운영 보안 (Operations Security, OpSec)

운영 보안(OpSec)은 아군의 활동이 상대의 정보 수집에 의해 관찰될 수 있는지 판단하기 위해 중요한 정보를 식별하고, 상대가 얻은 정보가 그들에게 유용하게 해석될 수 있는지 판단한 다음, 상대가 아군의 중요한 정보를 악용하지 못하도록 이를 제거하거나 줄이는 선별된 조치를 실행하는 프로세스입니다. 군사 분야에서 시작된 개념으로, 군에서는 「작전 보안」이라고도 번역합니다.

OpSec의 다섯 단계

1. 중요 정보 식별: 상대의 손에 들어가면 가치가 있을 정보를 가려냅니다. 부대 이동, 기업 기밀, 개인의 자산 규모나 집 주소 등이 예입니다.
2. 위협 분석: 누가 그 정보를 원하고, 어떤 수단으로 수집할 수 있는지 평가합니다.
3. 취약점 분석: 아군의 행동 가운데 어디에서 정보가 새어 나갈 수 있는지 찾습니다. 예를 들어 감시 카메라가 제한 구역을 촬영할 수 있는지, SNS 게시물이 위치를 드러내는지 확인합니다.
4. 위험 평가: 유출 가능성과 피해 규모를 비교해 어떤 취약점부터 막을지 정합니다.
5. 조치 적용: 암호화, 보안 통신 프로토콜, 접근 통제, 공개 정보 최소화 같은 대책을 실행하고 주기적으로 다시 점검합니다.

실제 사례

• 군사 작전: 군인들은 안전하지 않은 통신 채널로 계획을 논의하지 않고, 암호화된 메시지와 암호명을 사용해 상대가 전략을 가로채지 못하게 합니다.
• 기업 환경: 신제품을 준비하는 회사는 개발 정보에 대한 접근 권한을 핵심 인력으로 제한해 경쟁자에게 정보가 새지 않게 합니다.
• 개인 보안: 도둑이 집이 비는 시기를 알 수 없도록 상세한 휴가 계획을 SNS에 올리지 않습니다.

암호화폐 보유자의 운영 보안

암호화폐는 개인 키만 있으면 이전할 수 있고 되돌리기 어렵기 때문에 운영 보안이 특히 중요합니다. 악의를 가진 누군가가 흩어진 정보를 짜 맞춰 보유자와 그 자산을 파악할 수 있습니다. 새 차를 자랑하는 SNS 게시물 하나, 거래소 이용 사실, 공개된 지갑 주소가 결합되면 표적이 될 수 있습니다.

• 보유 규모, 사용하는 거래소와 지갑, 집 주소처럼 공개되면 자산을 위험에 빠뜨릴 정보를 먼저 정리합니다.
• 강력하고 고유한 비밀번호와 2단계 인증을 쓰고, 시드 문구와 개인 키는 온라인에 보관하지 않습니다.
• 온라인에 무엇을 공유하는지 주의하고, 피싱과 사회공학적 접근을 경계합니다.

OpSec의 목표는 민감한 정보를 기밀로 유지해, 이를 개인이나 조직에 불리하게 이용할 수 있는 사람들의 손에 들어가지 않게 하는 것입니다. 사이버 보안, 물리적 보안, 군사 작전, 개인 보안 등 여러 영역에 같은 원칙이 적용됩니다.