정보보호 체계: 기술·관리·물리 보안을 연결하는 방법

보안 통제는 서로 다른 층위에서 작동한다

정보보호 체계는 기술적 보안, 관리적 보안, 물리적 보안으로 나뉜다. 어느 한 영역만 강화해도 전체 체계가 완성되지는 않는다. 시스템 접근을 암호화하더라도 정책과 대응 절차가 부실할 수 있고, 운영 통제가 갖춰져도 서버실과 저장매체의 물리적 보호가 빠질 수 있다.

인증부터 네트워크 경계까지

인증과 인가는 사용자가 누구인지 확인하고, 확인된 사용자에게 어떤 권한을 줄지 결정하는 통제다.

ID/PASSWORD 인증은 가장 기본적인 방식이지만 단일 요소 인증에는 한계가 있다. 안전한 패스워드 정책으로 최소 8자리 이상, 특수문자 포함, 주기적 변경을 적용할 수 있다.

SSO(Single Sign-On)는 한 번의 인증으로 여러 시스템에 접근하게 하며, 사용자 편의성과 인증 관리 효율을 높인다. SAML, OAuth, OpenID Connect 등의 표준 프로토콜이 활용된다.

다중 인증(Multi-Factor Authentication)은 비밀번호 같은 지식 요소, OTP·스마트폰 같은 소유 요소, 지문·홍채 같은 생체 요소 가운데 2개 이상을 조합한다. 은행 계좌 접근에서 비밀번호와 SMS 인증을 함께 쓰는 경우가 이에 해당한다.

FIDO(Fast IDentity Online) 인증은 생체인증과 공개키 암호화 기술을 결합한다. 서버에 생체정보를 저장하지 않아 보안을 강화하며, 아이폰 Face ID와 삼성 갤럭시의 지문인식 등에 활용된다.

접근 제어 방식은 권한을 부여하는 주체와 기준에 따라 구분된다. MAC(Mandatory Access Control)은 시스템이 사전에 정의한 보안 레벨로 접근을 제한하며, 군사·정부 기관에서 주로 사용된다. SELinux(Security-Enhanced Linux)가 예다.

DAC(Discretionary Access Control)은 자원 소유자가 접근 권한을 부여하는 방식이다. 유닉스·리눅스의 파일 권한 시스템(rwx), 윈도우의 ACL(Access Control List)이 여기에 속한다.

RBAC(Role-Based Access Control)은 사용자 역할(Role)에 따라 권한을 관리한다. 기업 환경에서 가장 널리 사용되며, 사원·팀장·부장처럼 역할별로 시스템 접근 권한을 다르게 부여할 수 있다.

⤢✕

암호화는 데이터의 기밀성과 무결성, 신원 확인을 다루는 핵심 통제다. 대칭키 암호화에서는 DES(Data Encryption Standard)가 56비트 키를 사용하지만 현재는 취약하여 사용을 지양한다. 3DES(Triple DES)는 DES를 3번 적용하고 112비트/168비트 키를 사용한다. AES(Advanced Encryption Standard)는 128/192/256비트 키를 사용하는 현재 표준이다.

비대칭키 암호화는 PKI(Public Key Infrastructure)의 공개키·개인키 기반 암호 체계를 사용한다. 디지털 서명은 발신자 신원을 확인하고 메시지 무결성을 검증하며, SSL/TLS 인증서에 활용된다. SHA(Secure Hash Algorithm) 같은 해시 함수는 메시지를 고정 길이 값으로 변환한다. 단방향 암호화이므로 원본을 복원할 수 없으며, 패스워드 저장과 무결성 검증에 쓰인다.

민감한 데이터는 가명화(Pseudonymization)로 대체 식별자를 사용하거나, 총계화(Aggregation)로 통계값만 제공할 수 있다. 데이터 값을 삭제하거나 마스킹해 민감 정보 일부를 제거·변경하는 방법도 있다.

네트워크 영역에서는 방화벽이 패킷 필터링, 상태 검사, 애플리케이션 레벨 검사를 수행하며 내부망과 외부망을 분리하고 통신을 제어한다. 차세대 방화벽(NGFW)은 심층 패킷 검사와 애플리케이션 제어 기능을 추가한다.

IDS/IPS는 비정상 트래픽에 대응한다. IDS는 탐지와 알림을 담당하고, IPS는 탐지한 비정상 트래픽을 차단한다. 시그니처 기반, 행위 기반, 이상 탐지 방식이 사용된다. DDoS 방어에는 트래픽 필터링, 대역폭 확장, 로드 밸런싱, Cloudflare·AWS Shield 등의 클라우드 기반 방어가 활용된다.

SSL/TLS와 HTTPS는 데이터 전송을 암호화하고 서버를 인증하며 중간자 공격을 방지한다. TLS 1.3은 2018년 발표된 최신 표준이다.

정책과 운영 절차가 통제를 지속시킨다

관리적 보안은 통제의 책임 주체와 운영 방식, 사고 발생 시의 대응을 정한다. 최고 경영진의 참여와 지원은 보안 거버넌스, 적절한 보안 예산, 보안 문화 조성으로 이어진다.

조직은 정보보안 기본 정책뿐 아니라 접근 통제 정책, 암호화 정책, 개인정보보호 정책을 수립하고 준수해야 한다. BCP(Business Continuity Planning)와 DR(Disaster Recovery)을 마련하면서 RTO(Recovery Time Objective), RPO(Recovery Point Objective)를 설정한다. 전 직원을 대상으로 한 정기 교육, 피싱·스미싱 대응 훈련, 보안 뉴스레터 발행도 보안 의식을 높이는 수단이다.

운영 책임을 명확히 하려면 CISO(Chief Information Security Officer)를 임명하고 정보보안팀을 구성하며, 담당자별 책임을 할당해야 한다. 정보보안 운영위원회는 주요 보안 이슈를 논의하고 정책을 검토·승인하며 보안 투자를 결정한다. 정기 회의는 월 1회 이상 개최한다.

감사와 모니터링은 통제가 실제로 작동하는지를 확인한다. 저장 자료의 임의 복제를 막기 위해 DLP(Data Loss Prevention) 솔루션, 문서 암호화와 권한 관리, 워터마크를 적용할 수 있다. 저장 데이터의 무결성과 기밀성은 파일·디스크 레벨 암호화, 접근 통제, 백업 및 복구 체계로 보호한다.

사용자 활동 로깅과 시스템 변경 이력 관리는 책임추적성을 지원한다. 감사 로그는 최소 6개월~1년 보존한다. 금융 환경에서는 FDS(이상거래탐지) 시스템이 거래 패턴을 분석해 실시간 이상 거래를 탐지하고, 위험도에 따라 차등 대응한다. 로그 서버를 분리하고 최소 권한 원칙을 적용하며 로그 접근 이력을 관리해 시스템 로그 접근 권한도 제한한다.

침해사고에 대비한 체계는 시나리오 기반 모의 훈련과 역할별 대응 절차 훈련, 훈련 결과의 평가·개선을 포함한다. 위험평가에서는 자산을 식별·평가하고 위협과 취약점을 분석한 뒤 위험 평가와 처리 방안을 도출한다.

침해사고 대응팀(CERT)을 운영하고 신고 채널과 외부 기관 협력체계를 확보해야 한다. 취약점 스캔, 모의해킹(Penetration Testing), 소스코드 보안 검토도 대응체계의 일부다.

⤢✕

시설과 장비에서 시작하는 보호

물리적 보안은 사람의 출입, 장비 반출, 전력과 재난 같은 현장 위험을 관리한다. 외부인은 방문자 등록과 출입증 발급을 거치고, 방문 목적과 접견자를 확인해야 한다. 민감 구역에는 에스코트 정책을 둘 수 있다.

CCTV는 주요 출입구, 서버실, 민감 구역에 설치하며 영상 기록은 30일 이상 보관한다. 정기 점검과 유지보수도 필요하다. 스마트키는 RFID 카드, 지문·홍채 생체인식, 모바일 기반 출입 인증을 포함한다. 데이터센터와 서버실에는 이중 출입문(맨트랩)을 적용해 테일게이팅(Tailgating)을 막고 1인 1통행을 강제할 수 있다.

저장매체를 통한 정보 유출에는 USB 포트 통제, 미승인 저장매체 사용 제한, DLP 솔루션 도입으로 대응한다. 데이터 반출은 승인 프로세스를 거치고, 반출 데이터를 암호화하며 반출 로그를 기록·모니터링한다. 보안 경비원은 24시간 경비 인력을 배치하고 순찰과 이상 징후 확인, 비상상황 대응 훈련을 수행한다.

업무 연속성을 위해서는 무정전 전원 공급장치(UPS)로 순간 정전에 대비하고 전력 품질을 안정화하며 비상 발전기와 연계한다. 전산실은 홍수·지진 같은 자연재해 위험 지역을 피하고, 물리적 접근 통제의 용이성 및 전력·통신 인프라 접근성을 고려해 배치한다.

화재 감지·경보, 수해 감지, 온·습도 모니터링, 자동 알림 체계는 재난 경보 시스템을 구성한다. 네트워크는 이중화된 인터넷 회선, 대체 라우팅 경로, 위성·무선 같은 백업 통신 수단을 마련한다. 정기적 데이터 백업과 오프사이트 백업 저장, DR 사이트 구축·운영, 정기적인 복구 테스트도 필요하다.

위험도에 맞춰 통제 우선순위를 정한다

보안 거버넌스는 최고 경영진의 보안 의식과 지원을 기반으로 한다. 역할과 책임, 의사결정 체계를 분명히 하고 보안 KPI를 설정해 정기적으로 측정한다.

모든 자산과 프로세스에 동일한 수준의 보안을 적용하는 방식은 비효율적일 수 있다. 중요 자산을 식별하고 위험도를 평가한 뒤, 그 결과에 따라 보안 통제의 우선순위와 수준을 결정해야 한다.