CIA와 추가 보안 속성: 사고를 무엇이 침해됐는지로 나누기

2026-08-09 정정 — CIA에 인증과 부인방지를 더한 구성을 보편적인 「정보보안 5대 요소」로 단정한 설명을 바로잡았다. Information Security와 Information Assurance를 구분하고 인증·진정성·책임추적성·부인방지의 관계를 다시 정리했다.

CIA는 공통 출발점이고 추가 속성은 출처에 따라 다르다

NIST의 Information Security 정의는 정보와 정보시스템을 보호해 기밀성·무결성·가용성을 제공하는 데 중심을 둔다. 이 글에서는 이 세 속성, 곧 CIA를 기본 틀로 쓴다.

• 기밀성(Confidentiality) — 정보 접근과 공개에 대해 허가된 제한을 유지한다.
• 무결성(Integrity) — 부적절한 정보 수정이나 파괴를 막는다. NIST의 일부 정의는 진정성과 부인방지도 무결성에 포함하므로 이 속성들이 언제나 서로 배타적인 칸은 아니다.
• 가용성(Availability) — 정보에 적시에 안정적으로 접근하고 사용할 수 있게 한다.

한편 NIST 용어집에 수록된 CNSSI 4009 계열 Information Assurance 정의는 가용성·무결성·인증·기밀성·부인방지를 보장하는 보호 조치를 설명한다. 이 출처에서는 다섯 개념을 함께 쓰지만, 이를 모든 정보보안 문맥에 통용되는 고정된 「5대 요소」라고 일반화할 수는 없다. 이 정의만으로 해당 속성들이 다중 사용자 환경의 등장 때문에 차례로 분리됐다는 역사적 인과도 뒷받침되지 않는다.

인증·진정성·책임추적성·부인방지는 같은 말이 아니다

• 인증(Authentication) — 문맥에 따라 용례를 밝혀야 한다. **신원 인증(identity authentication)**은 사용자·프로세스·장치의 신원을 검증한다. NIST 용어집에는 데이터의 출처와 무결성에 확신을 세우는 출처 인증(source authentication)·무결성 인증(integrity authentication) 용례도 함께 실려 있다. 따라서 인증을 신원 확인 하나로만 한정하지 않는다.
• 진정성(Authenticity) — 데이터가 주장된 출처에서 왔거나 진짜이며 검증하고 신뢰할 수 있다는 속성이다. 인증은 그 진정성 또는 신원에 확신을 세우는 절차·보증으로 쓰일 수 있어 서로 밀접하지만, 속성과 절차를 언제나 같은 말로 취급하지는 않는다.
• 책임추적성(Accountability) — 개체의 행위를 그 개체에 고유하게 추적할 수 있는 속성이다. 행위자 추적 가능성은 이 개념으로 보는 편이 정확하다.
• 부인방지(Non-repudiation) — 특정 개체가 한 행위를 나중에 거짓으로 부인하지 못하도록 하는 보증이다. 단순히 로그 한 줄이 남았다는 것과 같지 않으며, 출처와 무결성을 제3자가 검증할 수 있는 증거와 통제가 필요하다.

사고를 속성으로 분류하면 대응 방향이 갈린다

보안 사고를 볼 때 어떤 속성이 침해됐는지로 나누면 원인과 대응 방향을 정리하는 데 도움이 된다. 같은 공격이라도 깨진 속성이 다르면 봐야 할 로그와 막을 지점이 달라진다. 아래 표는 NIST가 정한 사고 분류표가 아니라, 위 정의를 사고에 적용해 본 분석 틀이다.

사고	먼저 볼 속성	이유
DDoS로 서비스 마비	가용성	정상 사용자가 서비스에 적시에 접근하지 못한다.
SQL Injection으로 정보 유출	기밀성	허가되지 않은 정보 공개가 일어난다.
데이터 변조	무결성	정보가 부적절하게 수정된다.
위조한 신원·인증자·토큰을 유효하다고 받아들임	신원 인증	거짓 신원을 검증 단계에서 통과시킨다.
데이터나 메시지가 주장된 출처에서 오지 않음	진정성	출처의 진위를 신뢰할 수 없다.
행위를 특정 개체에 고유하게 연결할 수 없음	책임추적성	누가 한 행위인지 추적할 수 없다.
특정 행위의 주체가 거짓으로 부인해도 반박할 보증이 없음	부인방지	행위의 출처와 무결성을 입증할 근거가 부족하다.

DDoS는 정상 사용을 방해해 가용성을 침해하므로 트래픽과 처리 자원을 봐야 하고(영향을 받는 계층으로 묶어 보는 DoS와 DDoS), SQL Injection을 통한 유출은 기밀성 문제라 데이터 접근 경로와 권한을 본다(페이로드를 던졌는데 아무 반응이 없으면 그 대상은 안전한 걸까).

계정 탈취는 자동으로 신원 인증 실패 한 칸에 들어가지 않는다. 공격자가 훔친 유효 자격증명을 제시해 인증 절차가 설계대로 성공했다면 원인은 자격증명 보호나 세션 관리에 있을 수 있고, 결과는 기밀성·무결성 침해와 책임추적의 혼선으로 나타날 수 있다. 반대로 위조한 신원이나 인증자를 검증기가 유효하다고 받아들였다면 신원 인증 문제로 볼 근거가 생긴다. 한 사고가 여러 속성을 동시에 훼손할 수 있으므로 표의 행을 배타적인 정답으로 쓰지 않는다.

이 글에서 확인한 범위

처음에는 강의에서 배운 다섯 칸을 그대로 정리했다. 이번 정정에서 NIST 공식 용어집으로 확인한 것은 Information Security 정의, 용어집에 수록된 CNSSI 4009 계열 Information Assurance 정의, 그리고 인증의 용례와 각 속성의 관계다. 사고별 매핑은 그 정의를 적용한 내 분석이며, NIST의 공식 사고 분류가 아니다. 이 글에서는 별도의 공격이나 인증 실험을 실행하지 않았다.