기본 암호화 관리

네이티브 암호화 관리는 운영 체제, 기기 및 플랫폼에 이미 내장된 암호화 기능을 제어하는 것을 의미합니다. 대부분의 조직에서 여기에는 Windows BitLocker, macOS FileVault, Android 파일 기반 암호화, iOS 데이터 보호, 복구 키, 기기 정책 및 보고가 포함됩니다.

목표는 간단합니다. 노트북, 휴대폰, 태블릿 또는 이동식 드라이브를 분실, 도난, 수리, 폐기하거나 무단으로 액세스하더라도 민감한 데이터가 보호되도록 하는 것입니다.

네이티브 암호화는 이미 플랫폼의 일부이기 때문에 강력합니다. 하지만 여전히 관리가 필요합니다. 명확한 정책, 복구 키 저장, 규정 준수 확인 및 사용자 안내가 없으면 내장 암호화가 일관되지 않거나 문제가 발생했을 때 복구하기 어려워질 수 있습니다.

네이티브 암호화가 수행해야 하는 보안 역할

네이티브 암호화는 저장 데이터를 보호합니다. 즉, 적절한 인증, 복구 키 또는 잠금 해제 방법이 없으면 기기에 저장된 데이터를 읽을 수 없도록 합니다.

NIST는 저장소 암호화를 노트북, 모바일 기기 및 이동식 미디어와 같은 최종 사용자 기기에 저장된 정보에 대한 액세스를 제한하는 방법으로 설명합니다. 저장소 암호화 지침 ↗은 전체 디스크 암호화, 볼륨 암호화 및 파일 수준 암호화를 이해하기 위한 훌륭한 출발점입니다.

CISA는 저장된 기기 데이터 보호 ↗ 페이지에서 특히 분실 기기, 이동식 드라이브 및 복구 계획에 대해 유사한 실용적 지침을 제공합니다.

실제로 네이티브 암호화는 네 가지 위험에 도움이 됩니다:

• 분실된 노트북으로 인한 비즈니스 파일 노출.
• 도난당한 휴대폰을 통한 업무 데이터 액세스.
• 폐기 후에도 읽을 수 있는 퇴역 드라이브.
• 사용자가 자격 증명을 잊어버려 안전한 복구가 필요한 상황.

암호화 자체는 한 부분일 뿐입니다. 보호가 일관적인지는 관리 계층이 결정합니다.

네이티브 암호화 관리 제어 맵

네이티브 암호화 관리를 생각하는 가장 쉬운 방법은 단일 스위치가 아니라 일련의 제어 항목으로 보는 것입니다.

이 표는 “암호화를 사용할 수 있음”과 “암호화가 실제로 관리됨”의 차이를 보여 줍니다.

Windows: BitLocker 및 기기 암호화 관리

Windows에서 네이티브 암호화는 일반적으로 BitLocker 또는 자동 기기 암호화를 의미합니다.

Microsoft의 BitLocker 개요 ↗에서는 BitLocker가 특히 기기를 분실, 도난 또는 서비스 종료할 때 볼륨을 오프라인 액세스로부터 보호한다고 설명합니다. 관리 환경에서 중요한 것은 BitLocker를 켜는 것만이 아닙니다. 올바른 정책, 복구 방법 및 보고 프로세스가 마련되어 있는지 확인하는 것입니다.

실용적인 Windows 암호화 정책은 다음을 정의해야 합니다:

• 암호화해야 하는 드라이브;
• TPM 전용 보호로 충분한지 여부;
• 더 높은 위험의 사용자에게 PIN이 필요한지 여부;
• 복구 키를 백업할 위치;
• 복구 키를 검색할 수 있는 사람;
• 실패하거나 일시 중단된 암호화를 보고하는 방법.

복구 계획은 중요합니다. Microsoft의 BitLocker 복구 개요 ↗ 에서는 복구 암호, 복구 키, 키 패키지 및 데이터 복구 에이전트를 포함한 여러 복구 옵션을 설명합니다. 실제 잠금 문제가 발생하기 전에 팀은 어떤 옵션을 허용할지 문서화해야 합니다.

macOS 및 Apple 기기: FileVault 및 데이터 보호 관리

macOS에서 네이티브 암호화의 중심은 FileVault입니다. 기기 관리로 FileVault를 관리하는 Apple 가이드 ↗에서는 조직이 FileVault를 적용하고, 사용자 연기를 제어하며, 복구 키를 사용자에게 표시할지 관리하고, 기기 관리를 통해 개인 복구 키를 에스크로하는 방법을 설명합니다.

iPhone, iPad 및 최신 Apple 플랫폼에서 암호화는 데이터 보호와 밀접하게 연결되어 있습니다. Apple의 암호화 및 데이터 보호 개요 ↗에서는 기기가 분실, 도난 또는 손상되었을 때 Apple 기기가 사용자 및 기업 데이터를 보호하는 방법을 설명합니다.

Apple 환경의 경우 관리는 다음에 집중해야 합니다:

• 적절한 경우 설정 중 FileVault 적용;
• 승인된 관리 시스템에 복구 키 에스크로;
• 사용 후 복구 키 교체;
• 암호화된 볼륨을 잠금 해제할 수 있는 사용자를 확인;
• 기기 마이그레이션 또는 재할당 중 발생하는 일을 문서화.

주요 위험은 “Apple 기기는 암호화되어 있다”는 것이 조직이 복구 및 보고를 통제하고 있다는 의미라고 가정하는 것입니다. 이는 별개의 문제입니다.

Android: 기기 정책을 통한 암호화 관리

Android 기기에도 네이티브 암호화가 포함되어 있습니다. Android의 파일 기반 암호화는 서로 다른 파일을 서로 다른 키로 암호화할 수 있게 하며, Android Open Source Project는 파일 기반 암호화 문서 ↗.에서 이 모델을 설명합니다.

비즈니스 기기의 경우 암호화 관리는 일반적으로 Android Enterprise를 통해 처리됩니다. Google의 Android 관리 ↗ 가이드에서는 조직이 관리 솔루션을 통해 화면 잠금 및 저장소 암호화와 같은 보안 정책을 적용할 수 있다고 설명합니다.

Android 암호화 관리는 다음을 정의해야 합니다:

• 업무용으로 허용되는 기기;
• 기기가 완전 관리형인지, 업무 프로필을 사용하는 BYOD인지 여부;
• 필요한 화면 잠금 강도;
• 분실 기기를 잠그거나 삭제하는 방법;
• 규정 준수 상태를 모니터링하는 방법;
• 구형 기기가 여전히 보안 요구 사항을 충족하는지 여부.

Android 암호화는 기기 등록, 잠금 화면 정책, 업데이트 요구 사항 및 원격 삭제와 함께 사용할 때 가장 강력합니다.

키 관리는 실제 관리 문제입니다

암호화는 키에 의존합니다. 이는 당연해 보이지만, 많은 암호화 프로그램은 키 관리가 취약하기 때문에 실패합니다.

NIST의 키 관리 지침 ↗은 암호화 키 자료의 계획, 보호, 수명 주기 및 거버넌스를 다룹니다. 네이티브 암호화에서 실질적인 질문은 대개 다음과 같습니다. 복구 키는 어디에 저장되며, 누가 이를 사용할 수 있는가?

좋은 복구 키 프로세스는 다음에 답해야 합니다:

1. 키는 어디에 에스크로되는가? 2. 키는 자동으로 저장되는가, 수동으로 저장되는가? 3. 누가 검색할 수 있는가? 4. 검색이 기록되는가? 5. 사용 후 키가 교체되는가? 6. 기기가 퇴역하면 어떻게 되는가? 7. 관리 시스템이 변경되면 어떻게 되는가?

복구 키를 스크린샷, 스프레드시트, 공유 드라이브 또는 개인 메모에 남겨두지 마세요. 복구 액세스는 통제되고, 기록되며, 제한되어야 합니다.

실용적인 도입 순서

네이티브 암호화 관리는 단계적으로 도입하면 더 쉬워집니다.

1단계: 기기 인벤토리 작성

비즈니스 데이터를 저장할 수 있는 노트북, 데스크톱, 휴대폰, 태블릿 및 이동식 드라이브를 나열합니다.

2단계: 필수 적용 범위 정의

어떤 기기 유형이 네이티브 암호화를 사용해야 하는지, 어떤 예외를 허용할지 결정합니다.

3단계: 플랫폼 정책 선택

광범위하게 배포하기 전에 BitLocker, FileVault, Android 및 기타 플랫폼 규칙을 설정합니다.

4단계: 복구 키 에스크로 구성

사용자가 복구 키에 의존하기 전에 해당 키가 승인된 시스템에 저장되었는지 확인합니다.

5단계: 소규모 그룹으로 파일럿 진행

복구, 정책 충돌, 기기 마이그레이션 및 사용자 커뮤니케이션을 테스트합니다.

6단계: 점진적으로 적용

파일럿 문제를 해결한 후 보고 전용 모드에서 적용 모드로 전환합니다.

7단계: 지속적으로 모니터링

암호화 상태, 일시 중단된 보호, 실패한 에스크로, 관리되지 않는 기기 및 복구 이벤트를 검토합니다.

이 순서는 가장 흔한 실수를 방지합니다. 즉, 복구를 테스트하기 전에 광범위하게 암호화를 활성화하는 실수입니다.

경영진에게 보고할 내용

보안 리더에게는 모든 기술 설정이 필요하지 않습니다. 적용 범위, 위험 및 준비 상태를 명확히 파악해야 합니다.

유용한 네이티브 암호화 보고서에는 다음이 표시되어야 합니다:

• 암호화된 관리 기기의 비율;
• 복구 키가 없는 기기 수;
• 암호화가 일시 중단되었거나 실패한 기기;
• 적용 범위에 포함되지 않은 고위험 사용자 또는 팀;
• 보고 기간 중 복구 이벤트;
• 퇴역 또는 삭제 대기 중인 기기;
• 정책 예외 및 담당자.

경영진이나 고객에게 암호화 적용 범위를 설명해야 한다면 네이티브 암호화 정책을 Pi로 이해관계자용 프레젠테이션으로 전환할 수 있습니다 ↗. 이를 사용하여 프레젠테이션을 기술적인 정보 과부하로 만들지 않고 적용 범위, 위험, 복구 준비 상태 및 다음 단계를 보고하세요.

네이티브 암호화만으로 충분하지 않은 경우

네이티브 암호화는 저장 데이터를 보호하지만, 모든 보안 문제를 해결하지는 않습니다.

다음을 대체하지는 않습니다:

• ID 및 액세스 관리;
• 엔드포인트 탐지 및 대응;
• 백업 및 재해 복구;
• 패치 관리;
• 데이터 유출 방지;
• 피싱 방지;
• 클라우드 액세스 제어;
• 안전한 기기 폐기.

또한 권한이 있는 사용자가 기기의 잠금을 해제하고 일반적으로 파일에 액세스한 후에는 데이터를 보호하지 않습니다. 시스템이 실행 중이고 사용자가 인증된 후에도 다른 제어가 필요합니다.

네이티브 암호화는 전체 보안 전략이 아니라 기준선 제어로 취급해야 합니다.

결론

네이티브 암호화 관리는 내장 암호화를 신뢰할 수 있게 만드는 일입니다. BitLocker, FileVault, Android 암호화 또는 Apple 데이터 보호를 켜는 것은 시작일 뿐입니다.

성숙한 프로그램은 적용 범위를 정의하고, 정책을 적용하며, 복구 키를 에스크로하고, 복구 액세스를 제한하며, 규정 준수를 모니터링하고, 기기를 분실, 잠금, 마이그레이션 또는 퇴역할 때 발생하는 상황을 테스트합니다.

최고의 암호화 프로그램은 가장 강력한 체크박스를 갖춘 프로그램이 아닙니다. 조직에 실제로 필요할 때 보호, 복구 및 보고가 모두 작동하는 프로그램입니다.