정보자산

Information Asset; 정보 자산
조직이 업무를 수행하는 데 필요하고 가치를 가지므로 보호해야 하는 정보와, 그 정보를 수집·처리·저장·전송하는 하드웨어·소프트웨어·시설·사람 등의 총칭

정보보호는 무엇을 지킬지 아는 데서 시작한다. 목록에 없는 자산은 위험 평가에도, 패치 대상에도, 접근 권한 검토에도 들어가지 않으므로 공격자가 가장 먼저 노리는 빈틈이 된다. 그래서 정보보호 관리체계는 자산 식별과 목록 관리를 위험 관리의 첫 단계로 둔다. 한국 ISMS-P는 ISMS-P 1.2.1 정보자산 식별에서 분류 기준을 세워 관리체계 범위 안의 모든 정보자산을 식별·분류하고 중요도를 산정해 목록을 최신으로 관리하도록 하고, ISMS-P 2.1.3 정보자산 관리에서 보안등급에 따른 취급 절차와 자산별 책임 소재를 정하도록 한다. CISSP 출제 기준 2.3은 정보·자산의 소유권, 자산 목록(유형·무형), 자산 관리를 다룬다.

자산 유형별 분류

서버, 데이터(DMMS), 정보시스템(응용프로그램), 소프트웨어, 네트워크장비, 보안시스템, PC, 정보, 설비, 시설 등

자산 유형별 항목(예)

서버 : 호스트 명칭, 자산 일련번호, 모델명, 용도, IP주소, 관리 부서명, 관리 실무자, 관리 책임자, 보안등급 등
데이터 : 데이터베이스명, Table명,(개인)정보 항목명(예: 이름, 성별, 생년월일, 휴대폰번호, 이메일 등), 관리 부서명, 관리 실무자, 관리 책임자, 저장 시스템(호스트 명칭), 저장 위치(IP주소), 보안등급 등
정보시스템 : 서버, PC 등 단말기, 보조저장매체, 네트워크 장비, 응용 프로그램 등 정보의 수집, 가공, 저장, 검색, 송수신에 필요한 하드웨어 및 소프트웨어
보안시스템 : 정보의 훼손, 변조, 유출 등을 방지하기 위하여 구축된 시스템으로 침입차단 시스템, 침입탐지시스템, 침입방지시스템, 개인정보유출방지시스템 등을 포함
정보 : 문서적 정보와 전자적 정보 모두를 포함(중요정보, 개인정보 등)

소유권

모든 자산에는 소유자(owner)가 있어야 한다. 소유자는 자산의 업무 가치를 가장 잘 아는 사람, 보통 그 자산을 쓰는 업무의 책임 관리자이며, 다음을 책임진다.

책임	내용
분류와 중요도 결정	자산에 담긴 정보의 등급과 자산 중요도를 정한다(데이터 분류 참고).
접근 승인	누가 어떤 권한으로 쓸 수 있는지 승인하고 정기적으로 검토한다.
보호 요구사항 결정	암호화, 백업, 복구 목표, 보존 기간 등 필요한 보호 수준을 정한다.
운영 위임 감독	실제 운영은 관리 책임자(custodian)에게 맡기되 결과를 감독한다. 책임 자체는 위임되지 않는다.
수명 주기 결정	도입, 재배치, 교체, 폐기 시점과 폐기 시 소거 방법을 승인한다.

소유자가 퇴사하거나 조직이 바뀔 때 소유권을 넘기는 절차가 없으면 "주인 없는 자산"이 생긴다. 역할별 책임 구분은 데이터 관리 역할 문서를 참고한다.

자산 목록

자산 목록(asset inventory)에는 물리적 형태가 있는 유형 자산과 형태가 없는 무형 자산을 모두 넣는다.

구분	예	관리 포인트
유형 자산(tangible)	서버, PC, 노트북, 모바일 기기, 네트워크·보안 장비, 저장 매체, 출력물, 시설과 설비	일련번호, 위치, 사용자, 구성 정보, 지원 종료일
무형 자산(intangible)	데이터와 데이터베이스, 소프트웨어와 라이선스, 클라우드 서비스 계정, 지식재산(특허, 영업비밀, 소스 코드), 평판과 브랜드, 직원의 지식과 노하우	소유자, 보안등급, 저장 위치, 라이선스 조건, 법적 보호 수단

무형 자산은 장부에 잘 드러나지 않지만 피해가 더 큰 경우가 많다. 고객 데이터 유출은 서버 한 대 도난보다 평판 손실이 훨씬 크고, 소스 코드나 영업비밀 유출은 경쟁력을 잃게 한다(지식재산권 참고). 미국 NIST 사이버보안 프레임워크(CSF) 2.0의 자산 관리(ID.AM) 범주도 하드웨어 목록, 소프트웨어·서비스·시스템 목록, 승인된 네트워크 통신과 데이터 흐름, 공급자가 제공하는 서비스 목록, 데이터와 메타데이터 목록을 유지하고, 분류·중요도에 따라 자산의 우선순위를 정하며, 시스템·하드웨어·소프트웨어·서비스·데이터를 수명 주기 전체에 걸쳐 관리하도록 한다.

자산 관리

자산 관리(asset management)는 목록을 한 번 만드는 일이 아니라 자산의 수명 주기 전체를 따라가며 상태를 최신으로 유지하는 일이다.

단계	보안 활동
계획·도입	보안 요구사항 반영, 공급자 검증, 도입 즉시 목록 등록과 소유자 지정
배포·운영	기준 구성 적용(보안 기준선), 패치, 접근 권한 관리, 변경 시 목록 갱신
재배치·유지보수	이동·수리 반출 시 데이터 보호, 반출 기록
폐기	저장 매체 소거·파괴, 라이선스·계정 회수, 목록에서 폐기 상태로 변경(데이터 잔존 참고)

형상 관리 데이터베이스(CMDB): 자산과 자산 사이의 관계(어느 서버가 어느 서비스를 지원하는지)까지 기록해 변경 영향 분석과 장애 대응에 쓴다.
자동 탐지: 네트워크 스캔, 엔드포인트 에이전트, 클라우드 API 조회, NAC 연동으로 실제 존재하는 자산을 찾아 목록과 대조한다. 수작업 목록은 금방 낡는다.
섀도 IT: 정보 부서가 모르는 사이 현업이 도입한 클라우드 서비스, 개인 기기, 무단 설치 소프트웨어는 목록 밖 자산이다. CASB와 네트워크 모니터링으로 찾아내 승인하거나 차단한다.
수명 주기 날짜: 제조사 지원 종료일을 목록에 넣어 교체 계획을 미리 세운다(제품 지원 종료 참고).
AI 자산: 학습 데이터셋, 모델 파일, 모델 API 키, AI 에이전트가 쓰는 서비스 계정도 자산 목록에 넣고 소유자를 지정한다.

자산의 중요도를 매기는 방법은 자산의 중요도 평가기준 문서를 참고한다.

시험 포인트

자산 보호의 첫 단계는 자산 식별과 목록화이다. 목록에 없는 자산은 보호할 수 없다.
모든 자산에는 소유자가 있어야 하며, 소유자는 분류와 보호 수준을 결정하는 최종 책임자이다.
무형 자산(데이터, 지식재산, 평판)도 목록과 보호 대상에 포함한다.
목록은 자동 탐지로 실제 환경과 계속 대조한다. 섀도 IT는 목록 밖 자산의 대표 예이다.
자산 관리는 도입부터 폐기까지 수명 주기 전체를 다룬다. 폐기 단계의 매체 소거를 빠뜨리지 않는다.

같이 보기

참고 문헌

ISMS-P 인증기준 세부점검항목 자료실 – 한국인터넷진흥원
The NIST Cybersecurity Framework (CSF) 2.0 – NIST
NIST SP 1800-5, IT Asset Management – NIST