전 세계 여러 정부 기관 중 한 곳에서 근무하거나, 의료, 금융 서비스, 법률 서비스 또는 민감하지만 기밀로 분류되지 않은(SBU) 데이터의 수집 및 전송을 다루는 기타 업종에 종사한다면 연방 정보 처리 표준(FIPS)에 이미 익숙할 가능성이 높습니다.
그렇지 않다면, 간단히 설명해 드리겠습니다:
FIPS는 다양한 보안 분야에 적용되는 미국 정부 표준입니다. 미국과 캐나다 정부 산하 기관, 구체적으로는 미국 국립표준기술연구소(NIST)와 캐나다 통신보안국(CSE)이 관리합니다.
보안의 다양한 요소를 다루는 FIPS 요구 사항은 매우 다양합니다. 예를 들어 고급 암호화 표준(AES)인 FIPS 197과 연방 정부 직원 및 계약업체의 개인 신원 확인(PIV)에 관한 FIPS 201이 있습니다. FIPS 201은 여러 정부 기관에서 신원 확인에 사용하는 PIV 카드의 기반이 됩니다.
네트워크 및 클라우드 보안 분야에서 가장 밀접하게 적용되는 FIPS 요구 사항 중 하나는 FIPS 140-2입니다. 이는 암호화 기능을 수행하는 하드웨어, 소프트웨어 및 펌웨어 조합의 보안을 검증하고 인증하는 암호화 모듈 보안 인증에 적용됩니다. 보안을 중시하는 기업뿐만 아니라 미국 연방 정부 및 캐나다 정부의 많은 기관에서도 네트워크 및 보안 장비가 FIPS 140-2를 준수하도록 요구합니다.
FIPS 140-2에는 네 가지 추가 보안 수준이 있습니다. 승인된 암호화 알고리즘, 시스템 내에 정의된 보안 경계, 암호화 구성 요소의 초기화 검증을 요구하는 레벨 1부터, 다른 세 수준의 요구 사항을 모두 포함하는 동시에 물리적 공격이 감지되면 키가 삭제되는 보안 강화 물리적 인클로저에 대기 환경 및 기타 물리적 보호 조치를 추가한 레벨 4까지입니다.
가장 일반적으로 적용되는 표준은 암호화 키 또는 보안 매개변수에 대한 물리적 접근 여부를 확인할 수 있도록 변조 흔적을 남기는 수단을 요구하는 FIPS 140-2 레벨 2와, 레벨 2의 변조 흔적 확인 방식에 추가 탐지 수단인 변조 방지 기능을 더하고 물리적 접근 시도나 암호화 모듈의 사용 또는 변조에 대응하도록 요구하는 FIPS 140-2 레벨 3입니다. 기본적으로 이러한 FIPS 보안 레벨은 악의적인 행위자가 암호화 키에 접근했거나 접근을 시도했는지를 네트워크 담당자가 파악하는 데 도움이 됩니다.
정부 기관과 금융 서비스 기관(FSI), 법률 및 의료 분야 등 보안을 중시하는 기업에서 FIPS가 중요한 이유는 암호화 키와 보안 매개변수를 보호하고 자체적인 위협 방어 기능을 제공하기 때문입니다. FIPS를 준수하면 연방 기관과 보안이 중요한 기업이 다음과 같은 정부 및 업계 규정을 지속적으로 준수할 수 있습니다. 결제 카드 산업 데이터 보안 표준(PCI DSS), 건강보험 양도 및 책임에 관한 법률(HIPAA), 국제무기거래규정(ITAR) 등이 이에 해당합니다. FIPS는 다계층의 물리적·논리적 보안을 제공하며, 계층 3과 계층 4(네트워크 및 DNS 공격 포함), 계층 7(SSL 및 HTTP 공격)에서 데이터 도난과 공격으로부터 데이터를 보호합니다.
여기에서 주목할 것은 F5의 BIG-IP 10350v-F 플랫폼입니다. 이 플랫폼은 최신 세대 하드웨어 보안 모듈(HSM)을 구현하고 FIPS 140-2 레벨 3을 지원하는 F5 최초의 플랫폼입니다. BIG-IP 10350v-F 플랫폼은 변조 방지 기능이 적용된 HSM과 기타 물리적 보안 기능을 활용하여 키 저장소를 보호합니다. BIG-IP 10350v-F는 HSM을 통해 정부 기관, 금융 서비스 기관 및 기타 보안에 민감한 기업이 오늘날 지속적으로 증가하는 SSL 성능 요구 사항을 충족하면서 안전하게 확장할 수 있도록 지원합니다. 업계 최고 수준의 SSL 대량 암호화 성능과 뛰어난 가격 대비 성능을 제공합니다. 10350v-F는 인증서 관리를 간소화하고 규정 준수 비용을 절감합니다.
그렇다면 HSM이 왜 그렇게 중요할까요? 소프트웨어 암호화 라이브러리만 사용하면 안 될까요? 각 배포 환경에서는 보호 대상 정보를 평가해야 합니다. FIPS 140-2 레벨 1과 레벨 2는 사용 중인 암호화가 일정 수준의 보증 및 구현 검토를 거쳤다는 신뢰를 제공하지만, 많은 정부 기관과 기타 민감한 프로그램에서는 더 높은 수준의 보호가 필요합니다. 특히 개인 식별 정보(PII)와 보호 대상 건강 정보(PHI)를 보호하기 위한 요구 사항은 FIPS 140-2 레벨 3 HSM을 통해서만 충족할 수 있습니다. 또한 HSM은 암호화 작업을 안전하게 수행하고 핵심 암호화 키를 보호하며, 관리 도메인과 보안 도메인을 분리하고 키 사용 정책을 적용합니다.
F5 BIG-IP 10350v-F 플랫폼은 강화된 보안 및 키 보호 기능과 함께 독보적인 확장성을 제공하여 탁월한 비용 효율성을 실현합니다. 이 플랫폼이 지원하는 사용 사례로는 SSL 오프로딩, 가시성 및 가속화뿐만 아니라 에어갭 기능을 통해 또는 F5의 보안 웹 게이트웨이(SWG) 서비스와 함께 사용하는 정방향 프록시가 있습니다.
민감한 비기밀 데이터의 수집, 저장 및 배포를 담당하는 모든 정부 기관과 기업은 FIPS 140-2를 준수하는 네트워크 및 보안 제품에 관심을 가져야 합니다. 또한 민감한 데이터의 보안을 보장하려는 모든 기관과 기업은 암호화 키가 안전하게 유지되도록 해야 하며, 이러한 조직에는 FIPS 140-2 레벨 3이 필요합니다.
이러한 이유로 해당 기관과 기업에는 HSM을 탑재한 애플리케이션 전송 컨트롤러(ADC) 중 FIPS TPS당 비용이 가장 낮은 F5 BIG-IP 10350v-F 플랫폼이 필요합니다.
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.