정보보안이란 무엇인가: 지키려는 것이 먼저다

'보안은 해킹 막는 일'이라는 절반의 오해

보안 공부를 시작하면 제일 먼저 '해킹 막는 법'부터 찾게 되시죠. 근데 말이죠, 막상 자료를 열어 보면 낯선 용어만 쏟아지고, 정작 보안이 무엇을 지키려는 일인지는 잘 잡히지 않아요. 이 글에서는 그 출발점을 기밀성·무결성·가용성 세 단어로 정리해 드릴게요.

보안을 처음 접하는 사람에게 정보보안이 무엇이냐고 물으면 대부분 '해킹을 막는 일'이라고 답해요. 틀린 답은 아니지만, 이 일의 목적이 아니라 수단 하나를 가리킨 답이에요. 정보보안은 조직과 개인이 가진 정보를 원래 있어야 할 상태로 유지하도록 관리하는 활동이고, 외부 공격 차단은 그 상태를 무너뜨리는 여러 원인 가운데 하나에 대응하는 방법일 뿐이에요.

실제로 사고로 이어지는 원인을 보면 외부 침입만 있는 게 아니에요. 담당자가 권한 설정을 잘못해 내부 자료가 외부에 노출되기도 하고, 백업이 없는 상태에서 장비가 고장 나 데이터가 사라지기도 해요. 심지어 잘못 수정된 값이 그대로 유통되어 업무 판단이 어긋나는 일도 있고요. 이런 일들은 '해킹'이 아니지만 모두 보안 사고로 다뤄져요. 그래서 보안을 이해하려면 '무엇을 막는가'가 아니라 '무엇을 지키려는가'에서 출발하는 편이 훨씬 빨라요.

기밀성·무결성·가용성이라는 세 개의 목적

정보보안의 목적을 정리한 가장 오래되고 널리 쓰이는 틀이 기밀성(Confidentiality)·무결성(Integrity)·가용성(Availability) 세 가지예요. 영문 앞 글자를 따서 CIA 삼요소라고 불러요. 기밀성은 볼 자격이 있는 사람만 보게 하는 것, 무결성은 정보가 허가 없이 바뀌거나 훼손되지 않게 하는 것, 가용성은 필요한 순간에 정보와 시스템을 실제로 쓸 수 있게 하는 거예요.

이게 왜 중요하냐면요, 이 셋을 나란히 놓고 보면 보안 업무의 범위가 왜 그렇게 넓은지 이해가 돼요. 접근 권한 관리와 암호화는 주로 기밀성을, 변경 이력 관리와 검증 절차는 무결성을, 이중화와 백업과 서비스 중단 대응은 가용성을 겨냥해요. 여기서 하나만 기억하시면 돼요. 어떤 보안 조치를 만나든 '이건 셋 중 무엇을 지키려는 걸까'를 먼저 물어보는 거예요. 그렇게 물어보면 낯선 용어로 포장된 활동도 금방 제자리를 찾아요.

세 속성은 사이좋게 늘어나지 않는다

여기서 많이들 헷갈리세요. 세 속성은 함께 올라가지 않아요. 기밀성을 극단으로 올리면 가용성이 떨어져요. 자료를 열 때마다 결재를 받고 여러 단계 인증을 거치게 하면 유출 위험은 줄지만, 정작 필요한 사람이 제때 쓰지 못해 업무가 멈춰요. 반대로 누구나 언제든 볼 수 있게 열어 두면 가용성은 최고가 되지만 기밀성은 사라지고요.

무결성과 가용성 사이에도 비슷한 긴장이 있어요. 데이터를 바꿀 때마다 승인과 검증을 요구하면 잘못된 수정은 줄지만 처리 속도는 느려져요. 그래서 실무의 보안은 세 속성을 모두 만점으로 만드는 일이 아니라, 그 정보의 성격에 맞는 배분을 찾는 일이 돼요. 응급실에서 즉시 열려야 하는 환자 기록과 소수만 봐야 하는 설계 도면은 애초에 같은 비중으로 지킬 대상이 아니에요. 이 감각이 잡히면 보안 규칙을 볼 때 마음이 한결 편해져요.

일상에서 이미 하고 있는 보안

이 틀은 전문 시스템에만 적용되는 게 아니에요. 사실 이미 매일 쓰고 계세요. 스마트폰 잠금 화면은 기밀성을 위한 장치예요. 은행 앱이 이체 단계에서 다시 인증을 요구하는 건 거래가 임의로 만들어지지 않게 하는 무결성 쪽 조치에 가까워요. 사진을 자동으로 백업해 두는 습관은 기기를 잃어버려도 사진을 계속 쓸 수 있게 하는 가용성 대책이고요.

직장에서 마주치는 규칙들도 같은 방식으로 읽혀요. 왜 하는지도 모른 채 그냥 따르기만 했던 규칙, 아시죠 그 느낌? 문서에 열람 권한을 거는 건 기밀성, 최종본을 누가 언제 수정했는지 기록을 남기는 건 무결성, 공유 드라이브를 정기적으로 백업하는 건 가용성이에요. 현장에서 보안 규칙이 무시되는 이유는 대개 규칙이 어려워서가 아니라 왜 있는지 설명되지 않아서예요. 세 단어를 알아 두면 그 '왜'를 한 문장으로 말할 수 있어요. 이유를 설명할 수 있게 되면 규칙을 지키는 일도 훨씬 덜 답답해져요.

보안의 기준은 완벽이 아니라 균형

정보보안을 공부할 때 처음 잡아야 할 감각은 하나예요. 보안은 위험을 0으로 만드는 일이 아니라는 거예요. 위험을 완전히 없애려면 정보를 아예 만들지 않고 시스템을 아예 열지 않아야 하는데, 그러면 정보로 하려던 일 자체가 불가능해져요. 보안은 하려는 일을 계속할 수 있게 하면서 위험을 감당할 만한 수준까지 낮추는 활동이에요.

그래서 오래 신뢰받는 보안 담당자는 '안 됩니다'를 잘 말하는 사람이 아니라 '이렇게 하면 됩니다'를 설계하는 사람이에요. 어떤 조치를 제안하든 그것이 기밀성·무결성·가용성 중 무엇을 얼마나 올리고 무엇을 얼마나 내리는지 설명할 수 있다면, 그 제안은 이미 절반은 설득된 셈이에요.

이제 이렇게 하시면 돼요. 보안 규칙을 만나면 먼저 '이건 셋 중 무엇을 지키려는 걸까'를 묻고, 그다음 '무엇을 얼마나 내주고 있나'를 보시면 돼요. 이 두 질문만으로도 처음 보는 규칙이 훨씬 덜 낯설어져요. 앞으로 만나게 될 위험 평가, 접근 통제, 관리체계도 결국 이 세 단어를 어떻게 배분할지에 대한 이야기예요. 오늘 세 단어를 잡아 두셨다면 보안 공부에서 가장 큰 고비는 이미 넘으신 거예요.