CIA 트라이어드로 설계하는 정보보안의 기준

보안 요구사항을 가르는 축

정보보안에서 다루는 요구사항은 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability)으로 정리할 수 있다. 세 영문 이름의 머리글자를 따서 CIA라고 부른다.

보안 정책과 솔루션, 관리 체계를 설계할 때는 이 세 특성이 각각 어떤 위험을 줄이고 어떤 운영 부담을 만드는지 함께 봐야 한다.

허가되지 않은 접근을 막는 기밀성

기밀성은 권한이 없는 사용자가 정보를 보거나 접근하지 못하도록 하는 특성이다. 정보는 접근 권한을 가진 사용자에게만 제공되어야 한다.

기밀성을 훼손하는 대표적 행위에는 다음이 있다.

스누핑(Snooping): 권한 없이 정보를 엿보거나 훔쳐보는 행위다. 직원이 권한 없이 고객 개인정보 데이터베이스를 조회하는 경우가 여기에 해당한다.
스니핑(Sniffing): 네트워크 트래픽을 가로채 데이터 패킷 내용을 분석하는 행위다. 공공 Wi-Fi에서 와이어샤크 같은 도구로 패킷을 캡처하는 사례가 있다.
스푸핑(Spoofing): 신뢰할 수 있는 주체로 가장해 시스템에 접근하는 행위다. IP 스푸핑을 통한 방화벽 우회나 이메일 발신자 위조가 예다.
가로채기(Interception): 송신자와 수신자 사이의 정보를 중간에서 확보하는 행위다. 중간자 공격(Man-in-the-Middle)으로 암호화되지 않은 통신을 가로채는 경우가 포함된다.

통제 수단은 사용자 인증(Authentication), 암호화(Encryption), 접근 제어(Access Control)로 묶어 볼 수 있다. 다중 인증(MFA), 생체 인증, 지식 기반 인증은 시스템 접근 주체를 확인하는 데 사용한다. AES, RSA, 3DES 등의 암호화 알고리즘은 데이터를 가로채더라도 내용을 파악하기 어렵게 한다. RBAC(역할 기반), DAC(임의 접근), MAC(강제 접근) 제어는 권한에 따라 정보 접근을 제한한다.

변경되지 않은 정보를 신뢰하는 무결성

무결성은 정보가 정확하고 완전한 상태를 유지하며, 권한 없이 바뀌지 않도록 보장하는 특성이다. 정보가 생성된 뒤 폐기될 때까지 원래 상태를 유지하는 문제가 여기에 속한다.

위협은 정보의 변경(Alteration), 원본과 유사한 거짓 정보를 만드는 위조(Forgery), 다른 사용자나 시스템으로 위장하는 가장(Masquerading), 캡처한 유효 통신을 재전송하는 재연(Replay), 행위 뒤에 사실을 부인하는 **부연(Repudiation)**으로 나타난다. 데이터베이스 레코드의 무단 수정, 로그 파일 조작, 위조 인증서 생성, 권한 있는 사용자 계정 탈취, 인증 토큰 재사용, 전자 거래 사실 부인이 각각의 사례다.

무결성을 확인하거나 보강하는 방법도 목적에 따라 구분된다.

해시 함수(SHA-256, MD5)와 체크섬은 메시지가 변경됐는지 검증하는 메시지 무결성(Message Integrity)에 쓰인다.
HMAC(Hash-based Message Authentication Code)은 메시지 인증(Message Authentication)을 위해 출처와 내용 무결성을 함께 검증한다.
RSA, ECDSA 기반 디지털 서명(Digital Signature)은 발신자 인증, 무결성 검증, 부인 방지에 사용한다.
대칭키와 비대칭키 암호 알고리즘은 데이터 암호화 및 복호화 과정에서 무결성을 보장한다.

필요할 때 서비스를 쓸 수 있어야 하는 가용성

가용성은 권한 있는 사용자가 필요한 시점에 정보 자산과 서비스에 접근하고 사용할 수 있도록 보장하는 특성이다. 지속적인 서비스 운영과 접근성이 중심이다.

DDoS(Distributed Denial of Service)는 다수의 공격 시스템이 대상 자원을 고갈시켜 서비스를 중단시키는 공격이다. 볼륨 기반 공격에는 UDP 플러드와 ICMP 플러드가, 프로토콜 공격에는 SYN 플러드와 프래그먼트 패킷이, 애플리케이션 계층 공격에는 HTTP 플러드와 Slowloris가 포함된다. 2016년 Dyn DNS 서비스 DDoS 공격으로 트위터, 넷플릭스 등의 서비스가 마비된 사례가 있다.

가용성은 단일 통제로 확보되지 않는다. 스크러빙 센터와 클라우드 기반 DDoS 방어 서비스는 악의적 트래픽을 필터링하고 정상 트래픽을 허용한다. 이중화, 로드 밸런싱, 장애 조치(Failover)는 단일 장애점을 줄여 서비스 연속성을 보장한다. 리소스 모니터링, 스케일링 전략, 성능 테스트를 포함한 용량 계획은 트래픽 급증에 대비한다. 정기적 백업과 재해 복구 계획(DRP)은 장애 뒤 신속한 복구를 위한 기반이다.

보안 통제는 서로에게 비용을 요구한다

CIA의 세 요소는 상호 보완적이지만, 하나를 강화하는 선택이 다른 요소의 운영 조건을 바꿀 수 있다. 암호화를 강화해 기밀성을 높이면 처리 성능이 저하되어 가용성에 영향을 줄 수 있다. 엄격한 접근 제어는 기밀성을 높이는 대신 사용자 편의성을 낮출 수 있다. 실시간 무결성 검사는 시스템 응답 시간을 증가시켜 가용성에 부담을 줄 수 있다.

따라서 조직 정책, 위험 평가, 비용 효율성, 사용자 경험을 함께 고려해 정보보안 관리체계(ISMS) 안에서 균형을 잡아야 한다.

⤢✕

산업별로 달라지는 CIA 구현 방식

금융기관은 고객 금융정보 암호화, 다중 인증, 역할 기반 접근제어로 기밀성을 다룬다. 트랜잭션 로깅, 디지털 서명, 블록체인 기술 활용은 무결성과 연결되며, 이중화된 데이터센터, 실시간 백업, 재해복구 계획은 가용성을 위한 수단이다.

의료기관에서는 환자 데이터 암호화, 생체인증, 접근 로그 모니터링이 기밀성에 해당한다. 의료기록 위변조 방지, 전자서명, 감사 추적은 무결성에 사용되며, 24/7 시스템 운영, 분산 아키텍처, 비상 전력 공급은 가용성을 뒷받침한다.

클라우드 서비스는 저장 및 전송 데이터 암호화와 고객 데이터 격리로 기밀성을 확보한다. 해시 검증, API 호출 인증, 코드 서명은 무결성 통제이며, 지역 분산, 자동 스케일링, SLA(서비스 수준 계약) 보장은 가용성 요구사항에 대응한다.

CIA는 기술 하나를 선택하는 기준이 아니라 정보보안 전략 전체를 점검하는 프레임워크다. 조직의 비즈니스 목표와 리스크 수용 수준에 맞춰 세 요소를 계속 평가하고 개선해야 하며, 이 작업은 기술적 솔루션뿐 아니라 조직 문화와 비즈니스 프로세스에도 연결된다.