FCIA의 FC-SP-3: 양자 컴퓨팅 시대를 위한 표준

기업 IT 환경에서 대부분의 보안 업그레이드는 일반적으로 침해 사고나 기타 중대한 사건에 대응하여 이루어집니다. 그러나 최근 개발된 INCITS FC-SP-3 표준은 인프라 계획에 이미 영향을 미치고 있는 규제 및 암호화 관련 기한에 대한 선제적 대응을 나타냅니다. NSA의 CNSA 2.0 지침은 국가 안보 시스템에 복잡한 마이그레이션 경로를 제시하고 있으며, 유럽 연합의 NIS2 및 DORA 프레임워크는 암호화 및 암호화 정책을 적극적인 규정 준수 프로그램에 통합했습니다. 양자 컴퓨팅의 등장은 이러한 압력을 더욱 가중시키는데, 이는 암호 분석에 실질적인 도움이 되는 양자 컴퓨터의 등장 때문이 아니라, "지금 데이터를 수집하고 나중에 복호화하는" 공격으로 인해 장기간 보존되는 데이터가 사전에 취약해지기 때문입니다. FCIA(파이버 채널 산업 협회) 로드맵은 2030년 규정 준수, NIS2 및 DORA 암호화 정책, 그리고 서버 및 스토리지의 표준 3~5년 교체 주기를 고려하여 이러한 과제들을 맥락화합니다.

파이버 채널은 기업에서 절대 손실해서는 안 되는 중요한 데이터를 전송하기 때문에 시기적으로 매우 중요합니다. 금융, 의료, 정부, 공공시설 및 기타 규제 산업 분야에서 미션 크리티컬 스토리지의 핵심 인프라로 계속해서 사용되고 있습니다. 파이버 채널은 이더넷과 물리적, 논리적으로 완전히 분리되어 있으며, 이더넷 네트워크에서 라우팅할 수 없고, 패브릭 존닝 및 스토리지 장치 마스킹을 통해 보안이 더욱 강화됩니다. FCIA 시장 데이터에 따르면 1억 6천만 개 이상의 파이버 채널 포트가 출하되었으며, 그중 3천 5백만 개 이상이 여전히 운영 중입니다. 이처럼 상당한 설치 기반은 FC-SP-3의 중요성을 강조합니다. FC-SP-3는 기업이 기존 SAN을 교체할 필요 없이 기존 파이버 채널 환경을 보호하기 위한 표준 기반 접근 방식을 제공합니다.

FC-SP-3는 보안 수준을 향상시키고 배포를 간소화하는 여러 업데이트를 제공합니다. 이전 버전에서 여전히 사용되던 3DES, MD5, SHA-1, RSA-SHA-1, 구형 DH-CHAP 그룹, RADIUS 사용, CT 인증, AES-GCM 및 AES-CBC에 사용되는 더 짧은 AES 키 길이와 같은 구식 암호화 방식이 제거되었습니다. 대신 CNSA 2.0에 맞춰 키 설정에 ML-KEM-1024, 디지털 서명에 ML-DSA-87이 추가되었으며, 더 강력한 SHA-2 PRF와 보안 연결 관리에 AES-GCM 사용이 필수화되었습니다. 또 다른 주요 변경 사항은 구조적인 것입니다. FC-SP-3는 FC-SP-2의 규정 준수 요소에서 벗어나 상호 운용성 프로파일을 중심으로 구현되므로, 구식이지만 규정을 준수하는 요구 사항을 유지하면서도 최신 보안 요구 사항에 맞춰 구현할 수 있습니다. 이러한 개선을 통해 사양의 분량이 288페이지에서 152페이지로 거의 절반으로 줄었습니다.

FC-SP-3만으로는 노출 위험을 완전히 제거할 수 없다는 점에 유의해야 합니다. FC-SP-3는 자동 배포 솔루션이라기보다는 도구 모음 역할을 합니다. 이 표준은 인증, 암호화 및 무결성 보호 기능을 갖춘 SAN 트래픽을 구현하는 실질적인 방법을 업계에 제공한다는 점에서 중요합니다. 이러한 기능은 정기적인 서버, HBA 및 스토리지 교체 주기에 통합될 수 있습니다. 장기 보존 데이터와 규제 대상 인프라를 관리하는 기업에게 중요한 시점은 분기별 업데이트(Q-Day)나 2030년이 아니라 다음 교체 시점입니다. 다음 섹션에서는 이러한 변화를 이끄는 규제, FC-SP-3에서 도입된 암호화 업데이트, 그리고 운영 중인 파이버 채널 패브릭에서 종단 간 암호화를 구현하는 실질적인 모델을 살펴봅니다.

주요 요점

• 기준이 마감일을 맞췄습니다: 2026년 INCITS T11에서 완성한 FC-SP-3은 2030년 및 2031년 준수 기한보다 훨씬 앞서 CNSA 2.0, NIS2 및 DORA 요구 사항을 충족하도록 파이버 채널 보안을 현대화합니다.
• 먼저 빼기를 하고, 그 다음 양자 저항을 계산합니다. 3DES, MD5, SHA-1 및 2048비트 미만의 DH 그룹과 같은 기존 암호화 방식이 제거되고 NIST 양자 후 암호화 알고리즘인 ML-KEM-1024 및 ML-DSA-87이 추가되어 사양이 288페이지에서 152페이지로 줄어들고 올바르게 구현하기가 더 쉬워졌습니다.
• 인프라 비용 부담 없는 암호화: 자율적인 전송 중 암호화는 HBA 내부에서 키를 생성하고 회선 속도로 실행되며, 외부 키 서버, SAN 스위치 변경 또는 호스트 CPU 부하 증가가 필요하지 않습니다.
• 이 배열은 여전히 ​​강력한 능력을 유지합니다. 전송 계층에서 암호화하면 애플리케이션 수준 암호화로 인해 무력화되는 압축, 중복 제거 및 랜섬웨어 탐지 기능을 유지할 수 있습니다.
• 규정 준수는 갱신 주기를 따릅니다. 일반적인 3~5년 주기의 하드웨어 교체에 따른 순차적 배포를 통해 정기적인 구매 과정의 부산물로 2030년까지 완벽하게 암호화되고 양자 컴퓨팅 공격에 강한 SAN을 구축할 수 있습니다.

암호화에는 시한이 있습니다

FC-SP-3 개발의 주된 동기는 데이터센터 기술 스택 전반에 걸쳐 고급 보안 조치에 대한 요구가 증가하고 있다는 점입니다. 기존 아키텍처는 스토리지 네트워크 내의 암묵적인 신뢰에 의존하는 경우가 많지만, 이러한 계층에서 발생하는 정교한 공격은 막대한 양의 데이터를 손상시킬 수 있습니다. 2019년부터 2021년까지 발생한 SolarWinds 멀웨어 공격에서 볼 수 있듯이, 공급망 공격은 손상된 인프라 구성 요소를 악용하는 내부자 위협이 더욱 만연해지고 있음을 보여줍니다.

이에 대한 직접적인 대응으로 조셉 바이든 미국 대통령은 2021년 5월 12일 행정명령 14028호를 발표했습니다. 이 명령은 연방 정부에서 사용하는 시스템(국가 안보 시스템이라고도 함)에 대한 수많은 새로운 보안 요구 사항과 운영 절차를 수립했습니다. 저장 및 전송 중인 데이터에 대한 암호화를 의무화함으로써, 연방 기관들이 연방 데이터 보호를 위해 승인된 암호화 알고리즘을 명시한 기존 상용 국가 보안 알고리즘(CNSA) 제품군의 원칙을 채택하도록 사실상 강제했습니다. CNSA 제품군(흔히 CNSA 1.0으로 불림)은 미래의 기능을 다루거나 예측하지는 않았지만, 데이터 보호, 키 설정, 해싱 및 디지털 서명을 위한 허용 가능한 알고리즘의 기준을 확립했습니다.

CNSA 2.0은 양자 컴퓨팅 시대에 대비하여 연방 정부의 정보 보안 표준을 마련함으로써 기존 표준의 목표를 더욱 발전시킵니다. 양자 컴퓨터에 의해 쉽게 해킹될 것으로 예상되는 알고리즘을 폐기하고 양자 컴퓨팅에 내성이 있는 알고리즘을 도입합니다. NSA는 이 정책을 단계적으로 시행할 계획이며, 1단계 시행은 2025년 12월 31일 이후에 시작될 예정입니다. 2027년 1월 1일까지 신규 국가 안보 시스템 설치는 CNSA 2.0을 완벽하게 준수해야 하며, 미준수 시스템은 2030년 12월 31일까지 폐기되어야 합니다. 최종적으로 모든 국가 안보 시스템은 2031년 12월 31일까지 CNSA 2.0 알고리즘만을 사용 하도록 의무화됩니다 . 이처럼 방대한 네트워크에 대한 기한은 촉박하지만, 양자 컴퓨팅을 이용한 보안 침해 위협 때문에 미국 연방 정부는 이러한 조치가 필수적이라고 판단하고 있습니다.

미국만이 핵심 IT 시스템에 대한 강력한 보안 조치를 요구하는 유일한 국가는 아닙니다. 유럽 연합(EU)의 금융 기관에 적용되는 디지털 운영 복원력법 (DORA)은 미래의 사이버 공격에 대비하기 위해 엄격한 보고, 위험 관리 및 보안 테스트 절차를 요구합니다. 마찬가지로, 네트워크 및 정보 보안 2(NIS2) 지침은 EU 회원국 간 사이버 보안 위협 정보 공유를 장려합니다. 또한 각 국가가 공급망 공격 및 취약점 악용에 대응하기 위한 전략을 개발하고 채택하도록 요구합니다. 이러한 규정 중 상당수가 전송 중 및 저장 시 강력한 데이터 암호화를 요구하기 때문에, FC-SP-3는 핵심 인프라를 모든 계층에서 공격에 대한 복원력을 갖추도록 한다는 공동 목표를 더욱 강화합니다.

Q-Day와 수확은 지금 하고, 해독은 나중에 하세요.

CNSA 2.0은 달성하기 어려운 과제처럼 보이지만, 그럴 만한 이유가 있습니다. "지금 수집하고 나중에 해독하기"(HNDL)는 악의적인 공격자 들이 현재 사용하고 있는 전략으로 , 미래에 양자 컴퓨터의 능력을 활용하여 가로챈 통신과 탈취한 방대한 양의 데이터를 해독하는 것을 목표로 합니다. 오늘날 많은 표준 암호화 알고리즘과 프로토콜은 기존 하드웨어에서 무차별 대입 공격이나 기타 키 크래킹 방법에 매우 강하지만, "암호 분석에 적합한 양자 컴퓨터"(CRQC)가 개발된다면 RSA 및 ECC(타원 곡선 암호화)에 기반한 공개 키 암호화 방식을 해독 할 수 있을 것입니다 .

잠재적인 Q-Day 공격의 효과를 줄이기 위해 미국 국가안보국(NSA)은 Q-Day가 이르면 2033년 에 발생할 것으로 예상되는 업계 전망보다 앞선 2031년 12월 31일까지 미국의 국가 안보 시스템(NSE)의 모든 암호화 관련 구성 요소가 CNSA 2.0을 준수하도록 의무화 했습니다 . CNSA 2.0에서 요구하는 암호화 알고리즘은 "양자 후 컴퓨팅(Post-Quantum Computing, PQC)"에 대비되어 있으며, 격자 문제나 단방향 정수론 문제와 같이 계산적으로 해결하기 어려운 수학적 문제를 처리하도록 설계되었습니다 . NSA는 기존 알고리즘에 더 큰 키 크기를 사용하고 정교한 PQC 지원 알고리즘을 구현함으로써 국가 안보를 위협할 수 있는 고위험 암호화(HNDL) 공격을 방지하고자 합니다.

파이버 채널 보안의 20년 역사

파이버 채널 보안은 FC-SP-3에서 시작된 것이 아닙니다. 이 표준은 INCITS(국제 정보 기술 표준 위원회)에서 20년 이상 진행되어 온 파이버 채널 기술 위원회( T11 )의 3세대 개발 결과물입니다 . 최초의 FC-SP 프로젝트는 2002년에 승인되어 2007년에 발표되었으며, 스토리지 관리자가 패브릭을 통해 어떤 장치가 서로를 볼 수 있는지 공식적으로 결정할 수 있는 도구를 제공하는 권한 부여 및 세분화 제어 기능을 확립했습니다. FC-SP-2는 2012년에 채택되어 프레임워크를 인증 및 암호화로 확장했으며, 2015년의 AM1과 2023년의 AM2 두 차례 개정을 통해 지속적으로 발전해 왔습니다. FC-SP-3는 2022년에 프로젝트로 승인되어 2026년 에 완료될 예정이며 , 스토리지 네트워크에 적용되는 규제 및 양자 컴퓨팅 이후의 요구 사항을 충족하도록 프레임워크를 업데이트합니다.

FC-SP-3의 계보는 매우 중요합니다. FC-SP-3는 파이버 채널 보안을 완전히 새롭게 재창조한 것도 아니고, 특정 위협에 대한 임시방편적인 대응책도 아닙니다. 오히려 이 장비를 제작하는 사람들이 공개적으로 진행하는, 성숙한 프레임워크의 계획적인 현대화 작업입니다. FC-SP-3 전문가 그룹은 IBM의 Roger Hathorn이 의장을 맡았고, Broadcom의 David Peterson과 James Smart가 편집했으며, Broadcom, Cisco, Dell, HPE, IBM, Marvell, NetApp, Viavi의 전문가들이 참여했습니다. 이처럼 다양한 기업들이 참여한 것은 보안 표준에 있어 주목할 만한 부분입니다. 모든 SAN 소켓 시장에서 경쟁하는 기업들이 해당 소켓 전반에 걸친 암호화 방식에 대해 합의했기 때문입니다. 하지만 여기서 멈추지 않습니다. T11은 이미 차기 개정판 개발에 착수했으므로 , 프레임워크는 요구사항의 진화에 발맞춰 지속적으로 발전할 것입니다.

FC-SP-3의 변경 사항은 무엇인가요?

FC-SP-3의 가장 큰 변화는 기존 암호화 기술들을 제거했다는 점입니다. 웹용 TLS 1.3 과 마찬가지로 , FC-SP-3 표준은 FC-SP-2에 남아 있던 기존 암호화 기술들을 제거했습니다. 여기에는 FC-PAP 및 FC-EAP 인증 프로토콜, 3DES 및 AES-CTR 암호화, RSA-SHA-1 서명, 거의 모든 역할에서의 MD5 및 SHA-1 , 2048비트 미만의 DH-CHAP 그룹, GCM 및 CBC 모드에서 256비트 미만의 AES 키 길이, RADIUS 사용, 그리고 CT 인증이 포함됩니다. 이러한 불필요한 요소들을 제거하고 문서를 재구성함으로써 사양의 분량을 288페이지에서 152페이지로 줄였습니다. 표준이 간결해지면 가독성이 향상될 뿐만 아니라, 올바르게 구현하기도 쉬워지고, 구현 과정에서 발생할 수 있는 취약점도 줄어듭니다.

기존 프로토콜을 대체하는 새로운 프로토콜로는 CNSA 2.0에 맞춰 키 설정에 ML-KEM- 1024, 디지털 서명에 ML-DSA -87과 같은 NIST 표준 양자 후 암호화 알고리즘과 384비트 및 512비트 ECDSA, SHA-2 기반 PRF(Probability Recognition Function), 그리고 보안 연결 관리 프로토콜 자체를 보호하기 위한 AES-GCM 암호화 방식이 추가되었습니다. 페이로드를 보호하는 데 사용되는 암호화 방식을 숨김으로써 공격자가 다양한 알고리즘을 고려해야 하므로(상당히 많은 계산 비용이 소요될 수 있음) 보안성이 강화됩니다. ML-KEM과 같은 양자 보안 키 캡슐화 알고리즘은 가로채기 공격을 효과적으로 차단하여 인증 및 권한이 부여된 장치만 최신 보안 프로토콜을 사용하는 HBA에서 전송된 데이터를 읽을 수 있도록 보장합니다.

구조적 변화 또한 매우 중요합니다. FC-SP-2는 계층화된 규정 준수 요소를 정의했으며, 가장 낮은 공통 계층인 Auth-A는 구현 시 MD5와 2048비트 DH 그룹을 지원하도록 요구했습니다. 이러한 알고리즘이 노후화됨에 따라, 벤더들은 표준을 준수하기 위해 의도치 않게 안전하지 않은 암호화를 구현하는 난처한 상황에 처하게 되었습니다. FC-SP-3는 이러한 모델을 버리고 부록 A에 정의된 상호 운용성 프로파일을 채택했습니다. 규정을 준수하는 구현은 대상 환경의 보안 요구 사항에 맞는 하나 이상의 프로파일을 지원하며, 어떤 요구 사항이 적용되는지에 대한 판단은 전송 표준 자체가 아닌 NIST나 NSA와 같은 기관에서 담당합니다. FC-SP-2 배포와의 하위 호환성은 부록 D에서 다루어지므로, 혼합 패브릭 환경에서도 명확한 호환성 경로를 통해 원활하게 전환할 수 있습니다.

감사 모드는 데이터 액세스 중단 없이 기존 패브릭 간 보안 프로토콜 협상을 가능하게 함으로써 업데이트된 암호화 표준으로의 전환을 용이하게 합니다 . 표준 개발자들은 많은 SAN이 즉시 완벽한 표준 준수를 달성하지는 못하겠지만, 새로운 하드웨어가 도입되고 기존 장비가 폐기됨에 따라 점진적으로 표준을 채택할 것이라는 점을 인지하고 있습니다. 감사 모드에서는 가용성 우선 접근 방식을 통해 호환성을 유지하고, 연결된 양쪽 엔드포인트가 모두 완벽한 기능을 갖춘 경우에만 가장 엄격한 보안 조치를 구현합니다. 즉, 더욱 강력한 보안으로 마이그레이션하는 동안에도 핵심 데이터에 대한 액세스가 유지됩니다.

FC-SP-3를 라이브 SAN에 설치하기

표준은 실제 하드웨어에 적용될 때 비로소 의미를 가지며, FC-SP-3는 배포를 염두에 두고 작성되었습니다. 이 사양은 암호화 도구와 협상 동작을 정의하며, 이러한 도구가 실행 중인 패브릭에 적용되는 방식은 널리 사용되는 두 가지 모델로 요약됩니다. 두 모델 모두 벤더에 종속되지 않으며 동일한 표준을 준수합니다.

첫 번째는 메인프레임 및 엄격한 규정 준수 환경에서 오랫동안 사용되어 온 키 서버 모델입니다. 외부 키 관리자가 보안 세션 설정에 사용되는 공유 비밀 키 또는 인증서를 제공하고 순환 관리하며, 키 관리 상호 운용성 프로토콜(KMIP) 및 보안 키 교환을 통해 네트워크를 통해 호스트 및 스토리지와 통신합니다. 이 접근 방식은 정책 및 감사를 중앙 집중화하므로 규제 대상 기업에서 요구하는 바를 정확히 충족합니다. 또한 키 관리 서버, 서버로의 네트워크 경로, 그리고 서버 가용성을 유지하기 위한 운영 규율 등 구축 및 유지 관리가 필요한 인프라를 제공합니다. 이미 KMIP 인프라를 운영하고 있는 조직의 경우 FC-SP-3는 기존 워크플로를 대체하는 것이 아니라 통합하는 방식입니다.

두 번째 모델은 호스트 버스 어댑터(HBA) 내부에서 처리되는 자율적인 전송 중 암호화 방식이며, 이 방식 덕분에 패브릭 전체에 걸쳐 암호화를 배포하는 것이 현실적입니다. 임의 세션 키는 HBA 자체 내에서 생성되므로 외부 키 생성 및 관리 서버가 필요하지 않습니다. 엔드포인트는 기본적으로 활성화되어 있으며 자동으로 암호화 협상을 진행하고, 피어가 아직 암호화를 지원하지 않는 경우 대체 방식을 사용하여 패브릭을 안전하게 보호합니다. 암호화는 어댑터 내부의 파이버 채널 전송 계층에서 이루어지므로 SAN 스위치를 변경할 필요가 없으며, 스위치 패브릭은 키를 보거나 관리하지 않습니다.

이 모델은 성능 향상이라는 목표를 달성하기 위해 설계되었습니다. 암호화는 전용 스토리지에서 최대 회선 속도로 실행되므로 처리량 저하가 거의 없으며 호스트 CPU에 추가적인 부하를 주지 않습니다. 스토리지 팀에게 중요한 또 다른 장점은 애플리케이션 계층이 아닌 전송 중에 암호화함으로써 기업이 의존하는 스토리지 어레이 서비스를 유지할 수 있다는 점입니다. 스토리지 어레이에 도달하는 데이터는 여전히 압축, 중복 제거, 랜섬웨어 이벤트를 감지하는 압축률 이상 검사 등의 작업을 수행할 수 있습니다. 애플리케이션이 호스트를 떠나기 전에 데이터를 암호화한 후에는 이러한 작업이 불가능합니다.

전송 중 암호화는 단독으로 사용되도록 설계되지 않았습니다. FC-SP-3는 심층 방어 체계의 일부로서, 링크 암호화와 전체 디스크 또는 어레이 수준의 저장 데이터 암호화를 결합하여 SAN을 통한 전송 중인 데이터와 저장 매체에 저장된 데이터를 모두 보호합니다. 이러한 체계를 뒷받침하는 엔드포인트는 그 자체로 제로 트러스트 구성 요소로 설계되었습니다. 실리콘 루트 오브 트러스트는 하드웨어 ID를 설정하고, CPU와 HBA는 SPDM(보안 프로토콜 및 데이터 모델)을 사용하여 서로를 인증하며, 드라이버는 암호화 방식으로 서명됩니다. 따라서 암호화를 적용하는 어댑터는 신뢰할 수 있는 것이 아니라 검증된 것입니다.

운영 중인 SAN 환경에 대한 관리자의 불안감을 가장 효과적으로 해소하는 기능은 FC-SP-3에 새롭게 추가된 감사 모드입니다. 이 모드를 통해 관리자는 기존 환경 전반에 걸쳐 보안 협상을 활성화하고, 암호화 적용 전에 어떤 링크가 암호화되고 어떤 링크는 암호화되지 않는지 확인할 수 있습니다. 이는 잠재적으로 혼란을 야기할 수 있는 전환 작업을 점진적이고 검증 가능한 프로세스로 만들어주며, FCIA 로드맵에서 구상하는 롤링 배포의 실질적인 기반이 됩니다. 즉, 단일 통합 이벤트가 아닌 서버 및 스토리지 업데이트에 맞춰 링크를 순차적으로 보호하는 방식입니다.

자율 전송 중 암호화 기능은 이미 FC-SP-3 지원 HBA에 탑재되어 출시되고 있으며, StorageReview는 해당 기술이 처음 도입되었을 때 이를 다룬 바 있습니다. 이는 해당 표준이 현재 배포 가능하다는 유용한 증거입니다. 하지만 더 중요한 점은 특정 브랜드에 국한되지 않고 아키텍처적인 측면에 있다는 것입니다. FC-SP-3를 준수하는 모든 엔드포인트는 이 기술에 참여할 수 있으며, 모든 주요 서버 공급업체는 이미 자율 ​​전송 중 암호화 기능을 지원하는 파이버 채널 연결을 제공하고 있고, 대부분의 스토리지 OEM은 2026년까지 이 기능을 추가할 예정입니다.

기내 암호화는 무엇으로부터 보호해 줄까요?

공격 경로를 명확히 파악하면 스토리지 트래픽 암호화의 필요성을 설득하기가 훨씬 쉬워집니다. 파이버 채널 링크는 일반적으로 시작 지점을 벗어나 도관, 입상관, 건물 간 캠퍼스 회선을 통과합니다. 해당 광섬유에 물리적으로 접근할 수 있는 공격자는 케이블을 절단할 필요가 없습니다. 매우 드물지만, 케이블이 구부러져 빛이 새어 나오거나 수동 분배기를 삽입하는 것만으로 도 링크를 통과하는 트래픽을 읽을 수 있으며, 관리자는 이러한 공격 사실을 알 수 없습니다.

건물 내부의 위협은 영화처럼 극적인 장면보다는 훨씬 더 흔합니다. 패치 패널에 접근 권한이 있는 내부자는 링크를 손상시키지 않고도 트래픽을 기록할 수 있으며, 진단 장치는 프레임을 서비스 로그에 캡처하여 해당 로그에 접근 권한이 있는 사람이라면 누구나 데이터를 노출할 수 있습니다. 전송 중 암호화는 이러한 모든 경로를 한 번에 차단합니다. FC-SP-3 엔드포인트 간의 트래픽은 휘어진 광섬유, 패치 패널 또는 로그 파일 등 어디에서 캡처되든 암호화된 텍스트로 저장되며, 캡처 시점에는 암호화 키가 제공되지 않습니다.

전송 중 암호화의 미묘한 이점은 데이터를 보존한다는 점입니다. 랜섬웨어는 공격 중에 데이터를 암호화하는데, 암호화된 데이터는 압축되지 않으므로 어레이에서 압축률의 변화는 감염 진행을 조기에 파악하는 데 매우 신뢰할 수 있는 지표 중 하나입니다. 애플리케이션이 호스트를 떠나기 전에 데이터를 암호화하면 어레이는 항상 암호화된 데이터를 보게 되므로 압축 및 중복 제거 기능이 작동하지 않아 랜섬웨어 신호가 사라집니다. 전송 계층에서 암호화하면 데이터를 어레이에 사용 가능한 형태로 전달하는 동안 데이터를 보호하여 데이터 압축 및 이상 탐지를 유지할 수 있습니다. 이것이 바로 FCIA 지침에서 애플리케이션 수준 암호화보다 전송 중 암호화와 저장 데이터 암호화를 함께 사용하는 것을 권장하는 이유입니다.

완전 암호화 SAN으로 가는 길

FCIA 로드맵의 기본 원리는 리프레시 사이클에 기반합니다. 대부분의 기업에서 서버와 스토리지는 3~5년마다 교체되므로, 거의 모든 패브릭은 2030년과 2031년 CNSA 2.0 마감일 이전에 최소 한 번 이상 엔드포인트를 교체하게 될 것입니다. 모든 주요 서버 공급업체는 이미 FC-SP-3 자율 전송 암호화 기능을 갖춘 파이버 채널 연결을 제공하고 있으며, 대부분의 스토리지 OEM은 2026년까지 이 규격에 부합하는 연결 기능을 도입할 예정이므로, 앞으로 일반적인 주기로 구매하는 하드웨어는 해당 기능을 내장한 상태로 제공될 수 있습니다.

바로 이러한 점 때문에 점진적 배포가 단순한 목표가 아닌 실질적인 해결책이 될 수 있습니다. 암호화 기능을 갖춘 엔드포인트는 보안 설정을 자동으로 협상하고 전환 기간 동안 기존 장비와 공존할 수 있습니다. 감사 모드를 통해 관리자는 시행 전에 준비 상태를 확인할 수 있으므로, 강화된 보안으로 마이그레이션하는 동안 핵심 데이터에 대한 접근을 유지할 수 있습니다. 대규모 장비 교체(포크리프트 이벤트)는 필요하지 않으며, 규정 준수 날짜에 맞춰 프로젝트 일정을 조정할 필요도 없습니다. 조직이 정기적인 주기에 따라 FC-SP-3 연결을 명시하면서 업데이트를 진행하면, CNSA 2.0을 준수하고 NIS2 및 DORA 암호화 정책에 부합하며 양자 컴퓨팅 공격에도 종단 간 내성을 갖춘 완벽하게 암호화된 SAN을 2030년에 자연스럽게 확보하게 됩니다.

맺음말

FC-SP-3는 화려한 표준은 아니지만, 바로 그 점이 장점입니다. 오래전에 폐기되었어야 할 암호화 기술을 제거하고, 규제 기관에서 요구하는 NIST 양자 후 보안 알고리즘을 추가했으며, 비합리적으로 변질되었던 규정 준수 모델을 상호 운용성을 고려한 프로파일로 대체했습니다. 완성된 사양은 기업들이 이미 계획하고 있던 갱신 주기 내에, 요구 사항을 충족하기 위해 수년 앞서 출시되었습니다. 배포의 어려운 부분은 이미 해결되었습니다. 스위치 변경이나 추가 보안 인프라 구축이 필요 없고, 호스트 CPU 성능 저하도 없으며, 배포 시행 전에 배포 과정을 모니터링할 수 있는 감사 모드도 제공됩니다.

단, 표준은 도구 모음이지 배포 자체가 아니라는 점에 유의해야 합니다. 어떤 것도 자동으로 암호화되지는 않습니다. 조직은 여전히 ​​HBA와 스토리지 장비를 목록화하고, 향후 구매 시 FC-SP-3 연결 사양을 명시하고, 지원되는 엔드포인트가 패브릭에 연결됨에 따라 보안을 활성화해야 합니다. 파이버 채널에 가장 크게 의존하는 규제 산업(금융, 의료, 공공시설, 정부)의 경우, 이러한 작업에는 기한이 있으며, 이는 계획 여부와 관계없이 반드시 지켜야 합니다. 지금 데이터를 수집하고 나중에 복호화한다는 것은 오늘 도난당한 데이터가 다음 10년 후의 양자 컴퓨터에 이미 노출된다는 것을 의미하며, 암호화되지 않은 트래픽이 발생하는 매년은 미래에 발생할 비용으로 이어집니다. FC-SP-3는 이러한 격차를 해소하는 것을 프로젝트가 아닌 구매 세부 사항으로 만들어주며, 파이버 채널이 지난 20년 동안 규제 산업에서 가장 손실이 큰 데이터를 안전하게 보관할 수 있는 신뢰할 수 있는 패브릭으로서의 역할을 유지하도록 합니다.

데이터 저장 위치를 ​​고민하는 팀을 위해, 저희 '최고의 스토리지 어레이' 페이지에서는 현재 엔터프라이즈급 스토리지 어레이의 선두 주자들을 소개하고 있으며, 검증된 벤치마크 결과와 배포 현황을 별도로 표시하고 있습니다.

본 보고서는 파이버 채널 산업 협회(FCIA)의 후원을 받아 작성되었습니다. 본 보고서에 제시된 모든 견해와 의견은 검토 대상 제품에 대한 당사의 객관적인 관점을 바탕으로 합니다.

FCIA 웹 세미나 " 파이버 채널 보안, 양자 내성 대비" 에서 FC-SP-3 표준에 대해 자세히 알아보세요.