내용이 바뀌지 않은 채 허가되지 않은 사람이 파일을 읽었다면 직접 손상된 목표는 기밀성입니다. 무결성은 허가되지 않은 변경이나 파괴를 막는 목표이고, 가용성은 필요한 때 인가된 사용자가 정보와 서비스를 이용할 수 있게 하는 목표입니다.
한 사고가 여러 목표에 영향을 줄 수 있지만, 문제에서 직접 묻는 결과를 먼저 고르면 분류가 흔들리지 않습니다. 파일 유출이 뒤늦게 서비스 중단까지 일으켰다면 기밀성과 가용성을 각각 기록합니다.
목표 이름보다 먼저 직접 결과를 적습니다
CIA는 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability)을 묶어 부르는 표현입니다. 세 항목은 사고의 원인이 아니라 보호하려던 정보나 서비스에 생긴 결과를 분류합니다. 허가되지 않은 공개·열람은 기밀성, 허가되지 않은 변경·삭제는 무결성, 정당한 사용자가 제때 접근하지 못하는 상태는 가용성과 연결됩니다. NIST의 정의도 각각 접근·공개의 제한, 부적절한 변경·파괴에 대한 보호, 필요한 접근의 유지라는 관점으로 정리합니다.
따라서 ‘해킹을 당했다’만으로 세 항목 중 하나를 고를 수는 없습니다. 공격 방법이 아니라 확인된 결과를 먼저 써야 합니다. 계정 탈취 뒤 공격자가 파일을 복사했지만 원본을 바꾸지 않았고 서비스도 계속됐다면 기밀성 침해가 중심입니다. 반대로 악성 변경으로 금액이 달라졌다면 무결성 손상이 드러납니다. 저장소가 암호화되어 이용할 수 없게 됐다면 가용성 손상을 함께 검토합니다.
세 가지 교육용 기록을 분류해 봅니다
| 관찰 기록 | 먼저 고를 목표 | 판정 근거 |
|---|---|---|
| 외부인이 급여 명세를 내려받았지만 원본 값은 그대로다 | 기밀성 | 허가되지 않은 열람·공개가 직접 확인됐다 |
| 승인 기록의 계좌번호가 승인 없이 바뀌었다 | 무결성 | 데이터가 허가되지 않은 방식으로 변경됐다 |
| 복구 작업 중 서비스가 멈춰 직원이 기록을 조회하지 못했다 | 가용성 | 인가된 이용자가 필요한 시점에 접근하지 못했다 |
세 번째 사례에서 원본 파일이 그대로 남아 있어도 서비스 접근이 끊겼다면 가용성 문제가 성립할 수 있습니다. 반대로 자료가 공개된 사실만 확인됐는데 ‘무결성도 손상됐다’고 덧붙이면 증거가 없는 결론이 됩니다. 사고 하나에 여러 결과가 확인되면 목표도 복수로 적되, 각 목표를 뒷받침하는 관찰을 따로 써야 합니다.
사례형 문제에서 적용하는 네 단계
- 누가 허가된 이용자인지와 문제에서 기준으로 삼는 정보를 표시합니다.
- 사건 전후의 차이를 ‘노출’, ‘변경·삭제’, ‘접근 불가’로 표현합니다.
- 직접 확인된 변화 하나를 CIA 목표에 대응시킵니다.
- 복합 결과라면 각각의 근거를 짝지어 기록하고 확인되지 않은 결과는 추가하지 않습니다.
자주 나오는 실수는 공격자의 행위를 보고 목표를 추측하는 것입니다. 예를 들어 서버에 침입했다는 사실은 공격 경로이지, 기밀성·무결성·가용성 중 무엇이 실제 침해됐는지 알려 주는 완결된 답이 아닙니다. 데이터베이스를 읽기만 했는지, 수정했는지, 서비스를 멈췄는지 확인해야 합니다. 또 ‘무결성은 정확성’이라고만 외우면 허가된 수정과 무단 수정의 차이를 놓칠 수 있습니다. 시험 답에는 ‘허가되지 않은 변경’처럼 기준을 함께 적으세요.
복합 사고에서는 최초 사건과 최종 영향을 시간 순서로 적으면 목표를 빠뜨리지 않습니다. 예를 들어 랜섬웨어가 파일을 암호화해 직원이 업무 자료를 이용하지 못하게 했고, 백업본은 별도 보관되어 복구됐다면 가용성 영향과 복구 시점을 기록합니다. 공격자가 일부 자료도 외부로 보냈다는 증거가 나오면 기밀성 손상을 추가합니다. 암호화가 원본을 바꿨는지는 무결성 질문과 연결될 수 있지만, 시험에서 직접 묻는 핵심이 사용 불가인지 무단 변경인지 지문 표현을 확인해야 합니다. 피해가 여러 축에 걸친다는 이유로 모든 축을 근거 없이 체크하지 말고, 각각의 관찰을 붙이세요.
한 사건의 단계도 구별해 보세요. 권한 없는 직원이 급여 파일을 내려받았고 그 파일을 다른 사람에게 전달했지만 원본은 바뀌지 않았다고 가정합니다. 내려받기와 전달은 모두 기밀성에 영향을 주는 정보 노출입니다. 이후 전달된 사본의 숫자가 바뀌었다는 추가 증거가 나오면 그 사본의 무결성도 문제입니다. 반대로 숫자가 달라졌다는 사실만으로 원본 시스템까지 변경됐다고 결론 내릴 수는 없습니다. 사고 범위와 데이터 사본을 명확히 적어야 어떤 자산에서 어떤 목표가 손상됐는지 설명할 수 있습니다.
가려 두고 직접 답해 봅니다
교육용 회상 문제입니다. 조사 결과, 허가되지 않은 외부인이 공개 링크를 통해 설계 문서를 읽었지만 문서 내용은 바뀌지 않았고 내부 구성원도 계속 접근할 수 있었습니다. 직접 침해된 CIA 목표는 무엇이며, 나머지 두 목표가 침해됐다고 곧바로 말할 수 없는 이유는 무엇일까요?
정답은 기밀성입니다. 허가되지 않은 사람이 정보를 열람했기 때문입니다. 변경이나 삭제가 확인되지 않았으므로 이 기록만으로 무결성 손상을 단정하지 않으며, 내부 구성원의 접근도 유지됐으므로 가용성 손상도 이 사례에서 확인되지 않았습니다. 실제 사고 판정에서는 추가 증거가 나오면 복합 손상을 다시 기록해야 합니다.
세 목표를 사례에 적용하는 연습을 더 하고 싶다면 정보보호론 덱의 학습 범위를 확인할 수 있습니다. 이 글의 표와 문항은 개념을 설명하기 위해 새로 만든 예시이며, 공식 기출문제나 유료 카드의 인용이 아닙니다.
정답을 가리고 확인해 보세요
이 글을 위해 만든 학습 예시이며 공식 기출문제나 판매 카드의 인용이 아닙니다.
조사 결과, 외부인이 허가 없이 문서를 읽었지만 내용은 바뀌지 않았고 내부 이용자의 접근도 유지됐습니다. 직접 침해된 CIA 목표는 무엇인가?
정답과 해설 확인
기밀성입니다.허가되지 않은 공개·열람이 직접 확인됐습니다. 변경 또는 접근 실패가 확인되지 않은 상태에서 무결성·가용성까지 침해됐다고 단정하지 않습니다.