정보보안은 단순히 해킹 기술이나 공격 기법을 암기하는 과목이 아니다. 기술이 발전하면서 사람들이 정보를 저장하고, 연결하고, 거래하고, 자동화하는 방식이 달라지고 그 과정에서 새로운 위험이 생긴다. 정보보안은 이러한 변화 속에서 무엇을 보호해야 하는지 이해하고, 위험을 통제하는 방법을 만들어가는 과정이라고 볼 수 있다.
1. 정보보안의 시작, 비밀을 안전하게 전달하는 방법
정보보안의 역사는 컴퓨터가 등장하기 훨씬 전부터 시작됐다. 가장 기본적인 문제는 중요한 정보를 다른 사람이 알아보지 못하도록 안전하게 전달하는 것이었다.
이를 해결하기 위해 등장한 대표적인 기술이 암호학이다. 암호학은 전쟁에서도 중요한 역할을 했다. 적의 통신 내용을 해독하면 상대방의 계획과 움직임을 파악할 수 있었기 때문에 정보를 먼저 얻는 것 자체가 큰 전략적 우위가 되었다.
에니그마와 암호 해독
제2차 세계대전 당시 독일군은 에니그마(Enigma)라는 암호화 장치를 사용했다. 연합군은 이 암호를 해독하기 위해 많은 사람과 기술을 동원했고, 영국의 블레츨리 파크에서는 암호 해독 작업이 체계적으로 이루어졌다.
앨런 튜링 역시 이 과정에 참여해 암호 해독을 위한 기계와 방법을 발전시키는 데 기여했다. 영화 이미테이션 게임에서는 이 과정을 비교적 극적으로 보여주지만, 실제 암호 해독은 한 사람의 천재적인 아이디어만으로 이루어진 것이 아니라 많은 기록과 분석, 기계, 사람들의 협업과 검증이 결합된 작업이었다.
2. 미드웨이 해전과 정보의 검증
정보보안에서 중요한 것은 단순히 정보를 많이 얻는 것이 아니다. 수집한 정보를 정확하게 해석하고 검증하는 과정도 중요하다.
태평양 전쟁 당시 미군은 일본군이 사용하던 암호 통신에서 특정 지역을 의미하는 것으로 보이는 ‘AF’라는 표현을 발견했다. 하지만 AF가 정확히 어디를 의미하는지는 확실하지 않았다.
미군은 이를 확인하기 위해 미드웨이 기지에서 의도적으로 식수 부족에 관한 평문 메시지를 보내도록 했다. 이후 일본군의 암호 통신에서 AF 지역의 식수 부족에 대한 내용이 나타나면서 AF가 미드웨이를 의미한다는 가설을 검증할 수 있었다.
이 사례에서 중요한 것은 단순한 암호 해독 기술이 아니다.
정보 수집 → 정보 해석 → 가설과 판단 → 대응
이라는 과정 자체가 정보보안에서 중요한 역할을 한다는 점이다.
3. 공개키 암호와 새로운 보안 기술
컴퓨터와 네트워크가 발전하면서 새로운 문제가 등장했다. 암호화에 사용할 비밀키를 상대방과 어떻게 안전하게 공유할 것인가 하는 문제였다.
이 문제를 해결하기 위해 등장한 것이 공개키 암호 방식이다.
대표적인 방식으로 Diffie-Hellman 키 교환과 RSA가 있다. Diffie-Hellman은 공개된 값을 서로 교환하면서 각자가 가진 비밀 정보를 이용해 동일한 공통 비밀을 만들어낼 수 있도록 한다.
RSA에서는 공개키를 이용해 정보를 암호화하고, 개인키를 이용해 이를 복호화하는 구조를 사용한다. 이를 통해 상대방과 사전에 비밀키를 직접 전달하지 않고도 안전한 통신을 구성할 수 있게 되었다.
여기서 한 가지 중요한 점은 보안 기술이 단순히 수학적으로 안전하기만 하면 되는 것은 아니라는 것이다. 실제 환경에서는 성능과 구현 방식, 운영 편의성까지 함께 고려해야 한다.
4. 컴퓨터의 등장과 접근 권한 관리
컴퓨터가 등장하면서 보호해야 할 대상도 달라지기 시작했다.
초기의 컴퓨터는 하나의 거대한 물리적 장비였기 때문에 컴퓨터 자체를 안전한 장소에 보관하는 것이 중요한 보안 방법이었다. 하지만 여러 사용자가 하나의 컴퓨터를 함께 사용하는 환경이 만들어지면서 새로운 문제가 생겼다.
누가 어떤 데이터와 기능을 사용할 수 있는가?
이를 관리하기 위해 사용자 계정과 권한이라는 개념이 등장했다.
운영체제와 보안
초기 다중 사용자 시스템에서는 사용자별 접근 권한을 구분하는 것이 중요했고, Multics와 같은 운영체제에서는 보안을 시스템 설계 단계부터 고려했다.
이후 등장한 Unix의 파일 권한과 프로세스 구조 역시 오늘날 운영체제 보안의 기본적인 개념으로 이어지고 있다.
또한 C 언어처럼 시스템 자원을 세밀하게 제어할 수 있는 언어는 높은 성능을 제공했지만, 메모리를 잘못 다루했을 때 보안 취약점으로 이어질 수 있다는 문제도 함께 등장했다.
즉, 기술이 발전할수록 편리함과 함께 새로운 보안 위험도 등장한다는 것을 보여준다.
5. 해커와 네트워크의 확산
‘해커’라는 단어 역시 처음부터 악의적인 공격자를 의미했던 것은 아니다. 기술을 깊이 이해하고 새로운 방법을 탐구하는 사람을 의미하는 경우도 있었다.
하지만 컴퓨터가 네트워크로 연결되기 시작하면서 한 시스템에서 발생한 문제가 다른 시스템으로 빠르게 확산될 가능성이 생겼다.
웜과 모리스 웜
SF 작품에서도 이러한 네트워크의 위험을 미리 상상했다. The Shockwave Rider에서는 네트워크를 통해 스스로 퍼지는 프로그램인 웜(worm)의 개념이 등장한다.
그리고 1988년에는 실제로 모리스 웜(Morris Worm)이 등장하면서 네트워크에 연결된 시스템에서 하나의 문제가 빠르게 확산될 수 있다는 사실이 현실에서 나타났다.
이 시기부터는 컴퓨터 한 대만 안전하게 보호하는 것으로 충분하지 않았다. 컴퓨터가 연결되어 있다는 사실 자체가 새로운 위험 요소가 되기 시작한 것이다.
6. 이메일과 웹의 등장, 공격 표면의 확대
인터넷이 대중화되면서 정보보안의 범위는 더욱 넓어졌다.
이메일이 보편화되면서 사용자는 단순히 메시지를 받는 것에서 그치지 않고 보낸 사람이 누구인지, 첨부파일을 열어도 되는지를 판단해야 했다. 피싱과 같은 사회공학적 공격도 이러한 환경에서 발전했다.
웹 브라우저 역시 중요한 변화였다. 초기의 웹은 주로 정보를 읽는 공간이었지만, 시간이 지나면서 로그인과 결제, 각종 서비스를 이용하는 공간으로 변화했다.
그만큼 웹 브라우저와 웹 서비스가 공격받을 수 있는 지점도 늘어났다. 넷스케이프와 마이크로소프트의 브라우저 경쟁을 거치면서 웹 기술이 빠르게 발전했고, 기업의 웹 환경 역시 점점 복잡해졌다.
7. 웹 개발 기술과 서버 보안
Apache, PHP, MySQL과 같은 기술은 웹 서비스를 빠르게 개발하고 운영할 수 있도록 만들어주었다.
하지만 개발이 쉬워진 만큼 보안에 대한 고려도 중요해졌다. 사용자가 입력하는 데이터를 제대로 검증하지 않거나 파일 업로드를 잘못 처리하면 웹 서비스의 취약점으로 이어질 수 있기 때문이다.
웹 호스팅과 게시판 서비스가 확산되면서 개인정보 유출이나 웹셸과 같은 문제도 나타났다. 또한 웹 서비스가 실제로 동작하기 위해서는 서버뿐만 아니라 IDC, ISP, 네트워크 등 다양한 인프라가 함께 필요했다.
결국 웹 보안은 특정 프로그램 하나만 보호하는 것이 아니라 서비스 전체의 구조를 이해하고 관리하는 문제가 되었다.
8. 데이터가 자산이 되면서 등장한 개인정보 문제
인터넷과 디지털 서비스가 발전하면서 데이터의 가치도 크게 증가했다.
이때 정보보안에서 중요하게 다루는 대표적인 개념이 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability)이다.
데이터베이스 역시 관계형 데이터베이스든 NoSQL이든 상관없이 접근 제어, 암호화, 로그 관리 등의 보안이 필요하다.
특히 문제가 되는 것은 데이터가 하나씩 존재할 때보다 여러 데이터가 결합될 때다. 사용자의 클릭 기록, 검색 기록, 위치 정보, 사람들과의 관계 등을 결합하면 개인의 행동과 성향을 추론할 수 있다.
개인정보와 데이터 활용
The Great Hack과 페이스북 및 Cambridge Analytica 사례는 데이터가 어떻게 수집되고 활용될 수 있는지, 그리고 제3자에게 데이터가 제공되는 과정에서 동의와 관리가 얼마나 중요한지를 보여준다.
따라서 개인정보 보호는 단순히 “정보를 유출하지 않는 것”에서 끝나지 않는다.
무슨 데이터를 수집하는가? 왜 수집하는가? 얼마나 수집하는가? 어떻게 사용하는가?
라는 질문까지 함께 고민해야 한다.
9. 가상화와 클라우드, 인프라의 변화
사용자가 보는 웹사이트나 애플리케이션 뒤에는 수많은 서버와 인프라가 존재한다.
과거에는 서비스를 운영하기 위해 실제 물리 서버를 직접 구축하고 관리해야 했다. 하지만 VMware와 같은 가상화 기술이 등장하면서 하나의 물리 서버에서 여러 개의 가상 서버를 운영할 수 있게 되었다.
가상화는 자원 활용도를 높여주었지만, 동시에 가상 시스템 사이의 새로운 보안 경계가 필요해졌다.
클라우드의 등장
이후에는 AWS와 같은 클라우드 환경이 등장하면서 서버와 저장 공간을 API를 통해 생성하고 관리할 수 있게 되었다.
대표적으로 S3는 저장 공간, EC2는 서버 자원을 제공한다.
클라우드는 보안 문제를 없애주는 기술이라기보다 보안 책임의 범위를 변화시키는 기술에 가깝다. 물리적인 서버를 직접 관리해야 하는 부담은 줄어들지만, 애플리케이션의 코드와 데이터, 비밀정보, 접근 권한 등을 안전하게 관리하는 책임은 여전히 남아 있다.
10. 기술이 바뀌어도 변하지 않는 보안의 핵심
지금까지 정보보안의 발전 과정을 보면 기술은 계속해서 변화해 왔다.
암호화에서 시작해 컴퓨터와 운영체제, 네트워크, 이메일, 웹, 데이터베이스, 개인정보, 가상화, 클라우드까지 보안이 다뤄야 하는 대상은 계속 넓어졌다.
하지만 그 안에서 반복적으로 등장하는 질문은 비슷하다.
무엇을 보호해야 하는가?
누가 접근할 수 있는가?
무슨 일이 일어났는가?
문제가 발생했을 때 어떻게 대응할 것인가?
결국 정보보안은 특정한 기술 하나를 배우는 것이 아니라 기술과 환경이 변화할 때마다 새롭게 생겨나는 위험을 발견하고, 이를 통제하며, 문제가 발생했을 때 신뢰를 회복하는 과정이라고 정리할 수 있다.
이번 강의에서 기억할 핵심 키워드는 다음 네 가지로 정리할 수 있다.
보호 · 접근 · 기록 · 대응
기술은 계속해서 변하지만, 정보를 안전하게 지키기 위해 무엇을 보호하고 누가 접근할 수 있는지 관리하며, 어떤 일이 있었는지 기록하고, 문제가 발생했을 때 대응한다는 보안의 기본 원리는 계속해서 이어진다.