와 내부에 여러 겹의 보호 계층을 두는 방식으로 작동합니다. 각 보안 계층은 특정 보안 기법을 실행하고 정해진 정책을 따릅니다. 그 결과 허가된 사용자만 인터넷 자원에 접근할 수 있고, 허가되지 않은 사용자는 악성 코드 공격이나 악의적인 활동으로부터 차단됩니다.
조직의 정보 보안을 설계할 때는 여러 계층을 종합적으로 고려해야 합니다. 공격은 네트워크 보안 모델의 어느 계층에서든 발생할 수 있으므로, 하드웨어, 소프트웨어, 정책 등 시스템을 구성하는 모든 요소가 서로 조화롭게 연동되어야 각 영역을 효과적으로 방어할 수 있습니다.
네트워크 보안 모델의 3대 통제 체계
네트워크 보안 모델은 물리적, 기술적, 관리적 세 가지 통제(Control)로 구성됩니다.
1. 물리적 네트워크 보안
물리적 네트워크 보안은 라우터, 배선 캐비닛 등 물리적 네트워크 장비에 무단 사용자가 접근하지 못하도록 막는 것을 목표로 합니다. 조직은 자물쇠, 생체 인식 비밀번호, 다중 인증 요소 등을 활용해 통제된 접근 환경을 구축하고 주기적으로 점검해야 합니다.
2. 기술적 네트워크 보안
기술적 보안 통제는 네트워크에 저장된 데이터나 네트워크를 통해 들어오고 나가는 데이터를 보호합니다. 이 보호는 양방향으로 이루어져야 하는데, 즉 외부의 비인가자로부터 데이터와 장치를 지키는 동시에, 조직 내부에서 발생할 수 있는 비인가 활동으로부터도 방어해야 합니다.
3. 관리적 네트워크 보안
관리적 네트워크 보안은 최종 사용자의 행위를 통제합니다. 여기에는 사용자 인증 방식, 접근 권한 수준, 그리고 조직의 IT 부서가 인프라에 변경 사항을 적용하는 절차 등이 포함됩니다. 관리적 보안은 다양한 보안 정책과 프로세스를 통해 실질적인 운영을 뒷받침합니다.