컴퓨터와 네트워크 보안을 논할 때 빠질 수 없는 것이 바로 '기본 원칙'입니다. 보안 기술은 날마다 진화하지만, 그 바탕에 깔린 원칙은 크게 변하지 않습니다. 이 글에서는 정보 보안의 핵심인 CIA 삼각형을 시작으로, 정보보증 5대 기둥, 보안 시스템의 4대 요소, 그리고 데이터 보호 6대 원칙까지 체계적으로 정리해 드립니다.
정보 보안의 근간, CIA 삼각형이란?
정보 보안에서 가장 근본적으로 여겨지는 세 가지 원칙은 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability)입니다. 이 세 가지를 묶어 CIA 삼각형(CIA Triad)이라고 부르며, 모든 정보 보안 프로그램과 보안 통제 장치는 최소한 이 세 원칙 중 하나를 염두에 두고 설계됩니다.
1. 기밀성(Confidentiality)
기밀성은 허가받지 않은 사람이 민감한 정보에 접근하지 못하도록 보호하는 원칙입니다. 정보의 기밀 등급에 따라 접근 권한을 차등적으로 부여해야 하며, 암호화와 접근 통제가 대표적인 구현 수단입니다. 기업의 핵심 영업 정보나 개인정보를 외부로부터 지키는 첫 번째 관문이라 할 수 있습니다.
2. 무결성(Integrity)
무결성은 정보가 인가되지 않은 방식으로 변경되거나 훼손되지 않았음을 보장하는 원칙입니다. 해시 함수, 전자 서명, 버전 관리 등을 활용하면 데이터가 전송·저장 과정에서 변조되었는지 검증할 수 있습니다. 특히 금융 거래처럼 정확성이 생명인 분야에서 무결성은 최우선 가치로 꼽힙니다.
3. 가용성(Availability)
가용성은 승인된 사용자가 필요할 때 언제든 정보와 시스템에 접근할 수 있도록 보장하는 원칙입니다. 아무리 강력한 보안을 갖춰도 정작 사용자가 서비스를 이용할 수 없다면 의미가 없습니다. 백업, 시스템 이중화, DDoS 방어 대책 등이 가용성 확보에 활용됩니다.
참고로 세 원칙의 상대적 중요도는 적용 분야와 상황에 따라 달라집니다. 예를 들어 군사 기밀에는 기밀성이, 온라인 뱅킹에는 무결성과 가용성이 더 큰 비중을 차지합니다.
정보보증의 5대 기둥
미국 국방부(DoD)는 '정보보증 5대 기둥(Five Pillars of Information Assurance)' 모델을 통해 사용자 데이터를 무단 접근, 수정, 공개, 파괴로부터 보호할 것을 요구합니다. 5대 기둥은 다음과 같습니다.
- 기밀성: 인가된 사용자만 정보에 접근할 수 있도록 보호
- 무결성: 정보의 정확성과 완전성을 유지
- 가용성: 필요한 순간에 정보와 시스템을 사용 가능하게 유지
- 인증(Authentication): 사용자, 시스템 또는 개체의 신원을 확인하는 과정
- 부인 방지(Non-repudiation): 거래 당사자가 자신의 행위를 나중에 부인하지 못하도록 증거를 남기는 원칙
여기에 접근 통제(Access Control) 역시 핵심 요소입니다. 접근 권한을 체계적으로 관리해야 기밀성과 무결성을 실질적으로 지킬 수 있습니다.
효과적인 보안 시스템의 4가지 요소
효과적인 보안 체계는 단순한 방어막이 아니라 일련의 순환 구조로 설계됩니다. 전문가들은 다음 네 가지 요소를 효과적인 보안 시스템의 축으로 꼽습니다.
- 보호(Protection): 공격이 발생하기 전에 위협을 사전에 차단
- 탐지(Detection): 침해 시도나 이상 징후를 신속히 식별
- 검증(Verification): 보안 조치가 의도한 대로 작동하는지 점검
- 대응(Reaction): 확인된 위협에 즉각 대응하고 피해를 복구
네트워크 보안의 주요 기술과 유형
네트워크 보안은 하나의 솔루션이 아니라 여러 계층의 방어 수단으로 구성됩니다. 대표적인 유형은 다음과 같습니다.
- 접근 통제(Access Control): 시스템에 대한 접근 권한을 관리
- 악성코드 방어 소프트웨어: 백신, 안티스파이웨어 등으로 악성코드를 탐지·차단
- 애플리케이션 보안: 애플리케이션 코드의 취약점을 점검하고 보완
- 행동 분석(Behavioral Analytics): 평소와 다른 이상 행동 패턴을 감지
- 데이터 손실 방지(DLP): 중요 데이터의 유출을 사전에 차단
- DDoS 방어: 분산 서비스 거부 공격으로부터 서비스 가용성을 보호
- 이메일 보안: 피싱, 스팸, 악성 첨부파일로부터 메일 환경을 보호
- 방화벽(Firewall): 내부망과 외부망 사이의 트래픽을 통제
최소 권한과 계층화: 실무에 꼭 필요한 보안 원칙
기밀 정보에 대한 접근은 반드시 업무상 필요한 사람에게만 허용해야 합니다. 이것이 바로 최소 권한(Least Privilege) 원칙으로, 접근 권한은 가능한 한 좁게 부여할수록 안전합니다.
또한 보안은 계층화(Layering)와 밀접한 관련이 있습니다. 사용자가 어느 계층에 속했는지에 따라 서로 다른 보안 수단을 적용해야 하며, 공격자 역시 자신이 노리는 계층에 따라 다른 공격 기법을 사용하기 때문에 다층 방어 전략이 필수적입니다.
GDPR이 제시하는 데이터 보호 6대 원칙
유럽연합 GDPR을 비롯한 현대 개인정보 보호 규정은 다음 여섯 가지 원칙을 기본 골격으로 삼습니다.
- 법규 준수, 공정성, 투명성: 명시적·합법적·공정한 방식으로 데이터를 처리
- 목적 제한: 특정하고 명확한 목적에 한해서만 데이터를 수집·이용
- 데이터 최소화: 목적에 필요한 최소한의 데이터만 수집
- 정확성: 데이터를 항상 정확하고 최신 상태로 유지
- 저장 기간 제한: 필요한 기간이 끝나면 데이터를 삭제
- 무결성과 기밀성: 무단 접근·변조·유출로부터 데이터를 보호
마무리: 원칙이 곧 최고의 방어선이다
컴퓨터와 네트워크 보안의 출발점은 언제나 CIA 삼각형, 즉 기밀성·무결성·가용성입니다. 여기에 인증과 부인 방지를 더한 정보보증 5대 기둥, 보호·탐지·검증·대응의 4대 요소, 그리고 데이터 보호 6대 원칙을 함께 이해하면 어떤 보안 환경에서도 방향을 잡을 수 있습니다. 새로운 보안 솔루션을 도입하기 전에, 먼저 이러한 기본 원칙에 충실한지 점검해 보시기 바랍니다.