다층 방어는 관리적·기술적·물리적 통제를 겹쳐 하나의 실패가 곧바로 전체 보호 실패로 이어지지 않게 설계하는 원리입니다. 통제 개수가 세 개라고 위험이 세 배 줄지는 않습니다. 통제가 같은 신원 공급자, 복구 절차, 관리자 계정에 의존하면 하나의 공통 실패가 여러 층을 함께 무너뜨릴 수 있습니다.
NIST SP 800-12 Rev. 1은 통제가 단독보다 다른 통제와 짝을 이룰 때 효과적일 수 있지만, 통제 간 상호의존성을 이해하지 못하면 결과가 나빠질 수 있다고 설명합니다. 계층 수보다 공격 경로와 각 통제의 역할, 공통 실패점을 살펴야 합니다.
층을 쌓는 목적은 같은 통제를 반복하는 일이 아닙니다
비밀번호 규칙을 강화하고, 로그인에 추가 인증을 붙이고, 이상한 접속을 감시한다고 가정해 보겠습니다. 표면적으로는 세 가지 통제가 있습니다. 그러나 셋이 모두 같은 계정 복구 이메일과 같은 관리자 권한에 의존한다면 한 번의 복구 절차 탈취가 세 통제를 함께 무력화할 수 있습니다. 반대로 각 통제가 서로 다른 실패 지점을 맡고 우회 경로를 보완한다면 한 통제가 놓친 공격을 다른 통제가 막거나 발견할 수 있습니다.
이 입문 지침 §2.6은 방어 심층화를 행정적 절차, 보안 기술, 물리적 보호 등을 함께 쓰는 다층 접근으로 소개합니다. §2.6.1은 보안 통제가 대개 독립된 해결책 하나로 놓이지 않으며, 통제 사이의 관계를 모르면 시스템에 해로운 결과가 생길 수 있다고 설명합니다. 그러므로 다층 방어는 ‘많이 설치할수록 안전하다’가 아니라 ‘위협 경로마다 다른 방어 기능을 연결한다’는 설계 질문입니다.
가상 계정 탈취 경로에서 통제의 역할을 나눕니다
다음은 실제 조직이나 사고를 묘사하지 않는 수업용 예시입니다. 직원 계정의 암호가 피싱으로 노출됐다고 가정합니다. 긴 암호를 쓰도록 한 정책은 추측 공격을 어렵게 할 수 있지만, 사용자가 속아 비밀을 직접 입력하면 그 경로만으로는 충분하지 않습니다. 피싱 저항형 추가 인증은 암호만 훔친 공격의 일부를 막을 수 있지만, 계정 복구 과정이 약하면 공격자는 복구 경로를 노릴 수 있습니다. 이상 로그인 탐지는 이미 성공한 로그인 뒤에 경보를 낼 수 있으므로 예방 통제와 같은 역할을 하지 않습니다.
| 수업용 통제 | 주로 다루는 실패 | 함께 확인할 조건 |
|---|---|---|
| 암호 정책과 재사용 차단 | 추측·반복 사용으로 인한 계정 탈취 | 피싱으로 비밀이 직접 노출될 때는 어떻게 되는가 |
| 피싱 저항형 추가 인증 | 도난 암호만으로 로그인하는 경로 | 복구·대체 인증·관리자 재설정도 같은 강도를 갖는가 |
| 이상 로그인 탐지와 대응 | 성공한 접속의 조기 발견과 후속 조치 | 경보가 실제 담당자에게 전달되고 대응되는가 |
숫자를 넣을 때도 가정을 분명히 해야 합니다. 설명용 모형에서 두 예방 관문이 각각 공격을 놓칠 가능성을 10%라고 하고, 두 실패가 서로 독립이며 둘 다 같은 공격 경로를 차단한다고 가정하면 통과 가능성은 10% 곱하기 10%, 즉 1%입니다. 이 수치는 실제 보안 측정값이 아닙니다. 두 관문이 같은 계정 복구 체계에 의존한다면 독립 가정이 깨져 이 곱셈을 적용할 수 없습니다. 탐지 통제는 침입을 처음부터 막지 않을 수 있으므로 예방 관문과 같은 확률로 곱해서도 안 됩니다.
통제 목록보다 공격 경로와 실패 조건을 먼저 그립니다
- 보호할 계정이나 업무를 정하고, 공격자가 성공하려면 거쳐야 하는 단계와 가능한 우회 경로를 적습니다.
- 각 통제가 막는 행동, 발견하는 신호, 줄이는 피해 중 무엇을 맡는지 구별합니다.
- 인증 공급자, 복구 주소, 관리자 권한, 설정 배포, 경보 전달처럼 여러 통제가 공유하는 기반을 표시합니다.
- 가상 공격 경로마다 한 통제가 실패해도 다른 통제가 여전히 작동하는지 검토합니다.
- 시험 결과와 운영 중 관측 자료로 통제의 실제 작동 여부를 확인하고, 목록의 개수를 효과 측정치로 바꾸지 않습니다.
NIST SP 800-53은 조직이 위험과 임무에 맞춰 보안·프라이버시 통제를 선택하고 평가하는 카탈로그입니다. NIST는 2025년에 이 카탈로그의 업데이트를 발표했습니다. 이 글은 특정 통제 조항이나 연방 기준 준수 여부를 판정하지 않습니다. 통제 카탈로그를 참고하더라도 선택한 통제가 현재 시스템에서 어떻게 연결되고 어떤 공통 원인에 의존하는지 별도로 확인해야 합니다.
회상 연습: 두 번째 인증도 같은 복구 경로를 쓰는 경우
교육용 문제입니다. 암호와 추가 인증이 모두 같은 이메일 계정으로 재설정되고, 이상 로그인 경보는 다음 날에야 담당자에게 도착합니다. 이 구성에서 독립적인 예방 계층이라고 보기 어려운 이유 두 가지와, 경보가 맡는 별도의 역할 한 가지를 설명하세요.
암호와 추가 인증이 같은 이메일 복구에 의존하므로 그 이메일이 탈취되면 두 관문이 함께 우회될 수 있습니다. 따라서 두 통제를 독립 실패로 간주해 실패 가능성을 단순히 곱할 수 없습니다. 다음 날 도착하는 경보는 처음 로그인 자체를 차단하는 예방 통제가 아니라 사후 탐지와 대응을 돕는 통제입니다. 실제 효과는 복구 절차와 경보 대응 시험으로 확인해야 합니다.
정답을 가리고 확인해 보세요
이 글을 위해 만든 학습 예시이며 공식 기출문제나 판매 카드의 인용이 아닙니다.
두 예방 관문이 각각 공격을 놓칠 가능성을 10%라고 가정한다. 독립 실패라면 둘 다 놓칠 가능성은 얼마인가? 두 관문이 같은 계정 복구 절차에 의존한다면 그 계산을 그대로 써도 되는가?
정답과 해설 확인
독립 가정이면 10% 곱하기 10%는 1%입니다. 공통 복구 절차에 의존하면 독립성이 보장되지 않아 이 곱셈을 그대로 적용할 수 없습니다.계산은 두 관문이 같은 공격 경로를 막고 실패가 독립이라는 인위적 가정 아래의 예시입니다. 실제 통제 효과나 침해 가능성을 나타내지 않습니다. 공통 기반과 탐지·예방 기능을 구분해야 합니다.