정보 보안

정보 보안(Information security)은 정보와 정보 시스템을 비인가 접근, 사용, 공개, 변경, 중단 및 파괴로부터 보호하는 활동과 기술, 정책의 총체를 말한다. 정보 보안의 대표적인 목표는 기밀성(Confidentiality), 무결성(Integrity), 가용성(Avai...

영문명	Information security
분류	정보 및 정보 시스템 보호
핵심 목표	기밀성, 무결성, 가용성
보호 대상	데이터, 계정, 시스템, 네트워크, 서비스, 물리적 기록
주요 수단	인증, 접근 통제, 암호화, 감사, 취약점 관리, 복구
관련 분야	사이버 보안, 암호학, 컴퓨터 네트워크, 운영체제

정보 보안(Information security)은 정보와 정보 시스템을 비인가 접근, 사용, 공개, 변경, 중단 및 파괴로부터 보호하는 활동과 기술, 정책의 총체를 말한다. 정보 보안의 대표적인 목표는 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability)으로 구성되는 CIA 삼요소다. 이 목표는 정보가 전자적으로 저장된 경우에만 적용되지 않으며 종이 문서, 물리적 매체와 조직의 업무 절차에도 적용할 수 있다.^[1]

사이버 보안은 컴퓨터와 통신망, 디지털 서비스에서 발생하는 위협을 특히 중점적으로 다루며 정보 보안과 상당 부분 겹친다. 정보 보안은 자산 식별, 위험 평가, 예방·탐지·대응·복구의 전 과정을 포함하므로 방화벽이나 암호화 프로그램 하나를 설치하는 작업으로 한정되지 않는다.

역사

정보 보호의 전통

정보를 보호하기 위한 암호, 권한 관리와 물리적 보관은 현대 컴퓨터 이전부터 사용되었다. 전자식 컴퓨터와 다중 사용자 운영체제의 발전은 파일과 메모리, 프로세스 간 접근 권한을 기술적으로 분리해야 할 필요를 키웠다.

컴퓨터 네트워크의 확산

서로 다른 조직의 컴퓨터를 네트워크로 연결하면서 정보의 송수신과 원격 접근에 대한 보안 문제가 중요해졌다. 접근 제어와 암호학뿐 아니라 침입 탐지, 보안 감사, 취약점 관리, 운영 절차와 위험 관리가 독립된 실무 분야로 발전했다.

보안의 기본 목표

기밀성

기밀성은 적절한 권한이 없는 주체가 정보에 접근하거나 공개되지 않도록 하는 성질이다. 사용자·서비스의 인증, 최소 권한 접근 제어, 저장 및 전송 데이터의 암호화, 비밀 정보 관리가 기밀성을 실현하는 대표적 수단이다.

무결성

무결성은 데이터와 시스템 상태가 허가되지 않은 방식으로 변경되지 않도록 보호하고 부적절한 변경을 탐지할 수 있는 성질이다. 해시 함수, 메시지 인증 코드, 디지털 서명, 무결성 검사와 변경 이력 관리가 활용된다. 무결성은 데이터의 정확성과 완전성을 보존하는 문제도 포함한다.

가용성

가용성은 권한 있는 사용자가 필요한 시점에 정보와 시스템을 사용할 수 있도록 보장하는 성질이다. 백업, 복제, 이중화, 용량 계획, 재해 복구와 서비스 거부 공격 대응 등이 여기에 속한다. NIST는 기밀성·무결성·가용성을 정보 보안의 대표 목표로 정의한다.^[2]

핵심 개념

자산·위협·취약점·위험

보호 대상이 되는 정보, 서비스 및 장치를 자산이라고 한다. 위협은 자산에 피해를 줄 수 있는 사건 또는 행위이며, 취약점은 이를 가능하게 하는 결함이나 약점이다. 위험은 해당 사건이 발생할 가능성과 발생 시 영향을 함께 고려해 평가한다. 조직은 자산의 중요도와 사업 영향에 따라 보호 대책의 우선순위를 결정한다.

신뢰 경계와 공격 표면

신뢰 경계는 서로 다른 권한 또는 신뢰 수준 사이의 구분이다. 네트워크 인터페이스, 파일 업로드, 외부 API, 인증 절차와 사용자 입력은 잠재적인 공격 표면을 형성한다. 입력 검증, 권한 분리, 샌드박스와 격리 구조는 이러한 경계를 보호하기 위해 사용된다.

보안 기술

인증과 접근 통제

인증(Authentication)은 주체의 신원을 확인하는 과정이고, 인가(Authorization)는 확인된 주체가 수행할 수 있는 작업을 결정하는 과정이다. 비밀번호, 공개키, 하드웨어 보안 키와 다중 요소 인증은 인증에 사용된다. 역할 기반 접근 제어(RBAC), 속성 기반 접근 제어(ABAC) 및 최소 권한 원칙은 인가 정책을 구현하는 방식이다.

암호화와 키 관리

암호학은 데이터의 기밀성과 무결성, 출처 확인을 위한 기반 기술이다. 대칭키 암호는 대용량 데이터를 효율적으로 보호하고, 공개키 기술은 키 교환과 디지털 서명 등에 사용된다. 암호 알고리즘의 선택만큼 키 생성, 저장, 갱신 및 폐기 절차가 중요하다.

운영체제와 네트워크 보호

운영체제의 사용자·프로세스 격리, 메모리 보호와 접근 권한은 프로그램 간 영향을 제한한다. 방화벽, 네트워크 분할, 안전한 원격 접속, TLS와 침입 탐지 체계는 네트워크 경계와 전송을 보호한다. 모든 공격이 네트워크를 통하는 것은 아니므로 로컬 권한 상승, 공급망 취약점과 내부자 위험도 함께 다룬다.

응용 프로그램 보안

응용 프로그램은 입력 처리 오류, 인증 및 세션 관리 결함, 민감 정보 노출과 종속성 취약점 등을 통해 공격받을 수 있다. 개발 단계의 코드 검토, 정적·동적 분석, 테스트, 종속성 관리와 안전한 배포 파이프라인은 보안 문제를 조기에 줄이는 수단이다.

관리와 운영

정보 보안 정책

조직은 보호 자산, 허용된 사용, 계정 수명 주기, 접근 권한 승인, 로그 보관, 비밀 정보 취급과 제3자 서비스 사용에 관한 정책을 정한다. 정책은 기술적 수단뿐 아니라 역할과 책임, 교육, 물리적 통제와 점검 절차를 포함해야 한다.

취약점 관리

시스템과 소프트웨어의 취약점을 수집·검증하고 영향도와 노출 여부에 따라 수정 우선순위를 정한다. 패치 적용, 설정 강화, 불필요한 서비스 제거, 지원 종료 소프트웨어의 교체가 예방 활동을 구성한다. 단순한 심각도 점수뿐 아니라 실제 이용 가능성과 자산 중요도가 대응 순서에 영향을 준다.

사고 대응과 복구

보안 사고가 발생하면 탐지, 범위 파악, 증거 보존, 피해 확산 억제, 원인 제거 및 서비스 복구 과정을 수행한다. 사고 분석은 재발 방지 조치와 감시 규칙 개선으로 이어져야 한다. 랜섬웨어나 데이터 유실 대응에서는 백업의 무결성과 실제 복구 가능성 검증이 중요하다.

물리적·조직적 보안

장비실 출입 통제, 저장 매체 폐기, 분실 장치 대응과 환경 감시는 정보 보호의 일부다. 조직은 권한 남용과 실수, 외부 공급자의 장애에도 대비해야 한다. 정보 보안은 기술적 제어와 관리적 제어, 물리적 제어를 함께 설계할 때 효과적이다.

활용 분야

정보 보안은 운영체제, 웹 서비스, 클라우드, 기업 네트워크, 금융 정보, 의료 정보, 산업 제어 시스템과 개인의 디지털 생활 전반에 적용된다. 정보의 가치와 관련 법률, 이용 환경에 따라 구체적인 요구 사항과 보호 수단은 달라진다.

역사