# 데이터 보안

데이터 보안이란 데이터의 기밀성, 무결성, 가용성을 유지하기 위해 허가되지 않은 접근이나 수정, 파괴로부터 데이터를 보호하는 기술 및 프로세스를 의미합니다. 이는 디지털 자산의 유출을 방지하고 시스템의 신뢰성을 확보하는 데 필수적인 요소입니다.

## 데이터 보안의 3요소 (CIA Triad)

데이터 보안의 핵심은 다음 세 가지 원칙을 균형 있게 유지하는 것입니다.

*   **기밀성 (Confidentiality)**: 인가된 사용자만이 정보에 접근할 수 있도록 보장하는 것입니다. 권한이 없는 제3자가 데이터를 읽거나 유출하는 것을 방지합니다.
*   **무결성 (Integrity)**: 데이터가 인가되지 않은 방법으로 변경되지 않고 정확성과 완전성이 유지되는 상태를 의미합니다. 데이터의 위·변조를 방지하는 것이 핵심입니다.
*   **가용성 (Availability)**: 권한이 있는 사용자가 필요할 때 언제든지 데이터와 서비스에 접근하여 사용할 수 있도록 보장하는 것입니다.

## 주요 보안 위협

현대 IT 환경에서 데이터 보안을 위협하는 주요 사례는 다음과 같습니다.

*   **랜섬웨어 (Ransomware)**: 데이터를 암호화하여 사용할 수 없게 만든 뒤, 복구를 대가로 금전을 요구하는 공격입니다.
*   **피싱 (Phishing)**: 신뢰할 수 있는 기관을 사칭하여 사용자의 계정 정보나 비밀번호 등 민감한 정보를 탈취하는 수법입니다.
*   **내부자 위협 (Insider Threat)**: 조직 내부의 직원이나 협력업체 직원이 고의 또는 실수로 데이터를 유출하거나 파괴하는 경우입니다.
*   **SQL 인젝션 (SQL Injection)**: 웹 애플리케이션의 입력창에 악의적인 SQL 구문을 삽입하여 데이터베이스의 정보를 무단으로 조회하거나 수정하는 공격입니다.

## 데이터 보호 기술

데이터를 안전하게 보호하기 위해 다음과 같은 기술적 조치를 적용합니다.

*   **암호화**: 데이터를 읽을 수 없는 형태로 변환하여 보호합니다.
    *   **AES (Advanced Encryption Standard)**: 대칭키 암호화 표준으로 빠른 처리 속도가 특징입니다.
    *   **RSA (Rivest-Shamir-Adleman)**: 공개키 기반의 비대칭키 암호화 방식으로 키 교환에 주로 사용됩니다.
*   **접근 제어**:
    *   **RBAC (Role-Based Access Control)**: 사용자의 역할(Role)에 따라 접근 권한을 차등 부여하는 방식입니다.
*   **인증 강화**:
    *   **MFA (Multi-Factor Authentication)**: 비밀번호 외에 생체 인식, OTP 등 추가 인증 수단을 사용하여 보안성을 높입니다.
*   **백업 및 복구 전략**: 데이터 손실에 대비하여 정기적으로 복제본을 생성하고, 재난 발생 시 신속하게 복구하는 체계를 구축합니다.

### 암호화 방식 vs 해싱 방식 비교

| 구분 | 암호화 (Encryption) | 해싱 (Hashing) |
| :--- | :--- | :--- |
| **가역성** | 양방향 (복호화 가능) | 단방향 (복호화 불가능) |
| **목적** | 데이터의 기밀성 유지 및 전송 | 데이터의 무결성 검증 및 비밀번호 저장 |
| **특징** | 키(Key)를 통해 원래 데이터로 복원 가능 | 동일한 입력값에 대해 항상 동일한 결과값 출력 |

### 데이터 보안 적용 프로세스

보안 체계를 구축하는 일반적인 단계는 다음과 같습니다.

1. **자산 식별**: 보호해야 할 데이터의 종류와 중요도를 분류합니다.
2. **위험 분석**: 발생 가능한 보안 위협과 취약점을 분석하여 위험 수준을 평가합니다.
3. **보안 대책 수립**: 암호화, 접근 제어 등 적절한 보안 기술과 정책을 선정합니다.
4. **정책 적용 및 구현**: 선정된 보안 솔루션을 시스템에 적용하고 운영 정책을 배포합니다.
5. **모니터링 및 감사**: 지속적인 로그 분석과 감사를 통해 보안 상태를 점검하고 개선합니다.

## 관련 법규 및 표준

데이터 보안을 체계적으로 관리하기 위해 국내외에서 다음과 같은 표준과 법규를 준수합니다.

*   **GDPR (General Data Protection Regulation)**: 유럽 연합(EU)의 일반 데이터 보호 규칙으로, 개인정보 보호에 관한 매우 엄격한 기준을 제시합니다.
*   **ISMS-P (Information Security & Personal Information Management System)**: 한국의 정보보호 및 개인정보보호 관리체계 인증 제도로, 국내 기업의 보안 수준을 인증합니다.
*   **ISO/IEC 27001**: 정보보호 경영시스템에 관한 국제 표준으로, 조직의 정보보호 관리 체계 구축 및 운영에 대한 요구사항을 정의합니다.