[Tech Report] 위험관리 관점에서의 보안관제 서비스

지난 2009년은 그 전 해 가을 무렵부터 시작된 미국발 세계 경제 위기로 암울한 분위기 속에서 새해를 맞이했다. 그 당시 세계적인 금융 중심지로 대표되는 월스트리트(Wall Street)의 금융기관들의 파산, 매각 소식이 연일 뉴스를 뒤덮었다. 2009년 1월, 영국의 한 유력한 경제 전문지 파이낸셜 타임즈((Financial Times)가 2009년에 대한 전망을 'Uncertainty(불확실성)'이라는 한 단어로 표현했다.
이후 언론들은 경제 위기를 언급하면서 'Uncertainty(불확실성)'과 함께 '위험(Risk)'이란 단어를 즐겨 사용하기 시작했다. 이들 두 단어는 통상적으로 동일한 의미로 받아들여 졌는데, '위험'이라는 표현은 일상 생활에서도 미래에 부정적인 사건이 발생할 가능성에 대한 표현으로 주로 사용되었다

이 글에서는 IT보안에서 '위험(Risk)'이라는 단어가 가지는 의미를 살펴보고 더 나아가 '위험관리(Risk Management)' 관점에서의 IT 보안을 개략적으로나마 설명하고자 한다.

위험관리의 기원 및 정의

글의 서두에서 짐작 할 수 있듯이, '위험관리'의 개념은 정보기술(IT) 고유의 개념이 아닌 금융(재무)분야에서 유래했다.
1600년대 '핼리혜성'으로 알려진 천문학자 에드먼드 핼리(Edmund Halley, 1656~1742)가 사망률 측정을 위해서 통계적 분석으로 출발한 것이 후에 생명보험회사의 보험통계표 개발에 영향을 미친 것이 기원이다. 이후 1960년대 재무분야에서 정량적 모델이 개발되었으며, 1970년대에 들어서 '위험관리(Risk Management)'라는 용어가 일반화 되었다.

그리고 1990년대 정보시스템이나 내부통제의 결함으로 인하여 예상치 않은 손실이 발생되는 위험을 의미하는 'Operational Risk' 개념이 도입되면서 오늘날의 '위험관리' 개념에 이르게 되었다.
'위험관리'에 대한 일반인들에 대한 인식은 '나쁜 결과'의 의미로 생각하는데, 그 외 재무, 통계 분야 전문가들은 '미래 발생할 일에 대한 확률 분포' 개념으로 받아들인다.

위험관리의 이해를 위해서는 위험관리를 구성하는 몇 가지 요소들에 대한 인지가 필요하다.
현재까지 정립된 위험관리의 접근법은 자산(Asset), 취약점(Vulnerability), 위협(Threat) 등 3가지 요소에 기반한 것으로 각 요소의 의미는 다음과 같다.

- 자산(Asset): 기관 또는 기업의 소유로 통제할 수 있으며, 목적 달성을 위한 가치 있는 자원
- 취약점(Vulnerability): 자산이 가지고 있는 문제점 또는 미비점
- 위협(Threat): 자산의 가치를 감소시킬 수 있는 인위적 행위 또는 자연현상
- 위험(Risk): 취약점을 이용하거나 직접적으로 위협이 발생하여 자산에 악영향을 줄 수 있는 가능성
- 위험관리(Risk Management): 경영활동에 따르는 여러 가지 위험을 최소 비용으로 최대한 막는 체계적 조치(경제)

한편 위험관리의 올바른 접근을 위해서는 위협(Threat), 취약점(Vulnerability), 자산에 대한 심각도(Criticality)를 축으로 체계적인 접근방법이 요구되는데 이에 대해서 GAO(Government Accounting Office, 미국 정보회계감독국)가 제시한 개념적 접근법은 다음 그림과 같다.

 

[그림 1] 위험관리 접근법(Risk Management Approach, Source: GAO analysis)

자산, 취약점, 위협, 위험의 일상 사례

위험관리에 대한 이해를 위해서 일상 생활의 예를 들어보자,
집중적인 호우로 인하여 지하철역이 침수되어 시민들이 불편을 겪었는데, 침수의 주원인은 배수시설 미비 및 지하철역이 상대적으로 낮은 지형에 위치해 있었기 때문이다.
위 예시에서 자산, 위협, 취약점, 위험, 위험관리를 다음과 같이 구분할 수 있다.

 

IT 보안에서 위험관리

IT 보안 담당자들이 자신들의 시스템이 침해를 당한 징후가 있거나 또는 침해를 당한 경우 다음과 같은 사항을 확인하면서 피해를 확인한다.

  1) 어떤 해킹 방법을 이용하여 공격하고 있는가?
  2) 어떤 시스템을 공격하고 있는가?
  3) 공격 대상이 되는 시스템에 취약점은 없는가?
  4) 예측되는(또는 파악된) 시스템의 피해 규모는 얼마인가?

위 사항을 확인하면 자연스럽게 공격 대상 시스템의 피해 정도를 파악할 수 있는데, 이러한 일련의 과정을 자연스럽게 위험관리의 각 요소로 연결시킬 수 있다.

 

1) 어떤 해킹 방법을 이용하여 공격하고 있는가?	위협
2) 어떤 시스템을 공격하고 있는가?	자산
3) 공격 대상이 되는 시스템에 취약점은 없는가?	취약점
4) 예측되는(또는 파악된) 시스템의 피해 규모는 얼마인가?	위험

 

▶ 위협 평가 - 위험관리의 첫 번째 단계

- 어떤 해킹 방법을 이용한 공격들이 수행되는가?

IT 보안 분야에서 '위협'은 해커가 응용하고 있는 공격 방법을 의미한다. SQL Injection Attack, Cross-Site Scripting(XSS) Attack 등과 같은 웹 어플리케이션을 대상으로 하는 위협, 인터넷 상의 좀비 PC를 동원한 분산 서비스 거부(DDoS: Distributed Denial of Services) 공격과 같은 네트워크 위협 등 IT보안이 생겨난 이후 수많은 위협들이 발전하고 사라졌다.
보안 위협에 대한 평가는 위험관리 과정에서 가장 먼저 수행되는 것이 바람직하다. 이유는 내/외부의 위협의 종류, 규모, 심각도에 따라서 어떠한 보안정책을 우선 수립하고 자원을 할당하여 추진 할 것인지를 의사결정 과정에서 핵심에 해당되기 때문이다.
예를 들어, 운영중인 쇼핑몰 웹 애플리케이션에 존재하는 취약점을 악용한 공격으로 인해 웹사이트가 변조되고 악성코드 유포지로 악용되는 상황에서 DDoS 위협에 대비한 계획을 수립하는 것은 위협 평가 과정이 생략된 데서 발생한 심각한 의사결정 상의 오류이다.

▶ 취약점 관리 - 위협에 악용될 수 있는 약점을 식별
- 우리 시스템에는 어떠한 취약점들이 존재하는가?

취약점 관리는 위협의 대상이 되는 시스템들에 대해서 위협의 직접적인 대상이 되는 약점을 식별하고 이를 보완하는 일련의 과정을 의미한다.
인터넷 상의 위협들이 시스템에 직접적인 영향을 미치기 위해서는 수행되는 위협에 유효한 취약점이 대상 시스템에 존재해야 한다는 전제가 있어야 가능하다.
취약점 관리는 위험관리의 다른 요소들에 비해서 '관리(Management)'의 성격이 강조되는 특성이 있는데, 이는 시간이 지남에 따라 지속적으로 새로운 취약점이 발견되어 주기적으로 새로운 취약점을 찾아내어 제거하는 활동이 뒤따르지 않으면 신규 취약점을 악용한 위협에 그대로 노출되는 결과를 초래하기 때문이다.

▶ 자산 식별 - 시스템 용도 및 중요도 분류
- 어떠한 시스템들은 우선 보호해야 하는가?

자산의 식별은 기업의 비즈니슨 가치를 고려하여 보호의 우선순위를 정하는 과정으로 정의할 수 있다.
자산의 효과적인 식별을 위해서는 우선 자산의 분류체계를 수립한 후 현재 보유하고 있는 자산을 분류체계에 맞추어 자산을 수립된 분류체계에 맞추어 분류하여 평가를 위한 사전단계를 준비를 한다.
이후 보호하고자 하는 자산의 우선순위를 정하기 위해서 평가 과정을 거치게 되는데, 일반적으로 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability) 등 세 가지 기준으로 평가한다.

기밀성(Confidentiality)의 경우 허가된 객체에게만 조회가 가능하고 제 3자에게는 조회가 불가능 함을 보장하는 성질로, 기밀성이 보장되어야 하는 정보는 암호 알고리즘을 적용하는 경우가 일반적이다.
무결성(Integrity)은 시스템에 저장된 데이터, 문서 등의 정보 자료가 위조 또는 변조로부터 보호되어야 하는 성질을 의미한다. 이러한 경우는 데이터베이스 내에 저장된 데이터가 주 대상이 된다.
가용성(Availability)은 정보에 대한 접근과 사용이 적시에 보장되는 성질을 의미하며, 중요 네트워크 구간의 라우터, 스위치 등과 같은 네트워크 장비에 특히 요구되는 성질이다.

▶ 위험관리 - 위협, 취약점, 자산의 관계의 정량화를 통한 보안수준의 측정

위험관리는 앞서 위험에 대한 정의에서 언급한 바와 같이 미래에 발생 할 일에 대한 확률을 최소화 하는 활동이다. 이를 위해서 위협, 취약점, 자산의 관계를 각 기업의 보안정책에 맞도록 정량화하고 측정한 후 결과에 대한 의사결정을 통해서 일정 수준으로 위험을 유지하거나 축소하는 일련의 과정을 수반하도록 한다.
측정된 위험수준(보안수준)에 대한 올바른 의사결정을 위해서는 위험이 실현되었을 경우를 가정한 손실을 산출할 수 있어야 한다. 또한 해당 위험을 최초화 하기 위한 활동에 소요되는 비용을 비교하여 기업의 환경에 맞는 최적의 보안 대책을 선택하고 수립해야 한다.

위험관리 중심의 IT 보안관리의 기대효과

마지막으로 지금까지 살펴본 위협, 취약점, 자산 및 이들을 바탕으로 위험을 산출하고 관리하는 것이 기업에게 주는 이득이 무엇인지 살펴보면 다음과 같다.

▶ 신속한 의사결정을 위한 높은 차원의 시각(High-Level View) 제공

기업의 일상은 의사결정의 연속이라고 표현해도 지나치지 않을 만큼, 기업의 내부에서는 하루에도 수많은 의사결정이 이루어지며 때로는 의사결정의 신속성 및 정확성이 비즈니스의 성공과 실패를 좌우하는 경우도 흔히 볼 수 있다.
대량의 분산 서비스 거부 공격이 진행되어 기업의 네트워크, 시스템이 정상적으로 운영되지 않는 상황이 발생했다고 가정해 보자. 이런 상황에서는 위협(공격)의 유형, 위협의 대상이 되는 자산(네트워크 또는 시스템)의 식별 및 취약점의 유무를 파악하여 최종적으로 피해(위험)의 규모를 산출하고 피해 규모를 최소화하기 위한 대응책을 마련해야 한다. 이 때 위협, 자산, 취약점, 위험 등을 높은 차원에서 종합적으로 파악할 수 있는 시각(View)을 보유하고 있다면 신속하고 정확한 의사결정이 가능하다.

▶ 일관된 IT 보안 정책 유지 및 보안수준 측정기준 마련

기업에서 정보기술의 중요도가 높아질수록 각종 법규, 규정 준수에 대한 요구사항이 높아지는 상황에서, 이들 법규 및 규정들이 요구하는 공통된 사항 중에 하나가 지속적인 관리이다.
또한 각 기업은 자신의 실정에 적합한 보안정책을 수립하고 이에 의한 지속적인 관리로 인해서 기업의 보안수준이 향상되고 있음이 측정 가능해야 한다. 이를 위해서 무엇보다 중요한 것이 일관적 정책 관점을 유지하는 것이다.
위험관리 관점에서의 IT보안은 위협, 취약점, 자산을 주요 구성요소로 일관된 보안 정책을 유지할 수 있도록 해주며, 이를 바탕으로 기업 보안수준의 변화를 측정할 수 있는 기준을 마련할 수 있다.

지금까지 위험관리(Risk Management) 관점에서의 IT 보안에 대해 살펴보았다. 이 글을 통해 위험관리에 적극적으로 대처하는 것이 기업의 비즈니스 연속성 및 성공을 이룰 수 있는 방법임을 다시 한번 되새겨주기를 바란다.@