보안의 목적

인터넷은 전 세계를 연결하고 있고, 우리의 일상과 산업 전반에 깊숙이 들어와 있다. 스마트폰으로 금융 거래를 하고, 클라우드에 기업 데이터를 저장하며, 공공 시스템은 온라인을 통해 사회 기반을 움직인다. 이처럼 디지털 세계가 확장될수록 ‘보안(Security)’의 중요성은 더욱 커질 수밖에 없다. 유선을 넘어 무선으로 그리고 인공지능 AI 등장과 활용 등으로 언제 어디서든 보다 다양한 데이터를 다루고 이용할 수 있을 만큼 그 연결이 강해지고 넓어진 현재에 이르러서는 보안은 떼고 싶어도 뗄 수 없는 관계에 이르렀다.

실제로 이러한 변화를 반영한 듯 보안을 단순히 ‘해킹을 막기 위한 기술’ 정도로 인식했던 과거와 달리 오늘날의 보안은 훨씬 더 광범위하고 복합적인 개념을 포함하고 있다. 단순하게 위협의 차단이라는 범위에 한정된 것이 아니라 정보를 안전하게 관리하고 보호하여, 서비스가 안전하고도 지속적으로 운영될 수 있도록 하는 한편, 예상치 못한 위협으로 사고가 발생한 경우에도 빠르게 회복하여 비즈니스가 지속 될 수 있도록 만드는 것으로 그 목적이 확장되어 있기 때문이다.

보안이 필요한 세 가지 핵심 이유

그렇다면 이러한 변화 속에서 보안이 필요한 핵심적 이유 세가지는 무엇일까? 필자는 보안이 필요한 3가지 이유를 “개인 정보 보호”, “기업 자산 보호”, “국가 안보 및 사회 안전 보호” 에 있다고 말하고 싶다.

정보보안의 3요소라고 불리우는 CIA는 뒤에 따로 후술 하겠지만 아무런 배경 없이 정보보안의 3요소를 이야기 하기에는 다소 연관성이 약하게 느껴질 수 있고, 어떠한 배경에서 정보보안의 3요소가 필요하게 된 것인지 명확하게 느껴지지 않을 수 있기 때문이다.

따라서 정보보안의 3요소를 살펴보기에 앞서 필자가 이야기하고자 하는 보안이 필요한 핵심 이유 세가지 “개인 정보 보호”, “기업 자산 보호”, “국가 안보 및 사회 안전 보호”를 먼저 살펴보자.

1. 개인 정보 보호

보안이 필요한 가장 대표적인 이유 중 하나는 바로 개인정보를 보호하기 위해서다.

우리는 하루에도 수많은 온라인 활동을 하며, 자연스럽게 자신의 개인정보를 이곳저곳에 입력하고 맡긴다. 이름, 생년월일, 전화번호, 주소, 신용카드 번호, 로그인 계정과 비밀번호 등, 이 모든 것들이 지금 이 순간에도 다양한 웹사이트와 서비스에 저장되고 있다.

문제는, 우리가 그 정보가 어디에, 어떻게 저장되고 관리되는지 정확히 알지 못한다는 데 있다. 더구나 그 정보가 유출되었을 때는 단순한 ‘불쾌함’이나 ‘불편함’이 아니라, 금전적인 피해는 물론이고 사회적인 신뢰 상실이나 법적 책임으로까지 번질 수 있다는 데 있다.

① 개인정보는 왜 중요한가?

요컨데 개인정보는 디지털 사회에서 ‘나’를 구성하는 요소이자, 온라인 공간에서 ‘내'가 '나’임을 증명하는 정보이자 수단이다. 오프라인에서 주민등록증이나 운전면허증이 신분을 대신해주듯, 디지털 세계에서는 내 이름, 생일, 연락처, 계좌번호 같은 정보가 나를 대신해 나의 권리를 행사한다. 그렇기 때문에 이 정보들이 누군가에게 노출되면, 나는 전혀 알지 못하는 상황에서 내 이름으로 무엇인가가 벌어질 수 있는 상태에 놓이게 된다.

특히 다음과 같은 피해는 누구에게나 일어날 수 있으며, 그 결과는 결코 가볍지 않다.

② 개인정보는 어떻게 유출될까?

그렇다면 이렇게 중요한 개인정보는 어떻게 유출 되고 있을까? 개인정보 유출은 아래와 같이 매우 다양한 경로를 통해 발생하고 있으며, 우리 일상 속에서도 그 위험은 조용히 스며들어 있다.

이처럼 정보는 의외로 쉽게, 때로는 우리가 전혀 인지하지 못하는 사이에 유출되곤 한다. 그리고 유출된 정보는 단순히 ‘빠져나갔다’에서 끝나는 것이 아니라, 그 이후에 현실적인 피해로 이어진다는 점이 더욱 위험하다. 무엇보다 디지털 세상에 있어서 한 번 유출된 정보는 완전한 삭제가 어렵다는 것에서 그 위험성을 높게 평가하고 인식해야 할 필요가 있다.

③ 실제 피해 사례

그러면 실제로 이러한 개인정보 유출로 인한 피해 사례들은 무엇이 있는지 간단하게 3가지 정도만 살펴보자.

④ 사회적 대응 – GDPR의 등장

이처럼 개인정보 유출로 인한 피해가 국내외에서 반복되면서, 전 세계적으로도 개인정보 보호에 대한 경각심이 높아졌다. 특히 유럽연합(EU)은 이 문제를 강력하게 인식하고, 2018년 GDPR(General Data Protection Regulation)을 시행하게 된다. 이 GDPR은 사용자의 개인정보에 대한 권리 보장과 기업의 책임 명확화를 핵심으로 하는 세계적 개인정보보호 기준으로, 이후 대한민국을 포함한 여러 나라들이 이 기준을 반영하며,
자국의 개인정보보호법을 개정하거나 새로운 기준을 수립하는 흐름으로 이어지기도 하었다.

정리해보자면 개인정보는 단지 내가 누구인지 식별해주는 수단을 넘어서, 이제는 나의 전반적인 활동 및 기록이자, 권리이며, 나의 자산을 통제할 수 있는 근거이자 열쇠다. 따라서 그 정보가 내 손을 떠나는 순간, 나라는 존재 자체가 타인의 손에 들어갈 수 있는 시대에 살고 있다.

그렇기에 개인정보 보호는 더 이상 기술적인 문제가 아니라, 현대인의 기본 생존 수단 중 하나라고 할 수 있고, 보안의 시작은 바로 이 ‘정보의 보호’에서부터 출발한다.

2. 기업 자산 보호

앞서 개인정보 보호가 개인의 안전과 직결되는 문제라면, 기업에게 있어 보안의 핵심은 단연 ‘자산 보호’에 있다. 여기서 말하는 자산은 단순히 금전이나 장비만을 의미하는 것이 아니다. 기업의 자산에는 중요한 경영 전략, 기술자료, 고객 정보, 내부 시스템, 브랜드 이미지까지 포함된다. 이 모든 것이 보호되지 않는다면, 단 한 번의 사고로도 기업은 신뢰를 잃고 시장에서 퇴출당할 수 있는 위험에 놓이게 된다.

① 기업 자산은 왜 보호되어야 하는가?

기업의 자산은 눈에 보이는 장비나 서버 외에도, 매출로 직결되는 기밀 정보, 시스템 구성, 고객 DB, 인적 조직, 신뢰도와 같은 비가시적인 자원들이 매우 많다. 이 자산들이 외부로 유출되거나 파괴되면, 단지 일부 파일이 사라지는 것이 아니라 기업 전체의 존립 기반이 흔들릴 수 있다.

기업 자산 유출로 인한 피해 유형은 다음과 같이 정리해볼 수 있다:

이러한 피해는 단순한 비용 손실 이상의 영향을 미치며, 특히 중소기업이나 스타트업의 경우 단 한 번의 침해로도 회복이 어려운 타격을 받을 수 있다.

② 기업 자산은 어떻게 유출될까?

기업 자산이 유출되는 방식은 외부 해킹만큼이나 내부 부주의 또는 의도적인 행위를 통해 발생하는 경우가 많다. 특히 협력사, 외주 개발자, 퇴사자, 또는 보안 정책 미비로 인해 정보가 허술하게 다뤄지는 상황이 의외로 많다.

특히 요즘처럼 업무 환경이 클라우드 중심으로 바뀌고, 재택근무나 협업툴을 통해 외부에서 접근하는 일이 많아지면서, 자산 보호는 단지 ‘내부에만 신경 쓴다고 끝나는 문제’가 아니라는 점을 강조할 필요가 있다.

③ 실제 피해 사례

그렇다면 기업 자산이 피해를 입은 사례들은 무엇이 있는지 앞서와 마찬가지로 3가지 정도만 살펴보자.

④ 기업 자산 보호를 위한 사회적 대응과 기준

이처럼 기업 자산에 대한 침해 사례가 늘어나면서, 국가 및 산업 차원에서도 이를 제도적으로 보호하려는 움직임이 이어지고 있다. 국내에서는 정보통신망법, 산업기술보호법, 영업비밀 보호법 등을 통해 기업의 기술자료 및 경영정보 보호를 법제화하고 있으며, 정보보호 관리체계(ISMS), 국가 핵심기술 지정 제도 등을 통해
특정 산업군에 대해서는 보안 인증을 받도록 요구하고 있다.

정리하면, 기업의 자산은 단지 서버에 저장된 문서나 숫자의 형태를 가진 데이터 조각이 아니고 기업이 시장에서 살아남기 위해 쌓아온 노하우이자, 신뢰이며, 경쟁력이다. 그러한 자산이 한순간의 해킹이나 실수로 유출되어 경쟁사에게 넘어가거나, 랜섬웨어로 암호화되어 사용할 수 없게 되는 순간, 그 피해는 단지 '비용' 수준을 넘어 기업의 존재 자체를 흔드는 위기로 이어질 수 있다.

그래서 기업 자산 보호는 더 이상 기술 부서나 보안팀만의 과제가 아니다. 조직 전체가 ‘무엇이 자산인지’를 알고, ‘그것을 어떻게 지켜야 하는지’를 공감하고 실행하는 문화가 필요한 이유다.

3. 국가 안보 및 사회 안전 보호

앞서 개인정보 보호와 기업 자산 보호가 개인과 민간 중심에서 보안의 중요성을 보여주었다면, 이번에는 그 범위를 더 넓혀 국가 전체와 사회 안전 차원에서 보안이 왜 필요한가에 대해 살펴보려 한다.

요즘 우리가 살아가는 사회를 떠올려 보면, 전력 공급, 상수도 시스템, 교통 제어 센터, 방송 통신, 금융 결제, 병원과 응급 대응 시스템까지 거의 모든 기반 서비스들이 컴퓨터와 네트워크를 기반으로 운영되고 있다. 즉, 이러한 사회 기반 시스템이 해킹이나 사이버 공격으로 마비될 경우, 그것은 단순한 서비스 장애를 넘어 국가의 기능 자체가 정지되거나, 국민의 생명과 안전이 위협받는 상황으로 발전할 수 있다는 것을 뜻하며, 따라서 사회의 기반을 이루는 이 시스템들 역시 디지털로 연결된 보안 대상이 된다.

① 왜 국가와 사회를 위한 보안이 필요한가?

한 국가가 안정적으로 운영되기 위해서는 정치, 행정, 경제, 국방, 사회 기반 시설 등 다양한 요소들이 동시에 잘 돌아가야 한다. 이 요소들은 과거에는 대부분 물리적이고 오프라인 중심이었다면, 지금은 대부분 디지털화되어 인터넷 또는 내부망을 기반으로 작동한다. 따라서 디지털 시스템이 공격당하거나 마비되면, 단순히 한 부서의 문제가 아니라 국가 전체의 신뢰와 안보, 시민의 생명과 안전에 영향을 줄 수 있다.

대표적인 위협 요소와 그로 인해 발생할 수 있는 피해는 다음과 같다:

실제로 이러한 위협과 리스크 등이 예상되기에 “정보통신기반 보호법” 에 주요정보통신기반시설 등을 지정하고 취약점을 평가하는 등의 가이드와 지침이 마련되어 있는 것이다.

② 실제 피해 사례

그렇다면 이번엔 국가 및 사회 안전이 위협 받은 사례에는 어떠한 것들이 있는지 한 번 살펴보자.

정리해서 이처럼 보안은 더 이상 개인이나 기업만의 문제가 아니다. 국가 단위의 생존 문제이며, 사회 전체의 기반을 지키는 안정 장치로 작동해야 한다. 한 번의 공격으로 교통이 마비되고, 병원이 정전되며, 가짜 뉴스가 퍼지고 국방 문서가 해외로 넘어가는 사태는 더 이상 먼 미래의 이야기가 아니다.

우리는 이제 물리적 전쟁만큼이나 사이버 전쟁이 국가 안보의 핵심 축이라는 사실을 인식해야 하며, 공공기관은 물론 시민 개개인까지도 보안의 한 축으로서 인식하고 역할을 다해야 하는 시대에 살고 있는 것이다.

지금까지 “개인 정보 보호”, “기업 자산 보호”, “국가 안보 및 사회 안전 보호”라는 보안이 필요한 세 가지 핵심 이유를 살펴보았는데, 이 세 가지 핵심 이유에서는 모두 공통적 지향점을 가지고 있다. 그것은 바로 글의 시작에서 언급했던 보안의 목표, 즉 정보를 안전하게 관리하고 보호하여, 서비스가 안전하게 제공되고, 또 지속적으로 운영될 수 있도록 만드는 것이다.

정보를 안전하게 관리하고 보호하여, 서비스가 안전하고도 지속적으로 운영될 수 있도록 하는 한편, 예상치 못한 위협으로 사고가 발생한 경우에도 빠르게 회복하여 비즈니스가 지속 될 수 있도록 만드는 것으로 그 목적이 확장되어 있기 때문이다.

거듭 언급하지만, 이제 보안은 단순히 외부의 침입을 막는 것에 그치지 않고 예상치 못한 위협으로 사고가 발생했을 때에도 빠르게 회복하고 업무와 비즈니스가 멈추지 않고 계속 이어질 수 있도록 하는 것 그 자체가 보안이 궁극적으로 지향하는 목표로 인지하고 준비하고 또 대처해 나아가야 할 필요가 있다.

따라서 우리는 이제 ‘무엇을 지킬 것인가’를 넘어 ‘어떻게 지킬 것인가’, 그리고 ‘지키기 위한 핵심 원칙은 무엇인가’를 생각해 볼 필요가 있다. 이에 다음 내용에서는 이러한 목적을 실현하기 위한 정보보안의 핵심 원칙, 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability),즉 CIA 3요소를 중심으로 보안의 구조적 기초를 이해해보는 시간을 가져보고자 한다.

다음 내용

정보보안의 3요소 : CIA Triad

앞서 개인정보, 기업 자산, 국가 인프라를 보호해야 하는 이유를 살펴보며 보안의 필요성과 그 대상이 얼마나 광범위한지를 알아보았다. 그렇다면 이제 우리는 ‘무엇을 지킬 것인가?’를 넘어 한 걸음 더 나아가 ‘어떻게 지킬 것인가?’, 그리고 ‘지키기 위한 핵심 원칙은 무엇인가?’를 생각해볼 차례다. 정보보호는 단순히 외부 공격을 막는 것 이상의 의미를 가진다.

IT 보안 이야기Kinesis