정보보안의 3요소(CIA)와 보안 목표

오늘의 한 줄

정보보안은 결국 기밀성·무결성·가용성 세 가지를 지키는 일이고, 모든 공격과 대책은 "이 셋 중 무엇을 건드리는가"로 분류된다. 이 분류가 몸에 배면 처음 보는 공격 기법도 성격을 바로 짚어낼 수 있다.

1. CIA Triad

기밀성 (Confidentiality)

인가받지 않은 자에게 정보가 노출되지 않는 성질.

대표 통제: 암호화, 접근통제, 데이터 마스킹, 물리적 격리
침해 사례: 패킷 스니핑, DB 덤프 유출, 화면 훔쳐보기(shoulder surfing), 소셜 엔지니어링

무결성 (Integrity)

정보가 인가되지 않은 방법으로 변경·삭제되지 않는 성질. "정확하고 완전한 상태의 유지"로도 표현된다.

대표 통제: 해시함수, 메시지 인증 코드(MAC), 전자서명, 형상관리, 접근통제
침해 사례: 홈페이지 변조(디페이스먼트), 중간자 공격의 데이터 조작, 로그 위변조, 계좌번호 바꿔치기

가용성 (Availability)

인가된 사용자가 필요한 시점에 자원을 쓸 수 있는 성질.

대표 통제: 이중화·클러스터링, 백업, RAID, DDoS 방어, UPS
침해 사례: DDoS, 랜섬웨어에 의한 암호화, 정전, 디스크 고장

한 표로 정리

요소	지키려는 것	깨졌을 때	대표 기술
기밀성 C	못 보게	유출	암호화, 접근통제
무결성 I	못 바꾸게	위·변조	해시, 전자서명, MAC
가용성 A	못 막게	서비스 중단	이중화, 백업, DDoS 대응

2. 시험에서 헷갈리는 지점

정답을 가르는 기준은 "공격자가 실제로 한 행위가 무엇인가" 하나뿐이다.

사건	1차 침해 요소	판단 근거
스니핑	기밀성	보기만 함
스푸핑 후 데이터 변조	무결성	내용을 바꿈
DDoS	가용성	접근 자체를 막음
랜섬웨어	가용성 (+유출 시 기밀성)	내 데이터를 내가 못 씀
데이터 삭제	무결성 + 가용성	변경이자 접근 불가
웹사이트 디페이스먼트	무결성	콘텐츠를 바꿔치기

함정 주의: "랜섬웨어 = 암호화 = 기밀성"으로 반사적으로 답하면 틀린다. 암호화의 주체가 공격자이고, 피해자가 자기 데이터에 접근하지 못하게 된 상황이다.

3. 확장 요소 (기사 단골)

CIA만으로 설명이 안 되는 요구사항들이 있어서 다음 네 가지가 따라붙는다.

인증 (Authentication) — 상대가 주장하는 그 사람이 맞는지 확인
부인방지 (Non-repudiation) — 행위 사실을 나중에 부정하지 못하게 함 → 전자서명으로 구현
책임추적성 (Accountability) — 모든 행위를 특정 주체까지 추적 → 감사로그 + 식별·인증
신뢰성 (Reliability) — 일관되게 의도한 대로 동작

참고로 Parkerian Hexad는 CIA에 소유/통제(Possession), 진정성(Authenticity), 유용성(Utility)을 더한 6요소 모델이다. 객관식 보기로 종종 등장한다.

4. 개발자 관점으로 매핑해 보기

이미 짜고 있는 코드가 어느 요소를 지키고 있는지 붙여보면 외울 게 없어진다.

HTTPS(TLS)              → 기밀성 + 무결성 (+ 서버 진정성)
JWT 서명 검증            → 무결성 + 인증
bcrypt 패스워드 해시     → 기밀성 (유출돼도 원문 복구 불가)
DB 트랜잭션 / 제약조건   → 무결성
Rate Limit, 오토스케일   → 가용성
정기 백업, 리드 레플리카 → 가용성
감사 로그(audit log)     → 책임추적성
전자서명된 릴리스 아티팩트 → 무결성 + 부인방지

5. 보안 대책의 3분류

시험에서 "다음 중 기술적 대책이 아닌 것은?" 형태로 매년 나온다.

분류	내용	예시
관리적	정책·지침·절차, 교육, 인사, 감사	보안정책 수립, 보안서약서, 직무분리, 인식교육
물리적	시설과 장비의 물리적 보호	출입통제, CCTV, 시건장치, 항온항습, 소화설비
기술적	시스템으로 구현하는 통제	방화벽, IDS/IPS, 암호화, 접근통제, 백신

6. 통제 시점별 분류

통제	목적	예시
억제(Deterrent)	시도할 마음을 꺾음	경고문, CCTV 안내판, 처벌 규정
예방(Preventive)	발생 자체를 막음	방화벽, 접근통제, 암호화, IPS
탐지(Detective)	발생을 알아챔	IDS, 감사로그, CCTV, 무결성 검사
교정(Corrective)	원인을 바로잡음	패치, 백신 치료, 정책 수정
복구(Recovery)	원상태로 되돌림	백업 복구, 재해복구(DRP)
보완(Compensating)	주 통제를 못 쓸 때 대체	이중 승인, 수기 대장 관리

IDS는 탐지, IPS는 예방 — 이 한 쌍은 반드시 붙여서 외운다.

실기라면 이렇게 나온다

문제 정보보안의 3대 요소를 쓰고, 각각을 한 문장으로 설명하시오. (6점)

모범 답안

기밀성(Confidentiality): 인가되지 않은 자에게 정보가 노출되지 않도록 보장하는 것
무결성(Integrity): 인가되지 않은 방법으로 정보가 변경·삭제되지 않도록 보장하는 것
가용성(Availability): 인가된 사용자가 필요한 시점에 자원에 접근할 수 있도록 보장하는 것

채점 포인트

용어는 국문 + 영문 병기가 안전하다. 영문 철자가 틀리면 감점될 수 있으니 확신 없으면 국문만 쓴다.
세 정의 모두에 "인가되지 않은 / 인가된" 이라는 한정어가 들어가야 한다. 이 표현이 빠지면 "정보가 노출되지 않는 것" 같은 반쪽 답이 되어 부분 점수만 받는다.
배점이 6점이면 요소당 2점이다. 셋 중 하나라도 빠뜨리지 않는 것이 우선이고, 문장을 길게 늘이는 것보다 세 개를 다 채우는 것이 점수에 유리하다.

변형 출제 "랜섬웨어 감염 시 침해되는 보안 요소를 쓰고 그 이유를 서술하시오." → 가용성. 데이터가 공격자에 의해 암호화되어 정당한 사용자가 접근할 수 없게 되기 때문. (유출 협박이 동반된 경우 기밀성도 함께 침해된다고 덧붙이면 가점 여지가 있다.)

오늘의 시험 포인트

CIA 각각의 정의를 한 문장으로 쓸 수 있어야 한다 (실기 단답 대비).
사건 → 침해 요소 매핑에서 랜섬웨어는 가용성이 1차.
대책 3분류(관리적·물리적·기술적)에서 보기 하나씩 골라내기.
부인방지의 구현 수단은 전자서명.
IDS = 탐지 통제, IPS = 예방 통제.

내일 예고

위협(Threat)·취약점(Vulnerability)·위험(Risk)이 각각 무엇이고 어떻게 곱해지는지 — 위험관리의 출발점을 잡는다.