정보보안이란 무엇인가: 지키려는 것이 먼저다
보안을 '해킹 막기'로 이해하면 절반만 맞습니다. 기밀성·무결성·가용성 세 단어로 보안의 목적을 다시 정리합니다.
'보안은 해킹 막는 일'이라는 절반의 오해
보안을 처음 접하는 사람에게 정보보안이 무엇이냐고 물으면 대부분 '해킹을 막는 일'이라고 답합니다. 틀린 답은 아니지만, 보안이라는 일의 목적이 아니라 수단 하나를 가리킨 답입니다. 정보보안은 조직과 개인이 가진 정보를 원래 있어야 할 상태로 유지하도록 관리하는 활동이고, 외부 공격 차단은 그 상태를 무너뜨리는 여러 원인 가운데 하나에 대응하는 방법일 뿐입니다.
실제로 사고로 이어지는 원인을 보면 외부 침입만 있는 것이 아닙니다. 담당자가 권한 설정을 잘못해 내부 자료가 외부에 노출되기도 하고, 백업이 없는 상태에서 장비가 고장 나 데이터가 사라지기도 하며, 잘못 수정된 값이 그대로 유통되어 업무 판단이 어긋나기도 합니다. 이런 일들은 '해킹'이 아니지만 모두 보안 사고로 다뤄집니다. 그래서 보안을 이해하려면 '무엇을 막는가'가 아니라 '무엇을 지키려는가'에서 출발해야 합니다.
기밀성·무결성·가용성이라는 세 개의 목적
정보보안의 목적을 정리한 가장 오래되고 널리 쓰이는 틀이 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability) 세 가지입니다. 영문 앞 글자를 따 CIA 삼요소라고 부릅니다. 기밀성은 볼 자격이 있는 사람만 보게 하는 것, 무결성은 정보가 허가 없이 바뀌거나 훼손되지 않게 하는 것, 가용성은 필요한 순간에 정보와 시스템을 실제로 쓸 수 있게 하는 것입니다.
이 셋을 나란히 놓고 보면 보안 업무의 범위가 왜 그렇게 넓은지 이해됩니다. 접근 권한 관리와 암호화는 주로 기밀성을, 변경 이력 관리와 검증 절차는 무결성을, 이중화와 백업, 서비스 중단 대응은 가용성을 겨냥합니다. 어떤 보안 조치를 만나든 '이건 셋 중 무엇을 지키려는 것인가'를 먼저 물으면, 낯선 용어로 포장된 활동도 제자리를 금방 찾습니다.
세 속성은 사이좋게 늘어나지 않는다
입문자가 잘 모르는 사실 하나는 세 속성이 함께 올라가지 않는다는 점입니다. 기밀성을 극단으로 올리면 가용성이 떨어집니다. 자료를 열 때마다 결재를 받고 여러 단계 인증을 거치게 하면 유출 위험은 줄지만, 정작 필요한 사람이 제때 쓰지 못해 업무가 멈춥니다. 반대로 누구나 언제든 볼 수 있게 열어 두면 가용성은 최고가 되지만 기밀성은 사라집니다.
무결성과 가용성 사이에도 비슷한 긴장이 있습니다. 데이터를 바꿀 때마다 승인과 검증을 요구하면 잘못된 수정은 줄지만 처리 속도는 느려집니다. 그래서 실무의 보안은 세 속성을 모두 만점으로 만드는 일이 아니라, 그 정보의 성격에 맞는 배분을 찾는 일이 됩니다. 응급실에서 즉시 열려야 하는 환자 기록과 소수만 봐야 하는 설계 도면은 애초에 같은 비중으로 지킬 대상이 아닙니다.
일상에서 이미 하고 있는 보안
이 틀은 전문 시스템에만 적용되는 것이 아닙니다. 스마트폰 잠금 화면은 기밀성을 위한 장치입니다. 은행 앱이 이체 단계에서 다시 인증을 요구하는 것은 거래가 임의로 만들어지지 않게 하는 무결성 쪽 조치에 가깝습니다. 사진을 자동으로 백업해 두는 습관은 기기를 잃어버려도 사진을 계속 쓸 수 있게 하는 가용성 대책입니다.
직장에서 마주치는 규칙들도 같은 방식으로 읽힙니다. 문서에 열람 권한을 거는 것은 기밀성, 최종본을 누가 언제 수정했는지 기록을 남기는 것은 무결성, 공유 드라이브를 정기적으로 백업하는 것은 가용성입니다. 현장에서 보안 규칙이 무시되는 이유는 대개 규칙이 어려워서가 아니라 왜 있는지 설명되지 않아서입니다. 세 단어를 알아 두면 그 '왜'를 한 문장으로 말할 수 있습니다.
보안의 기준은 완벽이 아니라 균형
정보보안을 공부할 때 처음 잡아야 할 감각은 보안이 위험을 0으로 만드는 일이 아니라는 것입니다. 위험을 완전히 없애려면 정보를 아예 만들지 않고 시스템을 아예 열지 않아야 하는데, 그러면 정보로 하려던 일 자체가 불가능해집니다. 보안은 하려는 일을 계속할 수 있게 하면서 위험을 감당할 수 있는 수준까지 낮추는 활동입니다.
그래서 오래 신뢰받는 보안 담당자는 '안 됩니다'를 잘 말하는 사람이 아니라 '이렇게 하면 됩니다'를 설계하는 사람입니다. 어떤 조치를 제안하든 그것이 기밀성·무결성·가용성 중 무엇을 얼마나 올리고 무엇을 얼마나 내리는지 설명할 수 있다면, 그 제안은 이미 절반은 설득된 셈입니다. 앞으로 만나게 될 위험 평가, 접근 통제, 관리체계 같은 주제도 결국 이 세 단어를 어떻게 배분할지에 대한 이야기입니다.
초보자가 자주 하는 실수
- 보안을 외부 공격 차단과 같은 말로 쓰기 — 실수·장애·오변경으로 생기는 사고가 시야에서 통째로 빠집니다.
- 세 속성을 모두 최대로 올리려 하기 — 서로 충돌하는 관계라 결국 업무가 멈추고 규칙이 우회됩니다.
- 가용성을 보안의 목적에서 빼놓기 — 서비스가 멈춰 정보를 못 쓰는 상황도 명백한 보안 사고입니다.
읽고 나서 체크리스트
- 정보보안의 목적을 '공격 차단'이 아닌 말로 설명할 수 있다
- 기밀성·무결성·가용성이 각각 무엇을 지키는지 구분해 말할 수 있다
- 세 속성이 충돌하는 상황을 예로 들 수 있다
- 내 주변의 보안 규칙을 세 속성 중 하나에 연결해 볼 수 있다
- 보안이 위험을 0으로 만드는 일이 아니라는 점을 이해한다
자주 묻는 질문
CIA 삼요소 말고 다른 요소는 없나요?
부인방지, 책임추적성, 인증성 같은 속성을 함께 다루는 문헌도 많습니다. 다만 이들은 대체로 세 속성을 실제로 보장하기 위해 필요한 보조 개념에 가깝습니다. 처음에는 세 가지를 확실히 잡고, 나중에 필요에 따라 넓히는 순서를 권합니다.
보안 담당자가 아니어도 이 개념을 알아야 하나요?
알아 두면 회사의 보안 규칙이 왜 있는지 스스로 해석할 수 있습니다. 규칙의 이유를 알면 지키기도 쉽고, 업무에 맞지 않는 규칙을 근거 있게 개선 요청할 수도 있습니다.
보안을 강화하면 업무가 불편해지는 건 어쩔 수 없나요?
어느 정도의 마찰은 생기지만, 불편의 크기와 보호 수준이 비례하지는 않습니다. 잘 설계된 조치는 위험이 큰 지점에 마찰을 몰아 주고 나머지는 평소처럼 흐르게 합니다. 모든 곳에 똑같은 강도를 거는 방식이 오히려 비효율의 신호입니다.
이 글은 입문자 기준으로 이해하기 쉽게 정리한 일반 정보이며, 내용은 운영 과정에서 순차적으로 점검·보완될 수 있습니다. 구체적인 절차나 수치는 해당 기관의 공식 안내를 기준으로 확인해주세요.