기업 정보보호
기업 정보보호에서 기밀성·무결성·가용성이 지키는 것
발행
자료 유출을 막는 기밀성과 승인 없는 변경을 막는 무결성을 구분하면 사고에 맞는 보호 조치를 정하기 쉬워집니다. 가용성은 권한 있는 사람이 필요한 때 정보와 시스템을 이용하도록 지키는 기준입니다. 같은 투자 검토 자료라도 누가 읽는지와 누가 고치는지는 별도로 정합니다. 장애가 발생했을 때 업무를 이어갈 방법까지 정해 두면 보호 범위를 빠뜨리지 않습니다.
기밀성과 열람 권한
기밀성은 허가되지 않은 사람이 정보를 읽거나 전달받지 못하도록 보호하는 성질입니다. 대상은 외부인만이 아닙니다. 예를 들어 외부 투자자에게 사업 소개 자료를 전달할 때는 회사가 공개하기로 정한 내용만 추려 별도 파일로 제공합니다. 직원별 급여나 고객별 계약 조건은 검토 목적에 필요하지 않다면 공유 대상에서 제외합니다. 공유 설정에서는 링크를 받은 누구나 열 수 있는 상태와 지정한 사람만 열 수 있는 상태를 구분해 접근 범위를 정합니다. 암호화는 내용을 읽기 어렵게 만드는 수단이지만 복호화 권한 관리나 이미 전달된 사본의 회수까지 대신하지는 않습니다.
무결성과 변경 승인
무결성은 정보가 허가 없이 바뀌거나 우발적으로 손상되지 않도록 보호하는 성질입니다. 열람과 수정은 별개입니다. 예를 들어 투자 검토 자료의 매출 금액을 수정할 때는 원자료와 대조한 담당자가 변경 이유를 남깁니다. 승인된 판본을 따로 구분해 외부에 전달한 파일과 내부에서 검토 중인 파일을 혼동하지 않도록 관리합니다. 변경 이력은 누가 어떤 값을 바꿨는지 추적하는 근거이며 숫자 자체가 사실임을 증명하는 자료와는 다릅니다. 참고한 공개 백과사전의 소개는 누구나 참여해 문서를 수정하고 발전시킬 수 있는 운영 방식을 설명합니다. 기업 문서에서는 업무 목적에 맞춰 수정 권한과 승인 절차를 따로 정합니다.
가용성과 업무 복구
가용성은 권한 있는 사람이 필요한 때 정보와 시스템에 접근하고 사용할 수 있도록 유지하는 성질입니다. 복구가 판단 기준입니다. 예를 들어 계약 검토에 필요한 자료가 특정 직원의 기기에만 저장되어 있다면 그 기기의 고장이나 계정 잠금으로 업무가 멈추는 상황을 가정합니다. 승인된 담당자가 다른 경로로 사본을 열어 검토를 이어갈 수 있는지 시험합니다. 백업을 만들었다는 기록만으로 복구 가능성을 판단하지 않고 실제 파일이 열리는지와 업무에 필요한 상태인지 확인합니다. 복구 준비에는 어떤 업무부터 다시 시작할지 정하는 과정도 포함됩니다. 복구용 사본에도 업무상 필요한 권한만 부여합니다.
사고 유형에 따른 대응 구분
사고 하나에 문제가 겹칩니다. 외부인이 권한 없이 공유 문서를 읽었다면 기밀성 침해에 해당하지만 문서 내용까지 바뀌었는지는 별도로 확인합니다. 예를 들어 파일을 암호화해 접근을 막는 공격을 받았다면 자료를 다시 열 수 있는지부터 판단합니다. 원본과 다른 내용이 저장되었는지 확인한 뒤 자료가 외부로 빠져나간 흔적도 조사 범위에 포함합니다. 접근을 복구했다고 유출 여부까지 확인된 것은 아니며 백업본이 존재한다고 변경 이력이 복원된 것도 아닙니다. 대응 기록에는 확인된 피해와 아직 확인되지 않은 항목을 나누어 남깁니다.
대표와 현장 책임자의 운영 기준
보안은 경영 의사결정에도 속합니다. 참고 자료의 경영교육 안내에서는 기업의 핵심 중간관리자를 차세대 경영자 양성의 대상으로 설명합니다. 기업 내부의 보안 교육도 이처럼 대표의 관심에만 머무르지 않고 현장 책임자가 실제 공유 요청과 장애 상황을 판단할 수 있는 운영 기준으로 이어질 때 업무에 적용됩니다. 대표는 외부에 공개할 자료의 범위와 업무 중단을 감당할 기준을 정하고 현장 책임자는 그 결정에 맞춰 문서 권한과 복구 절차를 관리합니다. 경영자 교류 자리에서는 협업의 목적을 먼저 설명하되 내부 원자료를 통째로 전달하지 않는 방식으로 대화와 자료 공개의 경계를 나눕니다. 추가 정보가 필요한 경우에는 공유 목적과 받는 사람을 기록하고 별도 승인을 거쳐 전달합니다.
핵심 요약
- 외부 전달 자료는 교류 목적에 필요한 내용을 추려 별도 파일로 구성합니다.
- 변경 기록을 추적하는 일과 문서 내용이 사실인지 검증하는 일은 서로 다른 확인 과정입니다.
- 복구용 사본은 보관 여부보다 실제 업무를 재개할 수 있는지로 평가합니다.
- 경영진의 공개 범위 결정이 현장의 권한 설정으로 이어지도록 책임과 절차를 연결합니다.
자주 묻는 질문
암호화만 적용하면 정보보호가 끝나나요?
아닙니다. 암호화는 권한 없는 사람이 내용을 읽기 어렵게 만드는 수단입니다. 문서를 고칠 권한과 변경 승인 절차는 별도로 관리합니다. 장애가 발생했을 때 자료를 복구해 업무를 이어가는 과정도 검증 대상에 포함됩니다.
직원이 실수로 값을 바꾼 경우도 무결성 문제인가요?
그렇습니다. 잘못 입력한 값이나 저장 중 손상된 내용도 무결성 관리의 대상입니다. 변경 전후 기록으로 발생 지점을 추적하고 원자료와 대조해 수정할 내용을 판단합니다.
백업이 있으면 가용성도 확보된 건가요?
백업의 존재만으로는 판단하지 않습니다. 복구 시험에서는 승인된 담당자가 필요한 환경에서 사본을 열고 업무를 재개합니다. 이 시험이 판단 근거입니다. 복구용 사본에도 접근 권한을 적용합니다.
외부 인맥과 자료를 공유할 때 무엇부터 정하나요?
교류 목적에 필요한 정보와 공개하지 않을 정보를 먼저 구분합니다. 친분과 자료 접근 권한은 별개입니다. 추가 자료는 받는 사람과 사용 목적을 기록한 뒤 내부 승인 기준에 따라 전달합니다.
참고한 자료
- 공공·전문기관KAIST AIC
- 백과정보 보안 - 위키백과 한국어
— 한국미래사업학교 · miraeschool.kr