기본 암호화 관리

네이티브 암호화 관리는 운영 체제, 기기 및 플랫폼에 이미 내장된 암호화 기능을 제어하는 것을 의미합니다. 대부분의 조직에서 여기에는 Windows BitLocker, macOS FileVault, Android 파일 기반 암호화, iOS 데이터 보호, 복구 키, 기기 정책 및 보고가 포함됩니다.

목표는 간단합니다. 노트북, 휴대폰, 태블릿 또는 이동식 드라이브를 분실, 도난, 수리, 폐기하거나 권한 없이 액세스하는 경우에도 민감한 데이터가 보호되도록 하는 것입니다.

네이티브 암호화는 이미 플랫폼의 일부이기 때문에 강력합니다. 하지만 여전히 관리가 필요합니다. 명확한 정책, 복구 키 저장, 규정 준수 점검 및 사용자 안내가 없으면 내장 암호화가 일관되지 않거나 문제가 발생했을 때 복구하기 어려워질 수 있습니다.

네이티브 암호화가 수행해야 하는 보안 역할

네이티브 암호화는 저장된 데이터를 보호합니다. 즉, 올바른 인증, 복구 키 또는 잠금 해제 방법이 없으면 기기에 저장된 데이터를 읽을 수 없습니다.

NIST는 저장소 암호화를 노트북, 모바일 기기 및 이동식 미디어와 같은 최종 사용자 기기에 저장된 정보에 대한 액세스를 제한하는 방법으로 설명합니다. 저장소 암호화 지침 ↗은 전체 디스크 암호화, 볼륨 암호화 및 파일 수준 암호화를 이해하기 위한 훌륭한 출발점입니다.

CISA는 기기에 저장된 데이터 보호 ↗ 페이지에서 특히 분실 기기, 이동식 드라이브 및 복구 계획에 관해 유사한 실무 지침을 제공합니다.

실무에서 네이티브 암호화는 네 가지 위험을 줄이는 데 도움이 됩니다:

• 분실한 노트북으로 인해 비즈니스 파일이 노출되는 위험.
• 도난당한 휴대폰을 통해 업무 데이터에 액세스하게 되는 위험.
• 폐기 후에도 폐기된 드라이브의 데이터를 읽을 수 있는 위험.
• 사용자가 자격 증명을 잊어버려 안전한 복구가 필요한 상황.

암호화 자체는 한 부분일 뿐입니다. 보호의 일관성을 결정하는 것은 관리 계층입니다.

네이티브 암호화 관리 통제 맵

네이티브 암호화 관리를 생각하는 가장 쉬운 방법은 단일 스위치가 아니라 일련의 통제로 보는 것입니다.

이 표는 “암호화를 사용할 수 있음”과 “암호화가 실제로 관리됨”의 차이를 보여 줍니다.

Windows: BitLocker 및 기기 암호화 관리

Windows에서 네이티브 암호화는 일반적으로 BitLocker 또는 자동 기기 암호화를 의미합니다.

Microsoft의 BitLocker 개요 ↗에서는 BitLocker가 특히 기기를 분실, 도난 또는 서비스 종료할 때 볼륨을 오프라인 액세스로부터 보호한다고 설명합니다. 관리 환경에서 중요한 것은 BitLocker를 켜는 것만이 아닙니다. 올바른 정책, 복구 방법 및 보고 프로세스가 마련되어 있는지 확인하는 것입니다.

실용적인 Windows 암호화 정책은 다음을 정의해야 합니다:

• 암호화해야 하는 드라이브;
• TPM 전용 보호로 충분한지 여부;
• 고위험 사용자에게 PIN이 필요한지 여부;
• 복구 키를 백업할 위치;
• 복구 키를 검색할 수 있는 사람;
• 실패하거나 일시 중단된 암호화를 보고하는 방법.

복구 계획은 중요합니다. Microsoft의 BitLocker 복구 개요 ↗ 에서는 복구 암호, 복구 키, 키 패키지 및 데이터 복구 에이전트를 포함한 다양한 복구 옵션을 설명합니다. 실제 잠금 문제가 발생하기 전에 팀은 어떤 옵션이 허용되는지 문서화해야 합니다.

macOS 및 Apple 기기: FileVault 및 데이터 보호 관리

macOS에서 네이티브 암호화의 중심은 FileVault입니다. 기기 관리로 FileVault를 관리하는 Apple 가이드 ↗에서는 조직이 FileVault를 적용하고, 사용자 연기를 제어하며, 사용자에게 복구 키를 표시할지 관리하고, 기기 관리를 통해 개인 복구 키를 에스크로하는 방법을 설명합니다.

iPhone, iPad 및 최신 Apple 플랫폼에서 암호화는 데이터 보호와 밀접하게 연결됩니다. Apple의 암호화 및 데이터 보호 개요 ↗에서는 기기를 분실, 도난 또는 손상당했을 때 Apple 기기가 사용자 및 기업 데이터를 보호하는 방법을 설명합니다.

Apple 환경에서 관리는 다음에 중점을 두어야 합니다:

• 적절한 경우 설정 중 FileVault 적용;
• 승인된 관리 시스템에 복구 키 에스크로;
• 사용 후 복구 키 교체;
• 암호화된 볼륨의 잠금을 해제할 수 있는 사용자 확인;
• 기기 마이그레이션 또는 재할당 시 발생하는 일을 문서화.

주요 위험은 “Apple 기기는 암호화되어 있다”는 말이 조직이 복구와 보고를 통제하고 있다는 의미라고 가정하는 것입니다. 이는 별개의 문제입니다.

Android: 기기 정책을 통한 암호화 관리

Android 기기에도 네이티브 암호화가 포함되어 있습니다. Android의 파일 기반 암호화를 사용하면 서로 다른 파일을 서로 다른 키로 암호화할 수 있으며, Android Open Source Project는 파일 기반 암호화 문서 ↗.에서 이 모델을 설명합니다.

비즈니스 기기의 암호화 관리는 일반적으로 Android Enterprise를 통해 처리됩니다. Google의 Android 관리 ↗ 가이드에서는 조직이 관리 솔루션을 통해 화면 잠금 및 저장소 암호화와 같은 보안 정책을 적용할 수 있다고 설명합니다.

Android 암호화 관리는 다음을 정의해야 합니다:

• 업무용 사용이 허용되는 기기;
• 기기가 완전 관리형인지, 업무 프로필을 사용하는 BYOD인지 여부;
• 필요한 화면 잠금 강도;
• 분실한 기기를 잠그거나 초기화하는 방법;
• 규정 준수 상태를 모니터링하는 방법;
• 이전 기기가 여전히 보안 요구 사항을 충족하는지 여부.

Android 암호화는 기기 등록, 잠금 화면 정책, 업데이트 요구 사항 및 원격 초기화와 함께 사용할 때 가장 강력합니다.

키 관리는 실제 관리 문제입니다

암호화는 키에 의존합니다. 당연하게 들리지만, 많은 암호화 프로그램은 키 관리가 취약해서 실패합니다.

NIST의 키 관리 지침 ↗은 암호 키 자료의 계획, 보호, 수명 주기 및 거버넌스를 다룹니다. 네이티브 암호화에서 실무적인 질문은 보통 다음과 같습니다. 복구 키는 어디에 저장되며, 누가 사용할 수 있습니까?

우수한 복구 키 프로세스는 다음에 답해야 합니다:

1. 키는 어디에 에스크로됩니까? 2. 키는 자동으로 저장됩니까, 수동으로 저장됩니까? 3. 누가 키를 검색할 수 있습니까? 4. 검색은 기록됩니까? 5. 사용 후 키를 교체합니까? 6. 기기가 폐기되면 어떻게 됩니까? 7. 관리 시스템이 바뀌면 어떻게 됩니까?

복구 키를 스크린샷, 스프레드시트, 공유 드라이브 또는 개인 메모에 보관하지 마십시오. 복구 액세스는 통제되고 기록되며 제한되어야 합니다.

실용적인 도입 순서

단계적으로 도입하면 네이티브 암호화 관리가 더 쉬워집니다.

1단계: 기기 인벤토리 작성

비즈니스 데이터를 저장할 수 있는 노트북, 데스크톱, 휴대폰, 태블릿 및 이동식 드라이브를 나열합니다.

2단계: 필요한 적용 범위 정의

어떤 기기 유형에서 네이티브 암호화를 사용해야 하는지, 어떤 예외를 허용할지 결정합니다.

3단계: 플랫폼 정책 선택

광범위하게 배포하기 전에 BitLocker, FileVault, Android 및 기타 플랫폼 규칙을 설정합니다.

4단계: 복구 키 에스크로 구성

사용자가 복구 키에 의존하기 전에 승인된 시스템에 복구 키가 저장되는지 확인합니다.

5단계: 소규모 그룹으로 파일럿 운영

복구, 정책 충돌, 기기 마이그레이션 및 사용자 커뮤니케이션을 테스트합니다.

6단계: 점진적으로 적용

파일럿 문제를 해결한 후 보고 전용 모드에서 적용 모드로 전환합니다.

7단계: 지속적으로 모니터링

암호화 상태, 일시 중단된 보호, 실패한 에스크로, 관리되지 않는 기기 및 복구 이벤트를 검토합니다.

이 순서는 가장 흔한 실수, 즉 복구를 테스트하기 전에 광범위하게 암호화를 활성화하는 것을 방지합니다.

경영진에게 보고할 내용

보안 리더에게 모든 기술 설정이 필요한 것은 아닙니다. 적용 범위, 위험 및 준비 상태에 대한 명확한 보기가 필요합니다.

유용한 네이티브 암호화 보고서에는 다음이 표시되어야 합니다:

• 암호화된 관리 기기의 비율;
• 복구 키가 없는 기기 수;
• 암호화가 일시 중단되었거나 실패한 기기;
• 적용 범위에 포함되지 않은 고위험 사용자 또는 팀;
• 보고 기간 중 발생한 복구 이벤트;
• 폐기 또는 초기화를 기다리는 기기;
• 정책 예외 및 담당자.

암호화 적용 범위를 임원이나 고객에게 설명해야 한다면 Pi를 사용해 네이티브 암호화 정책을 이해관계자용 프레젠테이션으로 전환할 수 있습니다 ↗. 프레젠테이션을 기술 정보의 나열로 만들지 않고 적용 범위, 위험, 복구 준비 상태 및 다음 단계를 보고하는 데 사용하세요.

네이티브 암호화만으로 충분하지 않은 경우

네이티브 암호화는 저장된 데이터를 보호하지만, 모든 보안 문제를 해결하지는 않습니다.

다음을 대체하지는 않습니다:

• ID 및 액세스 관리;
• 엔드포인트 탐지 및 대응;
• 백업 및 재해 복구;
• 패치 관리;
• 데이터 손실 방지;
• 피싱 방지;
• 클라우드 액세스 제어;
• 안전한 기기 폐기.

또한 권한 있는 사용자가 기기의 잠금을 해제하고 일반적으로 파일에 액세스한 후의 데이터를 보호하지는 않습니다. 시스템이 실행 중이고 사용자가 인증된 후에도 다른 통제가 필요합니다.

네이티브 암호화는 전체 보안 전략이 아니라 기준선 통제로 취급해야 합니다.

결론

네이티브 암호화 관리는 내장 암호화를 신뢰할 수 있게 만드는 일입니다. BitLocker, FileVault, Android 암호화 또는 Apple 데이터 보호를 활성화하는 것은 시작일 뿐입니다.

성숙한 프로그램은 적용 범위를 정의하고, 정책을 적용하며, 복구 키를 에스크로하고, 복구 액세스를 제한하며, 규정 준수를 모니터링하고, 기기를 분실, 잠금, 마이그레이션 또는 폐기할 때 어떤 일이 발생하는지 테스트합니다.

최고의 암호화 프로그램은 가장 강력한 체크박스를 가진 프로그램이 아닙니다. 조직이 실제로 필요로 할 때 보호, 복구 및 보고가 모두 작동하는 프로그램입니다.