피싱 방지 다단계 인증으로 민감한 경찰청 데이터 보호하기

미국 남동부의 한 경찰서가 주 감사관들이 이번 주 내에 도착해 360개 문항으로 구성된 CJIS 준수 여부 검토를 실시할 것이라는 통보를 받았을 때, 대부분의 경찰서라면 당황했을 것입니다. 하지만 이 경찰서는 달랐습니다. 바로 이러한 상황을 대비해 신원 확인 인프라를 이미 구축해 두었기 때문입니다.

그들은 약 5시간 만에 감사를 통과했습니다. 그 직후, 같은 시간 내에 FBI CJIS 감사도 통과했습니다.

전체 사례 연구에서는 해당 기업이 도입한 RSA 솔루션과, 감사 결과를 통해 드러난 보안 현황에 대해 설명하고 있습니다.

지금 바로 사례 연구를 다운로드하세요 아니면 이 이야기를 이해하는 데 도움이 되는 핵심 개념과 자주 묻는 질문들을 계속 읽어보세요.

이 사례 연구에서는 다음 내용을 다룹니다:

• 해당 부서가 직면했던 CJIS 규정 준수 관련 구체적인 문제점과, 기존 접근 방식이 왜 보안 취약점을 초래했는지
• RSA의 iShield Key 2 시리즈가 임직원 및 관리자 전반에 어떻게 도입되어, 비밀번호를 하드웨어 기반 인증으로 대체했는지
• 감사관들이 며칠이 아닌 몇 시간 만에 규정 준수 여부를 확인할 수 있었던 이유와, 어떤 문서가 결정적인 역할을 했는지
• 추가 준비 과정 없이 동일한 배포로 주 정부와 FBI의 CJIS 감사 요건을 모두 충족한 방법
• 이 결과가 CJIS의 고급 인증 요건을 준수해야 하는 다른 법 집행 기관들에 어떤 의미를 갖는지

이 사례 연구는 법 집행 기관이 형사 사법 데이터를 보호해야 하는 방식의 핵심이 되는 여러 기술 표준을 언급하고 있습니다. 이러한 정의들은 해당 부서가 충족한 규정 준수 요건의 배경을 설명해 주며, FBI 시스템에 접근하는 모든 기관이 반드시 준수해야 할 사항이기도 합니다.

형사사법 정보(CJI)

형사사법 정보(CJI)란 생체 인식 데이터, 신원 이력, 인적 사항, 재산 정보, 사건 및 사고 이력 등을 포함하여 CJIS 보안 정책에 따라 관리 및 보호되는 민감한 데이터를 의미합니다. CJI에 대한 접근은 FBI에 의해 엄격하게 규제되며, 모든 접근 지점에서 철저한 인증 통제가 요구됩니다. CJI를 저장, 처리 또는 전송하는 모든 기관(연방, 주, 지방)은 정기 감사 시 CJIS 표준을 준수하고 있음을 입증해야 합니다. CJI 시스템에 대한 무단 접근은 진행 중인 수사를 위태롭게 할 수 있으며, 해당 기관의 주요 법 집행 데이터베이스 접근 권한이 정지될 수 있습니다.

CJIS 보안 정책

CJIS 보안 정책은 FBI의 형사사법정보서비스국(Criminal Justice Information Services Division)이 발간한 문서로, FBI 형사사법 데이터 시스템에 접근하는 기관들을 위한 최소 보안 요건을 규정하고 있습니다. 이 정책은 접근 제어, 감사, 구성 관리, 그리고 무엇보다 중요한 고급 인증을 포함한 13개 정책 분야를 다룹니다. 이 정책은 정기적으로 업데이트되며, 위협이 변화함에 따라 기관들이 보안 태세를 지속적으로 개선할 것을 요구합니다. 이를 준수하지 않을 경우, 국가범죄정보센터(NCIC)와 같은 시스템에 대한 접근 권한이 정지될 수 있으며, 이로 인해 기관들은 일상적인 법 집행 업무에 필수적인 데이터를 이용할 수 없게 됩니다.

피싱 방지 다단계 인증(MFA)

피싱 방지 MFA 이는 공격자가 인증 정보를 탈취하거나 재사용하는 것을 방지하기 위해 암호화 메커니즘을 사용하는 인증 방식입니다. SMS를 통해 전송되거나 인증 앱에서 생성된 코드와 같은 공유 비밀에 의존하는 기존의 MFA 방식과 달리, 피싱 방지 MFA는 인증을 특정 물리적 기기와 특정 등록된 애플리케이션에 연동합니다. 이로 인해 사용자가 속아 사기 웹사이트를 방문하더라도 공격자가 인증 응답을 우회하는 것은 기술적으로 불가능합니다. 물리적으로 보안이 확보된 장소 밖에서 CJI에 접근하는 법 집행 기관의 경우, 피싱 방지 MFA는 이제 CJIS 보안 정책에 따라 필수 표준으로 지정되었습니다.

FIDO2 및 패스키

FIDO2는 FIDO 얼라이언스가 개발한 개방형 인증 표준으로, 공개 키 암호화를 사용하여 비밀번호 없이 피싱 공격에 강한 로그인을 가능하게 합니다. 사용자가 FIDO2 기기를 등록하면 고유한 암호 키 쌍이 생성되는데, 개인 키는 기기 외부로 절대 유출되지 않는 반면, 공개 키는 애플리케이션이나 서비스에 등록됩니다. 법 집행 기관의 경우, 하드웨어에 고정된 FIDO2 키는 개인 키를 추출하거나 복사할 수 없으며 다른 기기에서 사용할 수도 없기 때문에 최고 수준의 보안을 제공하며, 이를 통해 인증이 특정 책임 있는 개인에게만 연결되도록 보장합니다.

FIPS 140-3 레벨 3

FIPS 140-3은 NIST에서 발표한 미국 연방 표준으로, 암호화 모듈에 대한 보안 요구 사항을 정의합니다. 레벨 3은 물리적 변조 방지 메커니즘, 암호화 모듈 접근을 위한 신원 기반 인증, 그리고 물리적 공격에 대한 추가적인 환경적 보호 조치를 요구합니다. FIPS 140-3 레벨 3 인증을 받은 하드웨어 인증 장치(예: RSA iShield Key 2 시리즈—암호화 작업 및 키 저장이 엄격한 연방 요건을 충족함을 보증하며, 이를 통해 감사관에게 보안 통제 품질에 대한 즉각적이고 검증 가능한 증거를 제공함으로써 CJIS 감사 검토 과정을 상당히 가속화합니다.