Clark & Wilson 모델로 보는 상업 시스템의 데이터 무결성

상업 시스템에서 무결성을 다루는 방식

Clark & Wilson 모델은 1987년 David D. Clark과 David R. Wilson이 제안한 무결성 중심의 상업적 보안 모델이다. Bell-LaPadula 같은 군사 환경의 보안 모델과 달리, 상업 시스템에서 발생하는 오류와 부정 행위를 줄이는 데 초점을 둔다.

이 모델에서 우선하는 것은 정보의 비밀성보다 데이터가 정확하고 신뢰할 수 있는 상태로 유지되는가이다. 이를 위해 트랜잭션 처리, 직무분리, 감사 기능을 보안 구조 안에 결합한다. 주체와 객체에는 무결성 등급 격자를 배정하며, 사용자는 데이터를 직접 다루지 않고 검증된 응용 프로그램을 통해 접근한다.

데이터 변경을 통제하는 대상과 절차

사용자는 시스템을 이용하는 주체지만 CDI를 직접 수정할 수 없다. 데이터 조작은 인증된 프로그램을 통해서만 이루어진다.

CDI(Constrained Data Items)는 무결성 제약조건이 적용되는 데이터다. 회계 기록, 재고 데이터, 금융 거래 정보가 여기에 해당하며, 인증된 TP를 통해서만 변경할 수 있다.

반대로 UDI(Unconstrained Data Items)는 무결성 제약이 적용되지 않는 외부 원시 데이터다. 시스템 밖에서 들어온 입력은 TP를 거쳐 유효한 CDI로 변환될 수 있다.

TP(Transformation Procedures)는 CDI의 상태를 변경하는 유일한 수단이다. 신뢰할 수 있는 프로그램으로 검증되며, 무결성을 유지한 채 하나의 CDI 상태를 다른 상태로 전환한다.

IVP(Integrity Verification Procedures)는 모든 CDI가 무결성 제약조건을 충족하는지 확인한다. 주기적으로 실행해 시스템의 일관된 상태를 유지하고, 오류나 비정상 상태를 발견하면 알림을 발생시킨다.

인증과 실행 규칙이 분리되는 이유

Clark & Wilson 모델은 인증 규칙(Certification Rules)과 실행 규칙(Enforcement Rules)을 구분한다. 전자는 절차와 관계가 무결성 요구를 만족하는지 확인하고, 후자는 시스템이 그 요구를 실제로 강제하게 한다.

인증 규칙은 다음 내용을 포함한다.

C1: 모든 IVP는 모든 CDI가 무결성을 유지하고 있음을 확인해야 한다.
C2: 모든 TP는 인가된 사용자만 실행할 수 있어야 한다.
C3: 사용자와 프로그램 간의 관계를 정의하는 규칙이 필요하며, 이는 직무분리를 위한 것이다.
C4: 모든 TP는 감사 로그를 생성해야 한다.
C5: UDI에서 CDI로 데이터를 변환하는 TP는 유효한 CDI를 생성해야 한다.

실행 규칙은 시스템이 인증된 관계를 우회하지 못하도록 한다.

E1: 시스템은 인가된 사용자만 TP를 실행할 수 있도록 보장한다.
E2: 시스템은 사용자가 TP와 CDI에 대한 접근 목록을 유지해야 한다.
E3: 시스템은 C3 규칙에 따라 직무분리 원칙이 적용되도록 보장한다.
E4: 감사 로그 수정은 특별한 TP로 제한한다.

사용자 입력부터 감사까지의 흐름

⤢✕

사용자 입력은 UDI로 들어올 수 있지만, CDI에 반영되려면 TP를 통과해야 한다. IVP는 CDI의 상태를 검증하고, TP의 처리는 감사 로그에 남는다. 관리자가 설정한 접근 제어 정책은 TP 실행에 적용된다.

금융·재고·회계 업무에 대입하면

금융 시스템에서는 고객의 이체 요청이 UDI가 되고, 트랜잭션 처리 프로그램이 TP가 된다. 계좌 잔액 데이터는 CDI이며, 일일 장부 검증 절차가 IVP 역할을 맡는다. 거래 입력자와 승인자를 분리하면 부정 행위 방지에도 활용할 수 있다.

재고 관리에서는 바코드 스캐너 입력 데이터가 UDI다. 재고 업데이트 프로그램이 TP로 동작해 재고 데이터베이스라는 CDI를 변경한다. 실물 재고와 시스템 데이터를 비교하는 검증 절차는 IVP에 해당하고, 모든 재고 변경은 감사 추적을 위해 로그로 남긴다.

회계 시스템에서는 회계 처리 프로그램이 TP이고 회계 장부 데이터가 CDI다. 월말 결산 검증은 IVP로 볼 수 있다. 지출 요청자, 승인자, 지급자를 분리하는 구조는 직무분리 원칙의 적용 사례다.

기밀성·이해충돌 모델과 구별되는 지점

Bell-LaPadula 모델은 기밀성을 중심으로 군사 환경을 대상으로 한다. Clark & Wilson 모델은 무결성을 중심으로 상업 환경을 다룬다.

BIBA 역시 무결성 중심 모델이지만, 격자 기반 접근에 집중한다. Clark & Wilson은 여기에 트랜잭션과 직무분리 개념을 더한다.

Chinese Wall 모델의 핵심은 이해충돌 방지다. Clark & Wilson은 데이터 무결성과 트랜잭션의 정확성에 무게를 둔다.

설계에 남는 제약과 효용

이 모델은 상업 환경의 현실적 요구사항을 반영하고, 직무분리를 통해 내부자 위협을 줄인다. 트랜잭션 기반 접근은 일관성 유지에 도움이 되며, 감사 기능은 책임 추적성을 제공한다. 이런 특성은 현대 기업 시스템의 무결성 요구와도 맞닿아 있다.

다만 구현 복잡성이 높고, 기밀성을 보장하는 명시적 메커니즘은 부족하다. 모든 TP와 IVP가 정확한지 검증하기도 어렵다. 시스템 성능 부담과 사용자 편의성·보안 사이의 균형도 운영 시 고려해야 한다.

현대 시스템에 이어지는 개념

데이터베이스 트랜잭션 시스템의 ACID 원칙인 원자성, 일관성, 격리성, 지속성은 Clark & Wilson 모델의 개념과 유사하다. ERP 시스템의 업무 프로세스와 데이터 무결성 보장, 클라우드 환경의 서비스 접근 제어와 데이터 무결성 보장에도 적용할 수 있다.

SOX, PCI DSS 등 규제 준수를 위한 컨트롤 구현에도 이 모델의 관점이 쓰인다. 블록체인의 트랜잭션 검증과 불변성 역시 Clark & Wilson 모델의 현대적 구현으로 볼 수 있다.