자산·주체·객체와 CIA

누구의 어떤 행동으로 무엇을 보호하는가

보안은 방화벽이나 암호화 제품의 목록이 아니다. 직원, 프로그램, 외부업체처럼 행동하는 주체가 고객정보, 계정, 서비스 같은 객체에 어떤 일을 할 때 무엇이 훼손될 수 있는지를 먼저 본다. 보호목표를 나누면 같은 사고가 왜 다른 피해를 만드는지 설명할 수 있다.

주체·객체와 CIA

주체는 자원에 행동을 요청하거나 수행하는 사람·프로세스·장치이고 객체는 그 행동의 대상인 데이터·기능·시스템이다. 기밀성(confidentiality)은 허가되지 않은 공개를 막고, 보안 무결성(integrity)은 부적절한 변경이나 파괴를 막으며 정확성과 완전성을 지킨다. 비인가 변경뿐 아니라 허가된 담당자의 잘못된 입력·처리로 업무 규칙을 어긴 변경도 무결성 문제로 살펴야 한다. 가용성(availability)은 허가된 사용자가 필요할 때 자원과 기능을 이용할 수 있게 하는 보호목표다.

주문정보 한 건을 세 관점으로 보기

다른 고객이 주문주소를 읽으면 기밀성 침해, 공격자가 배송지를 바꾸면 무결성 침해, 주문조회가 장시간 멈추면 가용성 침해다. 보호목표에 따라 통제도 다르다. 암호화는 노출을 줄이고, 변경검증과 승인기록은 무결성을 돕고, 중복구성과 복구절차는 가용성을 돕는다. 각 목표의 업무피해와 허용한계를 먼저 정한다.

CIA를 체크표시로 끝내지 않는다

모든 자산에 세 목표가 같은 중요도를 갖는 것은 아니다. 공개 공지의 기밀성보다 무결성과 가용성이 중요할 수 있다. 보호할 객체, 주체의 허용행위, 위반 시 피해와 통제 증적을 연결하지 않으면 CIA 확보는 검증할 수 없는 문장이 된다.

주체의 행동에서 보호목표와 증거까지

상자 안의 대상과 화살표의 조건을 함께 읽으세요. 좁은 화면에서는 같은 관계를 세로로 재배치한 도식을 보여 줍니다.

누가 어떤 조건에서 객체를 읽고·변경하고·실행하고·삭제하는지 먼저 정한다. 주소의 비인가 열람, 비인가 배송지 변경, 허가된 조회의 중단은 각각 다른 실패다. 최소 열람범위·변경검증/승인·장애전환/복구의 증거를 대조하고 자산별 우선순위를 재평가한다.

보호목표는 객체 이름만 보고 정하지 않는다. 같은 고객정보라도 상담원이 업무에 필요한 항목을 읽는 것은 허용될 수 있지만 임의 수정은 막아야 하고, 사고조사 때는 정해진 시간 안에 기록을 이용할 수 있어야 한다. 따라서 누가–무엇에–어떤 행동을–어떤 조건에서 수행하는지를 먼저 적고, 각 행동이 실패했을 때 생기는 피해를 CIA에 연결한다.

세 보호목표를 같은 축으로 비교한다

암호화했으므로 무결성도 확보했다처럼 한 통제 이름을 세 목표에 자동 확대하지 않는다. 통제가 제공하는 속성과 운용조건을 확인하고, 객체별 우선순위와 허용한계를 별도로 적는다.

한 목표를 높일 때 다른 목표와 업무가 어떻게 달라지는가

모든 열람을 여러 번 승인하게 하면 기밀성 통제는 강해질 수 있지만 긴급업무의 가용성을 해칠 수 있다. 변경을 빠르게 허용하면 업무 대응은 쉬워지지만 무결성 검증과 책임추적이 약해질 수 있다. 반대로 장애 때 누구나 우회계정으로 접속하게 하면 서비스는 살아 있어도 기밀성과 무결성이 무너진다.

판단할 때는 보호할 객체, 피해의 크기와 회복 가능성, 업무시간, 허용할 행동, 우회·복구 조건을 함께 둔다. 절충은 한 목표를 포기하는 선언이 아니라 정상·비상 상황별 통제와 승인권한을 다르게 설계하고, 우회가 끝난 뒤 권한 회수와 사후검증까지 정하는 일이다.

실무 사례: 세 자산의 우선순위를 다르게 정하기

온라인 주문 서비스의 세 객체를 분리해 보자.

세 객체를 중요정보 한 줄로 묶으면 필요한 통제가 보이지 않는다. 담당자는 객체별 허용행위와 실패피해를 표로 만들고, 실제 권한·변경·장애 시험 결과가 그 판단을 뒷받침하는지 확인한다. 채택하지 않은 대안도 남긴다. 예를 들어 모든 운영자에게 전체 배송주소 조회를 허용하는 안은 편하지만 노출범위가 커서 제외하고, 업무별 최소 필드만 제공한다.

다른 객체에 스스로 적용해 보자. 누구나 읽도록 공개한 휴무 공지에서 외부인이 날짜를 몰래 바꾸었고, 고객 배송주소 시스템에서는 허가된 담당자도 조회하지 못한다고 하자. 첫 사건은 원래 공개를 허용했으므로 단순 열람의 기밀성 침해가 아니라 허가되지 않은 날짜 변경의 무결성 침해다. 둘째는 주소가 유출되지 않았더라도 필요한 조회를 못 하는 가용성 침해다. 공지를 암호화해 일반 독자의 열람을 막거나, 배송주소를 누구에게나 열어 중단을 해결하는 답은 다른 목표와 허용행위를 훼손한다. 주체·객체·행동부터 다시 적고 변경권한·검증과 허가된 조회의 복구를 각각 연결한다.

가격규칙을 변경할 권한이 있는 담당자가 정상 가격 10,000원을 실수로 1,000원으로 저장했다고 하자. 스스로 주체·객체·행동을 적고, 권한검사가 통과했다는 사실만으로 이 변경을 안전하다고 판단할 수 있는지 설명해 보자. 변경값을 검증하는 통제와 그 통제가 작동했다는 증거도 각각 하나씩 제시한다.

가격 변경 사례의 판단 확인

담당자는 허가된 주체지만 가격규칙을 잘못 바꾸었으므로 무결성 문제다. 권한검사는 변경자의 자격을 확인할 뿐 가격의 타당성까지 증명하지 않는다. 예를 들어 큰 할인율을 별도 승인 대상으로 두고 배포 전 기대 가격과 대조한다. 검증·승인 결과와 변경 전후 값이 해당 요청에 연결되어야 통제가 실행됐는지 확인할 수 있다.

시험에서는 무엇을 요구하는가

정보시스템 보안에서 주체와 객체를 정의하고, 기밀성·무결성·가용성의 차이와 자산별 적용방안을 설명하시오.

정의는 주체·객체와 CIA 각각의 경계를 정확히 쓰라는 요구다. 차이는 같은 축의 비교표가 필요하다는 뜻이고, 적용방안은 자산–허용행위–피해–통제–증거를 연결하라는 뜻이다. 제품 이름만 나열하거나 CIA 세 글자만 풀어 쓰면 적용방안이 빠진다.

풀이 방향과 모범답안 보기

답안 목차

1. 주체·객체와 보호행동의 정의
2. CIA의 의미와 실패상태 비교
3. 자산별 우선순위와 허용행위
4. 예방·탐지·대응·복구 통제
5. 결정·실행·복구 증거와 재평가

답안에 그릴 도식

주체·객체·CIA 연결 그림에 주체의 허용조건·행동을 붙인다. 공개 피해·통제는 기밀성, 변경 피해·통제는 보안 무결성, 중단 피해·통제는 가용성으로 구분한다. 시험·로그·복구 증거를 대조한 결과로 우선순위를 재평가한다.

모범답안

주체는 데이터·기능·시스템에 행동을 요청하거나 수행하는 사람·프로세스·장치이고, 객체는 그 행동의 대상이다. 보안은 주체의 허용행위를 객체별로 정하고, 비인가 공개를 막는 기밀성, 비인가 행위와 처리 오류에 의한 부적절한 변경·파괴를 막는 무결성, 허가된 사용자가 필요할 때 이용하게 하는 가용성을 보호하는 활동이다.

세 목표는 자산마다 같은 비중을 갖지 않는다. 고객 배송주소는 열람범위와 변경권한을 제한하고 기록해 기밀성과 무결성을 보호한다. 가격규칙은 승인·변경검증·복구본으로 무결성을 우선한다. 주문접수는 과부하 통제·장애전환·복구시험으로 가용성을 확보하되 중복·잘못된 주문을 막아 무결성도 지켜야 한다. 따라서 답안은 자산–주체–행동–피해–CIA–통제–증거를 연결하고, 정상·비상 상황의 절충과 우회 뒤 권한회수까지 제시해야 한다.

한 번에 되찾기

주체는 행동자, 객체는 보호대상이다. CIA는 허가되지 않은 공개와 부적절한 변경·파괴를 막고 필요할 때 이용 가능하게 하는 보호목표이며, 자산별 피해와 허용행위에 맞춰 우선순위를 정한다.

정의의 근거

NIST FIPS 199의 보안목표는 무결성을 부적절한 변경·파괴의 방지로 설명한다. 여기서는 CIA 정의의 범위를 확인하는 자료로 사용하며, 미국 연방 기준이 이 주문 서비스에 법적으로 적용된다는 뜻은 아니다.