기업 정보시스템을 지키는 보안통제 체계

정보 자산 보호는 통제의 연결에서 시작된다

보안통제는 조직의 정보시스템과 자산을 보호하기 위해 마련하는 기술적, 관리적, 물리적 조치의 체계다. 한 가지 제품이나 정책으로 완성되지 않으며, 예방·탐지·교정·저지 통제가 서로 연결될 때 다층 방어(Defense in Depth)가 만들어진다.

이 체계는 고도화되고 다양해지는 사이버 공격에 대응하는 기반이 된다. 데이터 유출과 손실을 막고 비즈니스 연속성을 확보하는 한편, 규제 준수와 법적 요구사항 충족, 조직 평판 및 고객 신뢰 보호에도 관여한다.

사고 전후에 작동하는 통제 방식

예방통제(Preventive Control)는 보안 사고가 일어나기 전에 위협 요소를 차단하고 접근을 제한한다. 위험이 발생한 뒤 대응하는 것이 아니라, 위험 자체가 시스템에 닿지 않도록 하는 방식이다.

기술적 예방통제에는 네트워크 트래픽을 필터링하는 방화벽(Firewall), 데이터 기밀성을 위한 암호화(Encryption), 비인가 무선 접속을 차단하는 WIPS(무선침입방지시스템)가 있다. DRM(Digital Rights Management)은 디지털 콘텐츠 사용을 제어하며, IAM(Identity and Access Management)은 사용자 신원을 확인하고 접근 권한을 관리한다. AAA(Authentication, Authorization, Accounting)는 인증, 권한부여, 계정관리를 통합한다.

관리적 예방통제는 조직의 보안 정책과 보안 서약서, 업무 분리(Separation of Duties), 보안 경비 배치로 구성될 수 있다. 업무 분리는 권한을 분산해 내부 위협을 줄이는 수단이다. 물리적 예방통제에는 생체인식이나 카드키를 이용하는 출입통제 시스템, 중요 시설과 장비에 장벽을 만드는 자물쇠와 보안문이 포함된다.

탐지통제(Detective Control)는 사고 발생 여부와 비정상 활동, 침해 시도를 찾아내는 데 초점을 둔다. 실시간 모니터링과 로깅으로 이상 징후를 포착한다.

IDS(침입탐지시스템)는 네트워크와 시스템의 비정상 행위를 탐지한다. 감사 로그(Audit Log)는 시스템 활동을 기록하고 분석할 근거가 되며, ESM(Enterprise Security Management)은 통합 보안 관제를 지원한다. DLP(Data Loss Prevention)는 데이터 유출 탐지에 쓰이고, 무결성 검증 도구는 파일과 데이터의 변조를 확인한다. 보안 감사(Security Audit)와 모니터링 프로세스는 관리적 탐지통제에 해당한다. 센서·경보 시스템과 CCTV(폐쇄회로 텔레비전)는 물리적 침입이나 시설 내 활동을 감지하고 기록한다.

교정통제(Corrective Control)는 사고가 발생한 뒤 시스템과 데이터를 복원하고 운영을 정상화하는 수단이다. 사후 대응과 복구를 통해 피해를 최소화한다.

백신 소프트웨어는 악성코드 제거와 시스템 복구에 사용된다. NAC(Network Access Control)는 비정상 단말기를 격리하고 치료하며, Checkpoint는 시스템 복원 지점을 설정한다. BCP(Business Continuity Plan)와 백업·복구 절차는 업무와 데이터를 복원하는 관리적 기반이다. DR(Disaster Recovery) 센터, UPS(무정전전원장치), 항온항습 시스템, 전력 이중화는 재해와 전력 중단 상황에서 운영 환경을 유지하는 물리적 교정통제다.

저지통제(Deterrent Control)는 잠재적 위협자가 행위를 시도하지 않도록 심리적·물리적으로 억제한다. 심리적 억제와 실질적인 방어 수단이 결합된다.

DLP, USB 보안 솔루션, IPS(침입방지시스템), 필터링 시스템은 데이터 유출이나 침입, 유해 콘텐츠와 사이트 접근을 제한하는 기술적 저지통제다. 보안 위반 처벌 규정을 위한 법·제도화와 모의훈련은 관리적 수단이 된다. CCTV, 담장·경계 설정, 경보 시스템은 물리적 접근을 제한하고 침입에 경고와 알림을 제공한다.

다층 방어에서 통제가 이어지는 방식

외부 위협은 저지통제와 예방통제를 거쳐 정보 자산에 접근한다. 탐지통제가 이상을 포착하면 교정통제가 복구와 정상화를 수행하며, 그 결과는 다시 정보 자산의 보호 상태로 이어진다.

⤢✕

위험과 운영 구조에 맞춰 통제를 배치한다

통제의 우선순위는 조직의 핵심 자산과 위험 요소를 식별하는 데서 출발한다. 위험 평가를 통해 우선순위를 정하고, 비용 대비 효과 분석(ROI)을 기준으로 통제를 선택한다.

통합적 보안 거버넌스도 필요하다. 조직 전반의 보안 정책과 표준을 세우고, 보안 책임과 역할을 명확히 하며, 경영진의 지원과 참여를 확보해야 한다. 운영 과정에서는 정기적인 보안통제 평가와 테스트, 취약점 관리 및 패치 적용, 새로운 위협에 맞춘 통제 방안 갱신이 이어져야 한다.

산업 환경별 통제 조합

금융기관에서는 다중 인증, 종단간 암호화, 망분리를 예방통제로 둘 수 있다. 실시간 거래 모니터링과 이상거래탐지(FDS)는 탐지에 사용되며, 금융데이터 백업·복구 시스템은 교정통제를 맡는다. 접근 로깅과 법적 경고 메시지는 저지 수단이 된다.

의료기관은 환자정보 암호화와 역할 기반 접근제어로 예방통제를 구성할 수 있다. 의료정보시스템 접근 감사는 탐지, 중요 의료데이터 이중화는 교정에 해당하며, 개인정보보호법 준수 공지는 저지통제로 활용된다.

제조업체에서는 OT/IT 네트워크 분리와 산업제어시스템 보호가 예방의 역할을 한다. 생산설비 이상 모니터링으로 문제를 탐지하고, 생산시스템 백업 및 복구 계획으로 사고 이후를 대비한다. 물리적 경계 통제와 산업 스파이 방지 조치는 저지통제에 속한다.

보안체계는 예방, 탐지, 교정, 저지 통제 가운데 하나를 선택하는 문제가 아니다. 각 통제를 균형 있게 구현하고, 기술 발전과 위협 환경 변화에 맞춰 갱신해야 한다. 조직 문화와 인적 요소까지 포함하는 보안 거버넌스가 그 기반이 된다.