사이버보안 용어 흔한 오해 피하기

단어는 어렵습니다. 영어도 어렵습니다. 우리가 어떻게든 의사소통하는 게 거의 기적입니다.

때론 오스카 와일드나 마크 트웨인 같은 위대한 작가들처럼 캐릭터나 상황을 독자가 완벽히 상상하게 묘사할 수 있으면 좋겠습니다.

대신 저는 셰익스피어 같아 두렵습니다. 단어를 발명하고, 미친 운율에 맞게 비틀어, 나 같은 보통 사람은 의도된 의미를 이해하기 힘들게 만드니까요(참고로 전 셰익스피어를 사랑합니다).

불행히도 제 분야엔 동료 셰익스피어들이 가득한 듯합니다. 알파벳 수프를 벽에 던지고 결과를 찻잎 읽듯 읽는 사람들 – 다만 정확도는 더 떨어집니다.

그게 진짜 무슨 뜻인가?

NIST 사이버보안 용어집의 근간인 사이버보안 용어 데이터베이스를 만들 때, "위험"과 "보안" 같은 보편적 용어조차 얼마나 많은 혼란이 있는지 놀랐습니다. "사이버보안"이 진짜 무슨 뜻인지에 대한 진정한 합의는 여전히 없습니다!

그래서 사이버보안 분야에서 흔히 오용되는 용어 목록을 정리했습니다(비공식 설명으로 정보 제공 목적):

데이터 vs 정보 vs 지식

데이터는 보통 정보 구성 비트와 바이트로 간주. 정보는 여러 비트와 바이트를 유용한 것으로 만듦. 예: 온도 센서가 "102" 읽어도, 정보는 사람 입에 있던 온도 센서에서 102°F임을 알려줌. 지식은 정보가 행동으로 전환되게 함. 사람 102°F는 너무 높음 알림. 데이터, 정보, 지식 경계 모호하지만 그 경계를 격렬히 주장하는 이들도 있음.

위협 vs 위험

위협은 나쁜 일이 일어날 수 있는 것 또는 나쁜 일 일으킬 주체(위협 행위자)로 쓰임. 위험은 나쁜 일 발생 확률과 잠재적 결과 포함. 사람들이 이 단어들을 (잘못) 상호 교환해 사용함.

위험 관리

나쁜 일이 일어날 잠재성에 대응하는 프로세스. 일반적으로 네 옵션: 위험 수용, 전가, 회피, 완화. 누구와 말하느냐에 따라 최소 8개 옵션 있지만, 이 네 가지가 전통적. 사이버보안 전문가 위험 관리 말할 때 위험 관리 프레임워크에 명시된 프로세스 의미할 수 있음.

사이버보안

기본적으로 컴퓨터 시스템(네트워크, 인터넷, '스마트' 모든 것) 보호. 하지만 정보 보증, 데이터 보호, 프라이버시도 포괄하는 우산 용어로 쓰임. 누군가가 "사이버"가 뭔지 제대로 설명할 때까지 이 용어 계속 변할 것.

정보 보증(또는 보안)

어떤 사실, 뉴스, 지식, 때론 데이터를 종이, 전자, 석판, 신호, 암기 등 어떤 형태로든 보호. 종종 사이버보안과 혼동되어 그 우산 아래 놓임.

표준

많은 사람들이 NIST 특수 출판물(SP)을 표준이라 잘못 부르지만, 좀 더 복잡함. NIST는 공식 표준 개발 – 연방정보처리표준(FIPS) 예: FIPS 200, FIPS 140-3. NIST는 산업/국제 표준 개발에도 참여. 표준이 품질 수준이나 인정된 규범 의미하기도 함. 이 경우 NIST 출판물 종종 표준으로 쓰임. 미묘하지만 중요한 차이. 그래도 일반적으로 NIST 특수출판물(SP), 내부/기관간 보고서(IR), 백서 등 FIPS 아닌 것을 표준이라 부르지 말고 "출판물", "문서", "가이드" 용어 쓰는 게 최선.

요건 vs 통제

둘 다 조직이 사이버보안 위험 관리를 위해 가질/수행할 특정 활동, 프로세스, 관행, 역량 식별에 쓰임. 통제는 의무 아닐 수 있으나 요건은 일반적으로 의무. 문서가 어떤 용어 쓰는지 확인 최선. 예: 많은 사람이 NIST SP 800-171 요건을 통제라 부르는데 부정확.

감사 vs 평가

사이버보안에서 감사는 타 분야보다 더 공식적이고 부정적 뉘앙스. 감사는 데이터 유출 같은 사고 후(일반적 내부 감사), 고객 요청 시(보통 고객 수행 외부 감사), 인증 취득 시(제3자 감사) 수행. 평가는 보통 더 친근한 건강 검진 스타일. 다양한 활동 포괄, 좁거나 넓을 수 있음, 평가받는 회사 희망이나 상황 적절성에 따라 엄격도 조절. 예외: 사이버보안 성숙도 모델 인증(CMMC) 프로그램은 평가를 회사 평가 공식 방법으로 사용.

준수

준수는 보통 요건(내부/외부, 때론 규제) 충족 의미, 종종 인증이나 확약으로 표시. "NIST 준수" 같은 구절 자주 쓰임. 오해 소지: NIST가 요건 강제하거나 회사 제품/프로세스 보안 인증/확약하는 걸로 해석될 수 있음. 보통 "NIST 준수" 의미는 회사가 NIST 출판물 관행/절차 사용해 어떤 요건 충족함. 이게 준수 활동으로 보일 수 있지만, 어떤 규칙/요건이 준수 대상인지 명시해 혼란 피하는 게 최선. 예: NIST SP 800-171 따라 DFARS 준수. 예외: 암호 알고리즘/모듈 경우 올바른 용어는 검증됨, 준수는 전체 제품 공식 평가 안 됨 의미.

영어 단어들은 인터넷 밈만큼 빠르게 진화 – 백만 셰익스피어들이 영어를 뒷골목으로 끌고 가 도살, 조작, 접어 알아보기 힘든 대본 만듦. 사이버보안 분야서 이 일이 무모하게 벌어지는 듯. 하지만 이 핵심 용어들과 사용법 이해가 귀사 사이버보안 니즈 이해와 소통에 도움 될 것.