지난 시간에는 보안 위험 분석 방법론의 장단점과 앞으로의 발전 방향에 대해 알아보았는데요. 오늘 이 시간에는 연재기획 5편으로 물리 보안의 발전 동향에 대해 살펴보겠습니다.

점점 더 중요해지는 ‘물리 보안’

물리 보안이란 물리적 보안 통제 수단을 적용하여 사람•물품•차량 등의 물리적인 위협 수단으로부터 정보•인명•시설을 보호하는 것을 의미합니다. 즉 인가자•비인가자의 출입 관리, 천재지변으로부터의 시설 보호, 방범 관리 등 모든 물리적 위협에 대해 보안을 지키는 것이죠.

전통적으로 보안은 ‘물리 보안’과 ‘정보 보안’으로 구분되어 따로 발전해 왔는데요. 과거에는 정보 보안의 중요성으로 인해 물리 보안의 중요성을 낮게 보는 경향이 있었습니다. 그러나 최근 가장 기초가 되는 물리 보안이 취약하면 다른 보안들의 안정성도 보장할 수 없다고 인식되기 시작했습니다.

2014년 초에 발생한 모 카드사의 개인 정보 유출 사고는 데이터를 지키는 보안 시스템의 문제라기 보다는 협력사 직원이나 내부 직원에 의한 유출 때문에 발생한 문제였습니다.

소프트웨어적인 보안이 완벽해도 물리적인 보안이 빈약하면 직접적인 정보의 이동은 자유롭게 이루어질 수 있는데요. 다시 말해 물리 보안이 제대로 성립되었을 때, 비로소 다른 보안의 완성도도 높아지는 것입니다.

‘융합 보안’, 왜 등장하게 되었나?

특히 산업 기밀 보호와 같은 보안 이슈는 물리 보안 혹은 정보 보안 어느 한 가지만으로는 해결하기 어렵습니다. 또한 IT 보안 산업 트렌드가 ‘통신상의 정보 보호’에서 ‘개인 및 사회의 안전’으로 빠르게 진화하면서 정보 보안의 개념은 컴퓨터 및 네트워크 수준의 보안을 넘어섰는데요. 즉 사회 전반의 보안으로 확장되고 있다고 할 수 있습니다. 

그 결과 보안 산업 영역이 단순한 정보 보안에서 물리 보안 및 융합 보안 분야까지 급속하게 확대되며 물리 보안의 중요성이 날로 높아지고 있습니다. 즉, 효과적이고 효율적인 보안을 위해서는 물리 보안과 정보 보안이 모두 필요한데요. 이것이 바로 ‘융합 보안’이 출현하게 된 이유 중 하나라고 볼 수 있습니다.

융합 보안이라는 용어는 2008년 지식경제부(현, 산업통산자원부)에서 발표한 ‘Securing Knowledge Korea 2013’에서 기존 정보 보호 산업을 지식 정보 보안 산업으로 재정의하면서 등장했습니다. 지식 정보 보안 산업을 정보•물리•융합 보안으로 세분화하는 과정에서 태생된 용어인데요. 지식경제부에서는 이를 ‘물리 보안과 정보 보안 간의 융합 또는 보안 기술이 비IT 기술과 융•복합 되어 창출되는 보안 제품 및 서비스’로 정의하고 있습니다.

‘물리 보안’, 통합 보안 관제 모델로 변화하다!

현재 기업의 보안 니즈는 재물, 재화의 도난 방지에서 정보 자산의 유출 방지까지 확대되고 있습니다. 또한 사생활 보호, 건강, 환경, 에너지까지 보안을 지키고자 하는 대상으로 부각되기 시작했습니다. 그리고 발생 가능한 위협이 복합화된 형태로 발생하고 있는데요. 침입, 도난, 테러와 같은 물리 보안 위협과 정보 유출, 변조, 해킹 등의 정보 보안 위협이 합쳐진 것이죠. 게다가 환경 안전과 에너지 고갈 또한 신종 위협으로 등장했습니다.

그 동안 물리 보안 네트워크와 IT 인프라는 별개의 네트워크로 구성되어 운영되어 왔습니다. 그러나 최근 IP 카메라 등 영상 감시 시스템 및 출입 관리 시스템이 TCP/IP의 개방형 네트워크를 수용하게 되면서 물리 보안에도 IT가 다양하게 적용되기 시작했습니다.

또한 개별적인 출입 통제, 주차 시설 관리, CCTV 영상 보안 같은 물리적 보안 장비에 대한 통합 관리, 각종 재난•재해 상황에 대한 관제까지 포함하는 물리 보안과 정보 보안이 상호 보완적으로 융합되고 있는데요. 이렇듯 통합 관리 형태로의 변화가 최근의 물리 보안 트렌드라고 볼 수 있을 것 같습니다.

그리고 점차 보안의 형태는 총체적 대응이 가능한 형태로 발전하게 될 것으로 보이는데요. 이러한 발전에 따라 보다 다각적 위험에 대한 예측이 가능하고, 정확한 사고 징후 또한 탐지할 수 있을 것입니다. 이는 물리•정보 보안, 방재•환경 안전, 유•무선 통신 이력 정보 등의 모니터링 데이터 융합과 각종 정보에 대한 상관 관계, 패턴 및 이상 상황 분석 등을 통해 이루어질 수 있을 것입니다.

통합 로그 관리 시스템을 통한 정보 유출에 대한 사전 예측 방법을 살펴보면 아래와 같습니다.

그리고, 정보 유출에 대한 이상 징후 탐지 및 보안 대응 방법은 아래 표와 같습니다.

이는 기존의 통합 로그 관리 시스템으로부터 분석된 이상 행위자의 출문 시, 검색 요원에 의한 정밀 검색이 이루어지도록 하기 위한 시스템인데요. IT 보안 시스템과 물리적 보안 검색 시스템과의 융합된 보안 형태로 볼 수 있습니다.

특히 보안 위험성이 높은 대상에 대해 보안 자원을 집중하기 때문에 보안 검색에 대한 효율성이 높은 편인데요. 뿐만 아니라 실시간 데이터 처리를 통해 잠재적인 보안 위험성에 대한 사후 추적이 아닌 즉각적이고 능동적인 대처가 가능하다는 점에서 효과적인 보안 관리의 예로 여겨지고 있습니다.

지금까지 살펴본 것처럼 물리적 보안뿐만 아니라 모든 보안 기술들이 나날이 발전하고 있습니다. 그리고 새로운 보안솔루션 역시 지속적으로 생겨나고 있죠. 그러나 보안 전문가인 브루스 슈나이어가 지적했듯이 ‘절대적으로 안전한 시스템이란 존재하지 않는다’라는 사실을 잊지 말아야 할 것 같은데요. 보안 기술이 날로 발전할수록 침해•해킹 기술도 함께 진화하고 있기 때문입니다.

보안은 생각하는 것보다 훨씬 넓고 포괄적이며 끊임없이 변화합니다. 그러므로 기업 및 많은 조직들이 지속적인 보안 투자와 함께 보안에 대한 관심, 적절한 대응 조치를 이해하고 있어야 할 것입니다. 보안은 과거에도 현재에도 앞으로도 진행형이기 때문입니다.

글 ㅣ LG CNS 보안컨설팅팀

[‘보안컨설팅 A to Z’ 연재 현황 및 향후 계획]

● 1편 출입카드 복제 위험 : http://blog.lgcns.com/737
● 2편 통합보안 관리 솔루션 구축 시 고려사항 : http://blog.lgcns.com/751
● 3편 의료분야 개인정보보호 위반사례 및 대응방안 : http://blog.lgcns.com/779
● 4편 보안 위험 분석 방법론의 한계와 발전방향 : http://blog.lgcns.com/812 (上) / http://blog.lgcns.com/813 (下)
● 5편 물리보안 동향 : http://blog.lgcns.com/856
● 6편 보안관리체계 도입하기 : http://blog.lgcns.com/869
● 7편 IoT 보안 취약점 및 대응방안 : http://blog.lgcns.com/896
● 8편 금융권 망분리 가이드라인 : http://blog.lgcns.com/922
● 9편 전자문서 보안 : http://blog.lgcns.com/945
● 10편 공공기관 모바일 보안