[사이버보안] 정보보호의 3원칙 (기밀성, 무결성, 가용성)

CIA 3원칙 또는 CIA Triad 라고 알려져있는 정보보호의 3원칙에 대해서 알아보겠습니다.

 

정보보호 3원칙(CIA 3원칙)이란 조직 내 정보보안 정잭을 안내하기 위해 설계된 모델로써, CIA는 Confientiality(기밀성), Integrity(무결성), Availability(가용성) 세 단어의 앞글자를 따서 만들어진 단어입니다. (미국 중앙정보국 CIA와는 관계 없으니 오해하지 마시기 바랍니다.)

CIA triad (Confidentiality, Integrity and Availability)

 

정보보호의 3원칙(기밀성, 무결성, 가용성)은 사이버보안을 달성하기 위한 중요한 요소입니다.

정보가 생성되어 소멸되기까지 전체 주기에 대해서 기밀성, 무결성, 가용성이 확보되어야 합니다.

각각의 의미에 대해서 다음과 같이 알아보겠습니다. 

 

정보보호(Information security)

• 정보의 수집, 가공, 저장, 검색, 송신, 수신 중에 정보의 훼손, 변조, 유출 등을 방지하기 위한 관리적, 기술적 수단 또는 그러한 수단으로 이루어지는 행위

 

기밀성 - Confientiality  

• 기밀성 : 객체(objrct)를 무자격 주체에세 노출(dicsloure) 시키지 않는 원칙
• 위협요소 : 도청, 사회공학, 정보 취급자의 부주의 및 실수 등
• 보호대책 : 접근제어, 암호화, 접보취급 교육 훈련 등, 무결성과 가용성이 보장되어야 기밀성이 보장될수 있음

먼저 기밀성(Confidentiality)이란, 사용을 승인받은 사람만 해당 정보에 접근할 수 있는 성질을 뜻합니다. 가장 일반적인 보안 개념으로 대상에 대한 접근 권한 즉, 열쇠를 나눠 가진다는 점에서 자물쇠를 떠올리면 이해하기 쉽습니다. 일반적인 보안 개념이니 기밀성에 집중된 보안장치들이 가장 많습니다. 대표적인 예가 바로 비밀번호(패스워드)입니다. 우리집 비밀번호를 다른 사람들에게 노출되지 않도록 하는 것이 기밀성을 지키기 위한 예시입니다.

 

무결성 - Integrity 

• 무결성(integrity) : 객체의 진실성 및 원래의 상태를 유질하고 오직 자격 보유 주체만이 변경할 수 있도록 하는 원칙
• 위협요소 : 무결성에 대한 위협은 정보의 저장, 전송 및 처리 과정에 존재할 수 있음, 불법적 정보 변경, 운용체제 변경 등
• 보호대책 : 접근통제, 인증, 침입 탐지, 해시 검증 등, 기밀성과 가용성이 보장되어야 무결성이 보장될수 있음

무결성(Integrity)이란, 위 기밀성의 장치인 접근 권한이 적절한 것인지 완전성과 정확성을 보장하는 성질입니다. 예를 들어 공인인증서는 개인이 가지고 있는 접근 권한, 즉 기밀성을 뜻하는 열쇠인데요. 이 열쇠가 적절한 것인지 확인해 주는 것은 인증 과정에 개입해 적절한 인증서인지 검증하고 관리하는 인증기관입니다. 이러한 인증 시스템 자체가 무결성을 위한 장치입니다. 

반응형

 

가용성 - Availability 

• 자격 보유 주체가 객체에 적시(timely)에 순조롭게 객체에 접근할수 있도록 하는 원칙
• 위협요소 : 객체파괴, 객체 과다 사용, 자원 과소 배당, 부적절한 보안 정책 등
• 보호 대책 : 캐시 및 중간 공급 시스템 운영, 성능 및 트래칙 모니터링, 시스템 이중화 등, 기밀성과 무결성이 보장되어야 가용성이 보장 될수 있음

마지막으로 가용성(Availability)이란, 이중삼중으로 얽히고설킨 보안장치가 있음에도 언제든 적절한 때에 정보에 접근할 수 있는 성질입니다. 정보 사용이 곧 돈인 세상에서 정보의 가용성을 훼손하려는 위협이 있으면 가용성을 지키려는 노력도 따라야 합니다. 가용성의 반대 개념이 바로 Denial of Service(DoS)인데요. 시스템 사용자가 자신이 필요로 하는 자원을 사용할 수 없는 상태를 의미하기 때문에 언제 어디서든 사용자가 정보를 이용할 수 있어야 하는 가용성과 대조됩니다.

 

CIA 삼자 관계도

• 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability) 세원칙적 요소가 긴밀하게 결합되어 정보보호의 목적과 목표를 실현함을 표현한 삼격형 그림