'표준 절차론 부족해' 미션 크리티컬 정보 보호 5단계

기업내 데이터가 폭발적으로 증가하면서 데이터 보안은 마치 불가능한 일처럼 보일 수 있다. 하지만 데이터의 가치를 인정하고 가장 중요한 미션 크리티컬 정보 자산을 보호하는 데 관심을 집중한다면 이 어려운 일도 해낼 수 있을 것이다.


Image Credit: Getty Images Bank

22일 비영리단체인 ISF(Information Security Forum)는 이런 어려움에 처한 기업을 위해 ‘크라운 주얼 보호하기: 미션-크리티컬 정보 자산 보호 방법’ 보고서를 공개했다. ISF의 전무 이사 스티브 더빈은 “기업은 미션 크리티컬 정보 자산 보호를 우선시해야 한다. 기업은 이 자산의 가치를 알고 있지만 전 세계적 보안 위협에 이들 데이터가 얼마나 노출돼 있는지는 정확히 파악하지 못한다"라고 말했다.

표준 보안 프랙티스로는 부족하다
더빈에 따르면, 전통적인 방식의 보안 통제는 미션 크리티컬 정보 자산에 대해 적절하고 충분한 보호를 제공하지 못하는 경우가 대부분이었다. 그는 "기업의 정보 자산의 가치를 이해하고 누가 여기에서 혜택을 얻는지 이해함으로써 정보의 순위를 매기고 각 자산에 맞는 효과적 보호를 제공할 수 있다"라고 말했다.

ISF의 새로운 보고서는 포괄적이고 균형 잡힌 보호를 구현하는 방법을 찾기 위해 구조화된 프로세스인 'ISF 프로텍션 프로세스'를 활용한다.

미션 크리티컬 정보 자산 식별하기
기업의 미션-크리티컬 정보 자산을 보호하기 앞서 어떤 것이 미션-크리티컬 정보 자산인지 알아야 한다. 더빈은 “기업이 가진 모든 정보에 대해 기업에 실제로 중요한 것은 무엇인지 자문해 봐야 한다. 이들 정보 자산은 언제나 미션 크리티컬한 속성을 가진다는 점을 명심해야 한다"라고 말했다.

예를 들어 하인즈(Heinz)같은 회사에게는 케첩 레시피가 미션-크리티컬한 정보 자산일 것이다. 애플에게는 아이폰의 청사진이 미션-크리티컬 정보 자산이 될 수 있다. 하지만 다른 미션-크리티컬 자산은 오직 한시적으로 중요할 수 있다. 새로운 아이폰의 마케팅 계획은 출시까지는 미션-크리티컬 하지만 출시 이후에는 그 정보를 지킬 중요도가 떨어지고 더 이상 미션-크리티컬한 성격을 갖지 않는다.

더빈이 제시한 또다른 예는 인수합병(M&A)이다. 그는 “M&A 초기 단계에서 이사회는 인수에 대해 이야기하는데 이는 아마 미션-크리티컬 하지 않을 것이다. 하지만 결정에 가까워질수록 수많은 사람의 이익이 달린 다양한 정보가 생기게 된다. 이사들은 아마도 중요한 자료를 그들의 노트북에 보관할 것이다. 어떻게 이 정보를 기업과 최종사용자 모두에게 수용 가능한 방식으로 보호할 것인가? 이 사례에서 문제는 모든 이가 아니라 이사들에게 국한된다”라고 말했다. ISF 프로텍션 프로세스의 이 단계에서는 다음 사항을 수행해야 한다:

- 미션-크리티컬 자산이 무엇인지 규정하기
- 잠재적 미션-크리티컬 자산을 기업에 대한 가치와 유출될 경우 잠재적 영업 영향에 기반해 식별하기
- 승인된 미션-크리티컬 정보 자산의 기록을 유지하기


주요 위협 요소 산정하기
미션-크리티컬 정보 자산을 식별한 다음 단계는 그 자산에 대한 위협을 산정하는 것이다. 더빈은 “애플 마케팅에 누가 손을 뻗고 싶을까? 해커? 경쟁사? 언론? 국가는 아마 아닐 것이다”라고 말했다.

따라서 누가 미션-크리티컬 정보 자산을 노릴 수 있는지 판단하면 이를 어떻게 보호할지 결정하는 데 도움이 된다. 기업 비밀을 훔치고 싶은 경쟁사에 대비해 방어하는 일은 심각한 사이버 공격을 감행하려는 극단주의자 그룹에 대비해 방어하는 것과 다른 접근방식을 취해야 한다. ISF 프로텍션 프로세스의 이 단계에서는 다음 사항을 수행해야 한다:

- 미션-크리티컬 정보 자산에 대한 주요 적대적 위협 조사하기
- 미션-크리티컬 정보 자산을 표적화할 가능성이 높은 위협 이벤트 식별하기
- 각 미션-크리티컬 정보 자산에 대한 노출 수위 평가하기

필요한 보호 조치 결정하기
미션-크리티컬 자산이 무엇이고, 누가 이를 노릴지 이해했다면 각 자산에 어떤 유형의 보호 조치가 필요한지 결정할 수 있다. 보안 프로그램은 직접적으로 그 자산에 연결해야 하지만 그 정보를 매 단계에서 처리하는 사람도 연결돼야 한다고 더빈은 지적했다. ISF 프로텍션 프로세스의 이 단계에서는 다음 사항을 해야 한다:

- 미션-크리티컬 정보 자산 보호를 위한 가능한 접근방식 이해하기
- 미션-크리티컬 정보 자산 보호를 위한 목표 규정하기
- 미션-크리티컬 정보 자산 보호를 위한 필요한 접근방식 선택하기
- 선택된 보호 접근방식에 필요한 보안 통제와 솔루션 식별하기

주요 적대적 위협에 맞서 싸우기
자산에 필요한 보호 조치를 결정한 이후에는 능동적 방어를 해야 할 차례다. 더빈은 "위협에 어떻게 맞서 싸울 수 있는지, 보안 아키텍처와 프레임워크를 어떻게 재구성할 수 있는지 살펴봐야 한다. 가장 중요한 것은 이 식별단계를 거치는 것이다. 바로 이 지점에서 많은 기업이 헤매기 시작한다"라고 말했다. ISF 프로텍션 프로세스의 이 단계에서는 다음 다섯 단계의 사이버 공격 체인에 걸쳐 예방적이고 감지적인 보안 제어 절차를 제공한다:

- 정찰 수행
- 접속 취득
- 제어 유지
- 정보 침투
- 정보 탈취

그는 "긴급한 위협 이벤트를 알려주는 초기 경보 시스템을 통해 이런 위협에 대항하는 엔드-투-엔드 제어 체계를 갖출 수 있다"라고 덧붙였다.

정보 주기 보호하기
정보는 자체적으로 주기를 갖고 있다. 더빈이 M&A 사례에서 설명한 것처럼 정보 자산의 중요도는 그 주기에 따라 다를 수 있다. 정보 자산의 주기를 이해하고 각 단계에서 적절한 보호와 제어를 제공하는 것이 중요하다.

ISF 프로텍션 프로세스의 이 단계에서는 근원적이고 향상되고 특화된 제어를 정보 주기에 걸쳐 적용한다. 더빈은 "주기에 걸쳐 미션-크리티컬 정보 자산 보호하는 것이 잠재적 격차를 줄이고 포괄적으로 엔드-투-엔드 보호를 강화한다"고 말했다. ciokr@idg.co.kr