급여 파일의 세 가지 사고는 같은 문제가 아니었다
가상 이야기 · 핵심노트 기반
핵심노트 개념: 보안의 세 목표 — 기밀성·무결성·가용성을 지킨다
이 글에서 배우는 교훈
기밀성·무결성·가용성은 각각 허가된 열람, 올바른 정보 유지, 필요한 때의 이용이라는 다른 목표입니다.
핵심노트를 바탕으로 만든 가상 이야기입니다. 실제 사건이나 검증된 성과가 아닙니다.
근거: 보안의 세 목표 — 기밀성·무결성·가용성을 지킨다 · 핵심노트 1
구체적으로는 회사는 급여 열람, 지급 계좌 변경, 지급일 중단을 각각의 피해로 나눠 접근·변경·복구 대책을 정했습니다.
관련 교재 내용
정보보안 이해와 활용 · I. 정보보안 개념 · 기밀성·무결성·가용성
정보를 허가 없이 보지 못하게 하고, 무단 변경을 막으며, 필요할 때 사용할 수 있게 하는 세 목표를 다룹니다.
이 사례에 적용한 내용: 회사는 급여 열람, 지급 계좌 변경, 지급일 중단을 각각의 피해로 나눠 접근·변경·복구 대책을 정했습니다.
교재 원리의 실무 적용 · 교재 원문 인용이 아닌 자체 설명입니다.
본문
회사는 급여 시스템의 비밀번호를 강화했으니 안전하다고 생각했습니다. 점검에서 동료 급여를 조회할 수 있는 권한 오류, 지급 계좌를 검토 없이 바꿀 수 있는 기능, 지급일 장애 때의 복구 미준비가 각각 발견됐습니다. 비밀번호가 강해도 이 세 문제는 남아 있었습니다.
팀은 허가받지 않은 급여 열람을 막아 기밀성을, 계좌 변경 승인과 이력으로 무결성을, 지급 업무의 대체 절차와 복구 시험으로 가용성을 점검했습니다. 급여를 계산하는 사람과 계좌 변경을 승인하는 사람이 누구인지도 업무에 맞춰 정했습니다.
결론
같은 시스템에서도 정보가 새는 것, 값이 잘못 바뀌는 것, 필요할 때 못 쓰는 것은 피해와 대책이 다릅니다. 보안 목표를 나누면 한 제품이나 한 설정으로 모든 준비가 끝났다고 오해하기 어렵습니다.