정보보안
더 많은 작업
정보보안(情報保安, Information Security, INFOSEC)은 정보와 정보시스템을 무단 접근, 유출, 변조, 훼손, 파괴 및 서비스 중단 등의 위협으로부터 보호하기 위한 기술적·관리적·물리적 활동의 총체이다. 정보의 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability)을 보장하는 것을 핵심 목표로 하며, 정보보호와 사실상 같은 의미로 사용된다.
정보보안은 정보의 생성·수집·저장·처리·전송·이용·폐기에 이르는 전 생명주기에서 정보자산을 보호하는 활동이다.
미국 국립표준기술연구소(NIST)는 정보보안을 정보와 정보시스템을 허가되지 않은 접근, 사용, 공개, 중단, 수정 또는 파괴로부터 보호하여 기밀성·무결성·가용성을 제공하는 것으로 정의한다.[1]
정보보안은 흔히 해킹 방어나 악성코드 탐지와 같은 기술적인 활동으로 인식되지만, 실제로는 조직의 정책, 인적 자원, 업무 절차, 시설 관리, 법률 준수, 위험관리 등 다양한 요소를 포함한다.
또한 정보보안의 대상은 컴퓨터와 네트워크에 저장된 전자정보에 한정되지 않는다. 종이 문서, 설계도, 영업비밀, 구두로 전달되는 기밀정보 등 보호가 필요한 모든 형태의 정보가 대상이 될 수 있다.
정보보안의 가장 기본적인 목표는 CIA 3요소(CIA Triad)라고 불리는 기밀성, 무결성, 가용성을 확보하는 것이다.[2]
| 요소 | 영문명 | 의미 | 대표적인 보안 대책 |
|---|---|---|---|
| 기밀성 | Confidentiality | 인가된 사람이나 시스템만 정보에 접근할 수 있도록 보호 | 암호화, 접근통제, 인증, 권한 관리 |
| 무결성 | Integrity | 정보가 허가 없이 변경·삭제·훼손되지 않고 정확성과 완전성을 유지하도록 보호 | 해시, 전자서명, 변경 이력 관리, 무결성 검증 |
| 가용성 | Availability | 인가된 사용자가 필요한 시점에 정보와 서비스를 이용할 수 있도록 보장 | 이중화, 백업, 재해복구, 장애 대응, DDoS 방어 |
예를 들어 은행의 정보시스템에서 고객 계좌정보가 외부에 유출되면 기밀성 침해, 계좌 잔액이 부정하게 변경되면 무결성 침해, 시스템 장애로 인터넷뱅킹을 이용할 수 없게 되면 가용성 침해에 해당한다.
실제 보안사고는 여러 요소에 동시에 영향을 미칠 수 있다. 랜섬웨어 공격으로 고객정보가 유출되고 데이터가 암호화된다면 기밀성과 가용성이 함께 침해될 수 있다.
정보보안에서는 CIA 3요소 외에도 다음과 같은 속성을 중요하게 다룬다.
- 인증성(Authenticity): 사용자, 시스템, 정보 등이 주장하는 신원이나 출처가 진정한 것인지 확인할 수 있는 성질
- 책임추적성(Accountability): 특정 행위가 누구에 의해 수행되었는지 추적하고 책임을 규명할 수 있는 성질
- 부인방지(Non-repudiation): 행위 당사자가 자신이 수행한 행위나 정보의 송수신 사실을 사후에 부인하기 어렵도록 증명하는 성질
- 신뢰성(Reliability): 시스템이나 정보처리 기능이 의도된 조건에서 일관되고 정확하게 동작하는 성질
이러한 속성은 정보보안의 국제표준과 보안통제 체계에서 CIA 3요소를 보완하는 개념으로 활용된다.[3]
정보보안은 보호 대상과 기술 환경에 따라 여러 전문 분야로 구분된다.
| 분야 | 주요 내용 |
|---|---|
| 네트워크 보안 | 네트워크 통신 보호, 침입 탐지·차단, 네트워크 분리 및 접근통제 |
| 시스템 보안 | 서버, 운영체제, 단말기의 보안 설정과 취약점 관리 |
| 웹 보안 | 웹사이트와 웹 애플리케이션의 취약점 분석 및 공격 방어 |
| 애플리케이션 보안 | 소프트웨어 개발·배포·운영 과정에서의 보안 확보 |
| 데이터베이스 보안 | 데이터 접근권한, 암호화, 감사기록 및 무결성 관리 |
| 클라우드 보안 | 클라우드 환경의 자원·계정·네트워크·워크로드 보호 |
| 모바일 보안 | 모바일 운영체제, 애플리케이션, 단말기 및 통신 보호 |
| 엔드포인트 보안 | PC, 서버 등 개별 단말에서 악성코드와 침해행위 탐지·차단 |
| 산업제어시스템 보안 | 산업시설의 운영기술(OT)과 제어시스템 보호 |
| 인공지능 보안 | AI 모델, 학습 데이터, 추론 시스템 및 AI 서비스의 보안 위협 대응 |
| 물리보안 | 시설 출입통제, 장비 보호, 영상감시 및 환경적 위협 대응 |
| 개인정보보호 | 개인정보의 적법한 처리와 유출·오남용 방지 |
각 영역은 독립적으로 존재하지 않는다. 예를 들어 클라우드에서 운영되는 웹 서비스의 보안을 확보하려면 네트워크 보안, 애플리케이션 보안, 데이터베이스 보안, 계정 관리 등을 함께 고려해야 한다.
정보보안에서 다루는 위협은 외부 공격뿐 아니라 내부자의 행위, 인적 오류, 시스템 장애, 자연재해 등을 포함한다.
| 위협 유형 | 대표적인 사례 | 주요 영향 |
|---|---|---|
| 해킹 | 취약점 악용, 인증 우회, 무단 침입 | 기밀성·무결성·가용성 |
| 악성코드 | 트로이 목마, 웜, 백도어, 정보탈취형 악성코드 | 기밀성·무결성·가용성 |
| 랜섬웨어 | 데이터 암호화, 정보 유출 및 금전 갈취 | 기밀성·가용성 |
| 피싱 | 이메일·웹사이트 등을 통한 인증정보 탈취 | 기밀성 |
| 디도스 공격 | 대량의 트래픽이나 요청을 이용한 서비스 방해 | 가용성 |
| 내부자 위협 | 권한 남용, 내부정보 유출, 고의적 데이터 삭제 | 기밀성·무결성·가용성 |
| 공급망 공격 | 소프트웨어 업데이트, 개발도구, 협력업체 등을 통한 침해 | 기밀성·무결성·가용성 |
| 인적 오류 | 잘못된 권한 설정, 데이터 오삭제, 민감정보 오발송 | 기밀성·무결성·가용성 |
| 물리적 재해 | 화재, 침수, 정전, 장비 파손 | 가용성·무결성 |
NIST의 보안통제 지침도 악의적인 공격뿐 아니라 사람의 실수, 자연재해, 구조적 결함 등 다양한 위험을 정보보안 관리 대상으로 다룬다.[4]
정보보안 대책은 일반적으로 관리적, 기술적, 물리적 보안통제로 구분한다.
| 구분 | 주요 대책 |
|---|---|
| 관리적 보안 | 보안 정책 수립, 위험평가, 보안교육, 인력 관리, 내부감사, 위탁업체 관리, 정보보호 관리체계 운영 |
| 기술적 보안 | 인증·인가, 암호화, 방화벽, 침입탐지, 악성코드 대응, 보안관제, 취약점 점검, 보안 패치 |
| 물리적 보안 | 출입통제, 서버실 보호, 보안구역 운영, 장비 반출입 관리, 전원·온습도·화재 대응 |
효과적인 정보보안을 위해서는 특정 보안제품에만 의존하기보다 여러 통제를 조합하여 위험을 관리해야 한다.
대표적인 원칙과 접근법은 다음과 같다.
- 심층방어(Defense in Depth): 다수의 보안통제를 계층적으로 배치하여 단일 통제 실패가 전체 시스템 침해로 이어지지 않도록 하는 접근법
- 최소 권한 원칙(Principle of Least Privilege): 사용자와 시스템에 업무 수행에 필요한 최소한의 권한만 부여하는 원칙
- 제로 트러스트(Zero Trust): 네트워크 위치 등을 근거로 암묵적으로 신뢰하지 않고 접근 요청을 지속적으로 검증하는 보안 접근법
- 보안 내재화(Security by Design): 시스템의 설계·개발 초기부터 보안 요구사항을 반영하는 접근법
- 위험 기반 보안: 보호 자산의 중요성, 위협, 취약점 및 예상 피해를 고려하여 보안 자원을 우선 배분하는 접근법
정보보안은 개별 보안장비나 솔루션의 도입만으로 완성되지 않는다. 조직의 위험을 체계적으로 파악하고 보안 정책을 수립하며 통제의 효과를 지속적으로 평가·개선하는 관리체계가 필요하다.
ISO/IEC 27001은 국제표준화기구(ISO)와 국제전기기술위원회(IEC)가 제정한 정보보안 관리체계(Information Security Management System, ISMS) 국제표준이다.
조직의 상황과 위험을 고려하여 정보보안 관리체계를 수립·구현·유지하고 지속적으로 개선하기 위한 요구사항을 규정한다.
2026년 11월 기준 주요 판본은 ISO/IEC 27001:2022이며, 2024년에는 기후변화 관련 개정사항이 추가되었다.[5]
NIST 사이버보안 프레임워크(NIST Cybersecurity Framework, CSF)는 조직의 사이버보안 위험을 관리하기 위해 미국 NIST가 개발한 프레임워크이다.
2024년 발표된 CSF 2.0은 다음 6가지 핵심 기능으로 구성된다.[6]
| 기능 | 영문명 | 주요 내용 |
|---|---|---|
| 거버넌스 | Govern | 보안 위험관리 전략, 정책, 역할, 책임 및 감독체계 수립 |
| 식별 | Identify | 자산, 업무환경, 위험 및 취약점 파악 |
| 보호 | Protect | 접근통제, 보안교육, 데이터 보호 및 예방적 통제 구현 |
| 탐지 | Detect | 이상행위, 침해 징후 및 보안사고 탐지 |
| 대응 | Respond | 사고 분석, 피해 확산 방지, 대응 조치 및 의사소통 |
| 복구 | Recover | 침해사고 이후 서비스와 시스템의 복구 및 정상화 |
6가지 기능은 반드시 순차적으로 수행하는 단계가 아니라 조직이 병행하여 지속적으로 수행해야 하는 보안 활동이다.
정보보호 및 개인정보보호관리체계 인증(ISMS-P)은 국내 기업과 기관의 정보보호 및 개인정보보호 관리체계가 인증기준에 적합한지를 심사하는 제도이다.
정보보호 관리체계 인증(ISMS)과 정보보호 및 개인정보보호 관리체계 인증(ISMS-P)으로 구분하여 운영된다.
한국인터넷진흥원(KISA)은 관련 법령과 고시에 근거하여 인증제도를 운영하고 있으며, 인증을 통해 기업의 정보보호 수준과 개인정보보호 활동을 강화하는 것을 목적으로 한다.[7]
조직의 정보보안은 위험 식별부터 통제, 모니터링, 사고 대응, 개선으로 이어지는 지속적인 활동이다.
정보보안 위험관리는 정보자산에 영향을 미칠 수 있는 위협과 취약점을 분석하고, 허용 가능한 수준으로 위험을 통제하는 과정이다.
일반적으로 다음과 같은 절차를 포함한다.
- 정보자산과 업무 중요도 식별
- 위협 및 취약점 분석
- 사고 발생 가능성과 영향도 평가
- 위험 수용 기준 및 우선순위 결정
- 보안통제 선정 및 이행
- 잔여 위험 평가 및 지속적인 모니터링
위험에 대한 대응은 통제를 통한 감소, 회피, 이전 또는 수용 등의 방식으로 이루어질 수 있다.
보안관제(Security Monitoring)는 정보시스템과 네트워크에서 발생하는 이벤트를 지속적으로 수집·분석하여 보안 위협을 탐지하고 대응하는 활동이다.
주요 기술과 도구에는 다음이 포함된다.
침해사고 대응(Incident Response)은 보안사고를 탐지하고 피해를 최소화하며 서비스를 정상화하기 위한 활동이다.
주요 업무는 사고 준비, 탐지·분석, 피해 확산 방지, 침해 원인 제거, 복구 및 사후 개선 등을 포함한다.
사고가 발생한 이후의 대응뿐 아니라 사전 대응계획, 모의훈련, 로그 확보, 증거 보존 체계 등을 준비하는 것도 중요하다.
정보보안과 사이버보안(Cybersecurity)은 서로 밀접하게 관련된 개념이며 실무에서는 혼용되기도 한다.
다만 개념적으로는 다음과 같은 차이가 있다.
| 구분 | 정보보안 | 사이버보안 |
|---|---|---|
| 주요 보호 대상 | 모든 형태의 정보와 정보자산 | 디지털 시스템, 네트워크, 서비스 및 사이버 공간 |
| 보호 범위 | 전자정보, 종이 문서, 물리적 정보자산 등 | 정보통신기술 기반 시스템과 관련 정보 |
| 주요 위협 | 정보 유출, 변조, 파괴, 분실, 무단 열람 등 | 해킹, 악성코드, 사이버 공격, 서비스 침해 등 |
| 주요 활동 | 정보자산 관리, 접근통제, 정보보호 정책, 물리보안 등 | 네트워크 방어, 취약점 관리, 공격 탐지 및 대응 등 |
일반적으로 정보보안은 정보의 형태에 관계없이 보호를 다루는 반면, 사이버보안은 디지털 환경에서 발생하는 위협과 대응에 초점을 맞춘다.
그러나 두 용어의 포함관계는 표준과 기관의 정의에 따라 달라질 수 있다. 따라서 사이버보안을 언제나 정보보안의 하위 개념으로 보거나 그 반대로 단정하기는 어렵다.
정보보안은 정보자산의 기밀성·무결성·가용성을 확보하는 데 초점을 맞추는 반면, 개인정보보호는 개인에 관한 정보가 적법하고 정당하게 처리되고 정보주체의 권리가 보호되도록 하는 데 중점을 둔다.
예를 들어 고객의 개인정보를 암호화하고 외부 침입을 차단하는 것은 정보보안 대책에 해당한다. 개인정보의 수집 목적, 처리 근거, 보유기간, 정보주체의 열람·삭제 요구 등을 관리하는 것은 개인정보보호의 주요 영역이다.
두 분야는 상당 부분 중첩되지만 동일하지는 않다. 기술적으로 안전하게 보관된 개인정보라도 적법한 근거 없이 수집·이용했다면 개인정보보호 문제가 발생할 수 있다.
정보시스템의 클라우드화와 인공지능 도입, 소프트웨어 공급망의 복잡성 증가 등에 따라 정보보안의 범위도 확대되고 있다.
- 제로 트러스트: 내부망과 외부망의 경계에 의존하는 전통적인 보안 모델을 보완하고, 사용자·기기·서비스의 접근을 지속적으로 검증
- 클라우드 보안: 클라우드 서비스의 설정 오류, 접근권한, 워크로드 및 데이터 보호 강화
- 소프트웨어 공급망 보안: 오픈소스 의존성, 개발도구, 배포 파이프라인, 소프트웨어 구성요소의 무결성 관리
- SBOM: 소프트웨어 구성요소와 의존관계를 식별하여 취약점 및 공급망 위험을 관리
- 인공지능 보안: AI 모델과 서비스의 프롬프트 인젝션, 학습 데이터 오염, 모델 탈취 및 정보유출 대응
- 데브섹옵스(DevSecOps): 소프트웨어 개발 및 운영 전 과정에 보안 점검과 자동화된 통제를 통합
- 사이버 복원력(Cyber Resilience): 공격과 장애를 완전히 예방하지 못하더라도 핵심 업무를 유지하고 신속하게 복구하는 능력 강화
NIST CSF 2.0은 클라우드, 사물인터넷, 운영기술 및 AI 시스템을 포함하는 다양한 기술 환경에 적용할 수 있도록 설계되었으며, 조직 전체의 사이버보안 위험관리와 공급망 위험관리의 중요성을 강조한다.[6]
- ↑ NIST, Information Security - CSRC Glossary, 확인: 2026-11-14.
- ↑ NIST, NIST SP 1800-26: Data Integrity - Executive Summary, 확인: 2026-11-14.
- ↑ NIST, Security - CSRC Glossary, 확인: 2026-11-14.
- ↑ NIST, Security and Privacy Controls for Information Systems and Organizations, SP 800-53 Revision 5, 2020-09. 인용 오류:
<ref>태그가 잘못되었습니다; 이름은 숫자가 될 수 없습니다. 설명적인 이름을 사용하세요 - ↑ ISO, ISO/IEC 27001:2022 - Information Security Management Systems, 확인: 2026-11-14.
- ↑ 6.0 6.1 NIST, The NIST Cybersecurity Framework (CSF) 2.0, 2024-02-26.
- ↑ 한국인터넷진흥원, 정보보호 인증 관리, 확인: 2026-11-14.