CIS Control 3: 데이터 보호

Center for Internet Security (CIS)는 조직이 사이버 보안과 규제 준수 수준을 향상하는 데 도움이 되는 일련의 Critical Security Controls 를 제공합니다. CIS Control 3은 컴퓨터와 모바일 기기를 대상으로 데이터 관리를 통해 데이터 보호를 보장하는 것에 관한 내용입니다. 구체적으로 데이터의 식별, 분류, 안전한 처리, 보관, 폐기(처분)를 위해 필요한 절차와 기술적 통제를 자세히 설명합니다. (버전 8 이전에는 이 주제가 CIS Control 13으로 다루어졌습니다.)

CIS Control 3은 데이터를 보호하기 위해 조직이 채택할 수 있는 포괄적인 보호대책과 벤치마크 목록을 제공하며, 그 내용은 다음 섹션에 자세히 설명되어 있습니다:

3.1 데이터 관리 프로세스 수립 및 유지

조직은 데이터의 민감도, 보유 기간, 저장, 백업 및 폐기에 대응하는 데이터 관리 프로세스를 갖추어야 합니다. 또한 데이터 관리 프로세스는 조직이 준수해야 하는 규정과 일치하는, 문서화가 잘 된 엔터프라이즈 수준의 표준을 따라야 합니다.

3.2 데이터 인벤토리 수립 및 유지

조직이 생산하고 보유하며 사용하는 데이터가 무엇인지, 그리고 그 데이터의 민감도가 얼마나 높은지를 파악하는 것이 중요합니다. 이 인벤토리에는 문서와 사진 같은 비정형 데이터와 데이터베이스에 저장된 데이터 같은 정형 데이터가 모두 포함되어야 하며, 연 1회 업데이트되어야 합니다. 정확한 데이터 인벤토리는 위험 평가를 포함한 다양한 보안 프로세스에 필수적입니다.

3.3 데이터 접근 제어 목록 구성

다음으로, 각 사용자가 업무를 수행하는 데 필요한 데이터, 애플리케이션, 시스템에만 액세스할 수 있도록 하세요. 특히, 접근 권한 제어를 구현하여 민감한 데이터가 접근해서는 안 되는 사람에게 노출되지 않도록 보호해야 합니다.

액세스 제어를 적용하면 기업이 내부 및 외부 위협으로 인한 위험을 줄이는 데 도움이 됩니다. 사용자는 자신이 보거나 접근하면 안 되는 파일을 실수로 또는 의도적으로 확인하여 data breach 를 유발할 가능성이 줄어들고, 계정을 손상시킨 공격자는 더 적은 데이터에만 액세스할 수 있게 됩니다.

접근 제어 목록은 정기적으로 검토하여, 직원이 다른 역할이나 부서로 이동하는 경우와 같이 사용자가 더 이상 필요로 하지 않는 권한을 적시에 제거해야 합니다.

3.4 데이터 보관(유지) 정책을 시행

조직은 서로 다른 유형의 데이터가 얼마나 오래 보관되어야 하는지에 대해 규정하는 준수(컴플라이언스) 규정을 적용받을 수 있습니다. 가능한 한 데이터 보관 프로세스를 자동화하면 규정을 준수하는 데 도움이 됩니다.

3.5 데이터를 안전하게 폐기

조직이 전자 데이터 또는 물리적 데이터를 폐기해야 할 수 있는 시나리오는 여러 가지가 있습니다. 데이터가 더 이상 유용하지 않을 만큼 오래되었을 수도 있고, 규정에 따라 일정 기간이 지난 후 삭제해야 할 수도 있습니다.

데이터 폐기 프로세스와 도구는 각 유형의 데이터가 지닌 민감도와 형식에 맞게 조정되어야 합니다. 데이터 폐기 서비스를 활용하면 회사의 데이터가 잘못된 사람의 손에 넘어가지 않도록 하는 데 도움이 됩니다.

3.6 엔드유저 장치에서 데이터 암호화

엔드유저 장치에서 데이터를 암호화하는 것은 보안 모범 사례입니다. 이는 장치가 침해된 경우에도 데이터가 오용되는 것을 방지하는 데 도움이 되기 때문입니다. 암호화 도구는 운영 체제에 따라 달라질 수 있으며, 예로 Windows BitLocker, Linux dm-crypt 및 Apple FileVault가 있습니다.

3.7 데이터 분류 체계를 수립하고 유지하기

명확하고 엄격한 기준을 사용하여 데이터를 분류하면, 민감하고 중요한 데이터를 나머지 데이터와 구분할 수 있어 CIS Control 3의 다른 보호 조치들을 구현하는 데 도움이 됩니다. 기본적인 한 가지 체계는 데이터를 민감, 사적(Private) 또는 공개(Public)로 라벨링하는 것입니다.

데이터 분류는 매년 검토하고, 회사의 데이터 보호 정책에 주요 변경이 있을 때마다 검토해야 합니다.

3.8 데이터 흐름 문서화

조직 내에서 데이터가 이동하는 흐름과, 기업 내부로 유입되고 외부로 나가는 흐름을 파악하면 사이버 보안을 약화시킬 수 있는 취약점을 식별하는 데 도움이 됩니다.

3.9 이동식 매체의 데이터 암호화

외장 하드 드라이브, USB 플래시 드라이브 및 기타 이동식 매체에 저장된 데이터는 장치가 도난당하더라도 악용될 위험을 줄이기 위해 암호화해야 합니다.

3.10 전송 중인 중요 데이터 암호화

중요한 데이터는 저장 시뿐만 아니라 전송 중에도 암호화해야 합니다. 이러한 유형의 암호화를 위한 옵션으로는 Open Secure Shell (OpenSSH) 및 Transport Layer Security (TLS) 등이 있습니다. 암호화에는 인증이 포함되어야 합니다. 예를 들어, TLS 신뢰할 수 있고 유효한 인증 기관이 서명한 인증서를 사용하여 유효한 DNS 식별자를 활용합니다.

3.11 저장 시 민감 데이터 암호화

조직은 서버, 데이터베이스, 애플리케이션에 저장된 모든 민감 데이터를 ‘저장 시(At Rest)’ 암호화해야 합니다. (엔드유저 장치의 암호화는 CIS Control 3.6에서 다룹니다.) 저장된 데이터를 암호화하면, 다른 사용자가 저장 장치에 접근하더라도 인가된 당사자만이 해당 데이터를 보고 사용할 수 있도록 보장하는 데 도움이 됩니다.

3.12 민감도에 따라 데이터 처리 및 저장 구분

또한 데이터의 데이터 분류에 따라 데이터 처리 및 저장을 구분하는 것도 중요합니다. 이를 통해 민감 데이터는 다른 범주의 데이터보다 더 신중하게 취급되도록 해야 합니다. 일반적으로 덜 민감한 데이터를 관리하는 자산이 민감 데이터까지 동시에 관리해서는 안 되는데, 이는 공격자가 접근하는 것을 차단할 수 있는 적절한 보안 구성이 없을 수 있기 때문입니다.

3.13 데이터 손실 방지(DLP) 솔루션 배포

자동화된 data loss prevention (DLP) 솔루션을 사용해 온프레미스와 원격 데이터 모두, 특히 민감한 콘텐츠를 데이터 유출로부터 보호하세요. 다만, CIS Control 11 에 자세히 설명된 대로 데이터 백업 전략도 여전히 필요합니다.

3.14 민감 데이터 접근 기록

접근, 수정, 폐기 등 민감 데이터와 관련된 모든 행위를 로깅하는 것은 악의적인 활동을 신속하게 탐지하고 대응하는 데 필수적입니다. 데이터 접근 로그는 공격 이후의 조사와 분석에 도움이 될 뿐 아니라, 가해자에 대한 책임을 묻는 데도 유용합니다.

요약

CIS Control 3의 모든 구성 요소는 첫 번째 통제에서 비롯됩니다. 첫 번째 통제는 포괄적인 데이터 보호 및 관리 계획의 필요성을 강조합니다. 이 계획은 중요한 데이터를 식별하고, 누가 언제 해당 데이터에 접근할 수 있어야 하는지를 통제함으로써 이를 보호하기 위한 탄탄한 기반이 됩니다.

회사의 데이터를 찾아내고 분류하면, 데이터의 가치와 민감도에 따라 이를 보호할 수 있습니다. 통제된 접근에는 각 사용자의 권한을 제한하기 위한 예방 조치가 포함됩니다. 또한 공격자가 접근하게 된 데이터를 악용하지 못하도록, 저장 시와 전송 중 모두에 대한 데이터 암호화를 적용합니다. 의심스러운 활동을 초기 단계에서 포착하기 위한 네트워크 및 계정 모니터링도 필요합니다. 그리고 데이터 유출 사고에 대응하기 위한 사고 대응 계획도 마련해야 합니다. 이러한 통제를 도입하면 조직의 사이버보안 태세를 개선하고 데이터 보호 규정을 준수하는 데 도움이 됩니다.