Data Loss Prevention (DLP) 정책에 필수적인 10가지 모범 사례

규모나 업종과 관계없이 모든 조직에는 데이터가 부적절하게 액세스되거나 삭제되는 것을 방지하기 위한 데이터 유출 방지(Data Loss Prevention, DLP) 전략이 필요합니다. 이 전략은 의료 기록, 재무 데이터, 지식재산처럼 가치가 높고 민감하거나 규제 대상인 데이터를 보호하는 데 초점을 맞춰야 합니다. DLP는 일반적으로 기술과 정책을 모두 포함합니다. 예를 들어, 흔히 사용하는 기법으로는 사용자 워크스테이션을 구성해 USB 장치 사용을 차단하는 방법과, 이메일을 통해 기밀 데이터를 공유하는 것과 관련된 공식 정책을 마련하는 방법이 있습니다.

더 포괄적인 보호를 위해 많은 조직이 데이터 손실 방지 시스템을 배포하며, 이를 통해 다음을 수행할 수 있습니다:

• 정보 자산에 대한 액세스 권한을 제어
• 워크스테이션, 서버 및 네트워크에서 성공 및 실패 활동을 모니터링—누가 어떤 파일을 읽거나 복사하거나 스크린샷을 찍는지 포함
• 노트북 및 기타 모바일 기기를 사용해 원격 위치에서 발생하는 정보 흐름을 포함하여, 조직 내부와 외부 간의 정보 흐름을 감사
• 플래시 드라이브 사용 및 인스턴트 메시징 앱 사용과 같은 정보 전송 채널의 수를 제어하고, 전송 중인 데이터 스트림의 가로채기 및 차단을 포함합니다.

데이터 손실 방지(DLP) 정책 만들기

데이터 손실 방지(DLP) 정책을 만들려면 필요한 보호 수준을 결정해야 합니다. 예를 들어, 목표가 무단 액세스 시도 탐지인지, 아니면 모든 사용자 작업을 모니터링하는 것인지 확인해 보세요.

기본 매개변수

다음은 정의해야 할 기본 매개변수입니다:

• 어떤 조직의 데이터가 보호되어야 하는지. 보호가 필요한 콘텐츠를 정확히 식별하세요. 예로는 미국 사회보장번호(Social Security number, SSN), 신용카드 정보, 영업비밀, 도면, 재무 데이터 및 개인정보(PII)가 있습니다. 조직이 준수해야 하는 컴플라이언스 정책이 있는지 반드시 확인하세요. 해당된다면, 정책 템플릿에 설명된 모든 데이터를 보호해야 합니다.
• 그 데이터가 존재하는 위치. 데이터를 보호하려면 공유 네트워크 드라이브, 데이터베이스, 클라우드 스토리지, 이메일, 인스턴트 메시징 앱, 하드 드라이브 등 데이터가 저장될 수 있는 모든 장소를 식별해야 합니다. 직원이 개인 기기를 사용해 IT 환경에 접속할 수 있다면, 해당 기기에 있는 데이터도 함께 보호해야 합니다.
• 서로 다른 유형의 데이터에 접근하기 위한 조건. 데이터 유형에 따라 필요한 보호 수준이 다릅니다. 예를 들어 일부 데이터는 조직이 공개와 함께 자유롭게 공유하는 반면, 다른 데이터는 최밀 기밀이며 소수의 특정 개인만 접근할 수 있어야 합니다. 디지털 태그와 워터마크를 사용하면 각 데이터에 적절한 접근 권한을 부여하는 데 도움이 됩니다.
• 정보 보안의 경우 취해야 할 조치 의심스러운 활동이 감지되었을 때 수행해야 할 단계와 각 단계의 담당자를 지정하세요. DLP 솔루션은 작업을 차단하거나 보안 서비스에 알림을 보내는 등 자동으로 대응할 수 있는 경우가 많다는 점을 기억하십시오.
• 무엇을, 그리고 언제 보관(아카이빙)할지. DLP 정책에는 감사 로그(감사 추적)와 IT 보안 사고에 대한 정보 등 데이터 보관에 대한 규칙을 상세히 명시해야 합니다. 아카이브 시스템을 external attackers and insider threats — 예를 들어 아카이브의 기록을 변경할 수 있는 시스템 관리자와 같은 — 위협으로부터 모두 보호해야 한다는 점을 기억하세요.
• 위협 정책에는 데이터 유출이 발생할 수 있는 시나리오를 고려하고, 발생 가능성과 그로 인해 초래될 수 있는 피해를 모두 평가해야 합니다.

데이터 상태

정책을 수립할 때는 데이터가 어떤 형태로든 존재한다는 점을 고려하세요:

• 저장 데이터(Data at rest) — 데이터베이스, 클라우드 저장소, 컴퓨터, 노트북, 모바일 기기 등에 저장된 정보
• 전송 중인 데이터 — 당사자 간에 전송되고 있는 데이터(예: 결제 거래 중)
• 사용 중인 데이터 — 사용자가 현재 적극적으로 작업하고 있으며, 필요에 따라 수정할 수 있는 데이터

이 지식을 적용하여 조직 내 데이터 흐름과 문서 유형별로 허용되는 전송 경로를 정의하는 데 도움이 되도록 하십시오. 이 데이터의 처리, 수정, 복사, 인쇄 및 기타 사용에 대한 조건을 지정하는 규칙을 만드세요. 기밀 데이터를 액세스하는 애플리케이션과 프로그램 내에서 수행되는 비즈니스 프로세스도 반드시 포함하십시오.

법적 및 관련 우려 사항

DLP 정책의 잠재적인 법적 영향(파급효과)을 반드시 평가하십시오. 특히 직원의 행동을 비디오로 녹화하는 것은 헌법상 권리를 침해하는 것으로 간주될 수 있으며, DLP 시스템에서 발생한 오탐 알림은 정당한 행동이 의심스러운 것으로 표시된 직원들과의 갈등을 초래할 수 있습니다. 이러한 우려를 해결하기 위한 방안에는 고용 계약을 수정하고 보안 정책에 대해 직원을 교육하는 것 등이 포함될 수 있습니다.

DLP 솔루션이 작동하는 방식

문서(종이)로 DLP 정책을 만들었다면, 이제 DLP 시스템에서 적절한 정책을 구성하는 데 집중할 수 있습니다. 일반적으로 DLP 시스템에는 프로그램이 엄격히 따르는 일련의 특정 규칙이 있습니다. 각 규칙은 조건과, 해당 조건이 충족될 때 수행할 조치로 구성됩니다. 규칙은 우선순위에 따라 정렬되며, 프로그램은 그 순서대로 규칙을 처리합니다. 일부 솔루션에는 규칙을 생성하거나 개선하는 기계 학습 기술이 포함되어 있습니다.

예를 들어, 프로세스는 다음과 같이 진행될 수 있습니다:

• 규칙이 사건(예: 사용자가 인스턴트 메신저를 통해 민감한 정보를 보내려고 시도함)을 식별합니다).
• 이 솔루션은 메시지가 전송되지 못하도록 차단합니다.
• 이 솔루션은 관련 사용자를 포함해 사고(인시던트)의 세부 정보를 담은 보고서를 생성한 뒤, DLP 정책에 지정된 대로 특정 이메일 주소(예: IT 보안 담당자)로 전송하거나 특정 공유 위치에 저장합니다.

탐지 기법

DLP 시스템의 핵심 기능은 데이터 스트림에서 기밀 정보를 탐지하는 것입니다. 서로 다른 시스템은 다음을 포함해 다양한 방법을 사용합니다.

• 보호되는 정보의 디지털 지문 생성
• 정보에 태그를 부여하기
• 계약서나 재무제표 같은 다양한 유형의 민감한 문서에서 흔히 발견되는 특정 키워드와 정규식을 찾는 것
• 텍스트 분석 사용

물론 정확성은 매우 중요합니다. 실제로 민감한 정보를 감지하지 못하는 오탐(거짓 음성)은 탐지되지 않은 유출로 이어질 수 있습니다. 실제로 민감하지 않은 데이터에 대해 경고하는 오탐(거짓 양성)은 보안 팀의 자원을 낭비하고, 부적절한 행위를 했다고 잘못 обвин받은 사용자들과의 갈등을 초래합니다. 따라서 거짓 음성과 거짓 양성 모두를 최소화하는 DLP 솔루션을 찾아야 합니다.

데이터 손실 방지 모범 사례

Data loss prevention (DLP) 및 감사(에이 다이팅) 기술을 사용해 데이터 사용 정책을 지속적으로 강제해야 합니다. 목표는 데이터가 실제로 어떻게 사용되고 있는지, 데이터가 어디로 가고 있는지(또는 어디로 갔는지), 그리고 이가 GDPR 같은 컴플라이언스(준수) 정책 기준을 충족하는지 여부를 파악하는 것입니다. 의심스러운 이벤트가 감지되면, 관리자가 조사할 수 있도록 실시간 알림을 관리자에게 전송해야 합니다. 위반자는 data security policy 에서 정의한 결과에 직면해야 합니다.

다음의 데이터 유출 방지(data loss prevention) 모범 사례는 내부 및 외부 위협으로부터 민감한 데이터를 보호하는 데 도움이 됩니다:

1. 민감한 데이터를 식별하고 분류합니다.

데이터를 효과적으로 보호하려면 보유한 데이터의 유형이 무엇인지 정확히 알아야 합니다. 데이터 검색(디스커버리) 기술은 데이터 저장소를 스캔하고 결과를 보고함으로써, 보호해야 할 콘텐츠가 무엇인지 가시성을 제공합니다. 데이터 검색 엔진은 보통 regular expressions 를 검색에 사용합니다. 이는 매우 유연하지만 생성하고 세부 조정하는 데는 상당히 복잡합니다.

데이터 검색과 데이터 분류 기술을 사용하면 사용자 데이터에 대한 액세스를 제어하고, 민감한 데이터를 안전하지 않은 위치에 저장하는 것을 방지할 수 있어 데이터 유출 및 데이터 손실의 위험을 줄일 수 있습니다. 모든 중요하거나 민감한 데이터는 해당 분류를 나타내는 디지털 서명으로 명확하게 라벨링되어야 하며, 그래야 조직에 대한 가치에 따라 데이터를 보호할 수 있습니다. Netwrix Data Classification 같은 제3자 도구를 사용하면 데이터 검색과 분류를 더 쉽고 정확하게 수행할 수 있습니다.

데이터가 생성, 수정, 저장 또는 전송되는 과정에서 분류는 업데이트될 수 있습니다. 그러나 사용자가 분류 수준을 허위로 조작하는 것을 방지하기 위한 통제가 마련되어야 합니다. 예를 들어, 데이터의 분류를 낮출 수 있는 권한은 오직 특권 사용자에게만 부여해야 합니다.

다음 지침을 따르십시오 강력한 데이터 분류 정책 을 수립하기 위해서입니다. 그리고 IT 위험 평가 과정의 일부로 데이터 검색과 분류를 수행하는 것도 잊지 마세요.

액세스 제어 목록

액세스 제어 목록(ACL)은 누가 어떤 리소스에 어떤 수준으로 접근할 수 있는지를 정리한 목록입니다. ACL은 운영체제나 애플리케이션의 내부 구성 요소일 수도 있습니다. 예를 들어, 사용자 지정 애플리케이션에는 해당 시스템에서 어떤 사용자가 어떤 권한을 갖는지 나열한 ACL이 있을 수 있습니다.

ACL은 화이트리스트 또는 블랙리스트를 기반으로 설정할 수 있습니다. 화이트리스트는 허용되는 항목의 목록으로, 예를 들어 회사 컴퓨터로 사용자가 방문할 수 있도록 허용된 웹사이트 목록이나 회사 컴퓨터에 설치가 승인된 타사 소프트웨어 솔루션 목록이 여기에 해당합니다. 블랙리스트는 금지되는 항목의 목록으로, 예를 들어 직원이 방문할 수 없도록 특정 웹사이트를 지정하거나 클라이언트 컴퓨터에 설치가 금지된 소프트웨어를 지정하는 경우가 있습니다.

화이트리스트는 보다 일반적으로 사용되며 파일 시스템 수준에서 구성됩니다. 예를 들어 Microsoft Windows에서는 NTFS 권한을 구성하고, 이를 바탕으로 NTFS 액세스 제어 목록을 만들 수 있습니다. NTFS 권한을 올바르게 구성하는 방법에 대한 자세한 내용은 NTFS permissions management best practices 목록에서 확인할 수 있습니다. 액세스 제어는 역할 기반 액세스 제어( RBAC )가 있는 모든 애플리케이션에 구현해야 한다는 점을 기억하세요. 예로는 Active Directory 그룹 및 위임이 있습니다.

2. 데이터 암호화를 사용하세요.

모든 중요 비즈니스 데이터는 저장 중이거나 전송 중일 때 암호화되어야 합니다. 휴대용 기기는 중요한 데이터를 보관할 경우 암호화된 디스크 솔루션을 사용해야 합니다.

컴퓨터와 노트북의 하드 드라이브를 암호화하면 공격자가 해당 장치에 접근하더라도 중요한 정보의 유실을 방지하는 데 도움이 됩니다. Windows 시스템에서 데이터를 암호화하는 가장 기본적인 방법은 Encrypting File System (EFS) 기술입니다. 권한이 있는 사용자가 암호화된 파일을 열면 EFS가 백그라운드에서 파일을 해독하고 애플리케이션에 암호화되지 않은 복사본을 제공합니다. 권한이 있는 사용자는 파일을 보고 또는 수정할 수 있으며, EFS는 변경 사항을 암호화된 데이터로 투명하게 저장합니다. 하지만 권한이 없는 사용자는 장치에 대한 완전한 접근 권한이 있더라도 파일의 콘텐츠를 볼 수 없으며, “Access denied” 오류가 발생해 data breach.

Microsoft의 또 다른 암호화 기술은 BitLocker입니다. BitLocker는 Windows 장치에 저장된 데이터에 대해 추가적인 보호 계층을 제공함으로써 EFS를 보완합니다. BitLocker는 분실 또는 도난된 엔드포인트 장치를 데이터 절도나 노출로부터 보호하며, 장치를 폐기(더 이상 사용하지 않음)할 때 안전한 데이터 삭제도 제공합니다.

하드웨어 기반 암호화

소프트웨어 기반 암호화 외에도 하드웨어 기반 암호화를 적용할 수 있습니다. 일부 BIOS 구성 메뉴의 고급 구성 설정에서 신뢰할 수 있는 플랫폼 모듈(trusted platform module, TPM)을 사용하거나 사용하지 않도록 선택할 수 있습니다. TPM은 암호화 키, 비밀번호 또는 인증서를 저장할 수 있는 칩입니다. TPM은 해시 키 생성에 도움을 줄 수 있으며, 스마트폰과 같은 PC 이외의 장치도 보호할 수 있습니다. 또한 BitLocker와 같은 전체 디스크 암호화에 사용되는 값을 생성할 수 있습니다. TPM 칩은 메인보드에 설치될 수 있습니다.

3. 시스템을 강화하세요.

민감한 데이터가 잠시라도 저장될 수 있는 모든 장소는, 해당 시스템이 잠재적으로 접근할 수 있는 정보의 유형에 따라 보호되어야 합니다. 여기에는 원격 연결을 통해 상당한 권한으로 내부 네트워크에 접근할 수 있는 모든 외부 시스템이 포함됩니다. 네트워크 보안은 결국 가장 약한 연결 고리만큼만 강하기 때문입니다. 다만 사용성 또한 고려해야 하며, 기능성과 보안 사이에서 적절한 균형을 결정해야 합니다.

운영 체제 기준선 설정

시스템을 보호하기 위한 첫 번째 단계는 운영 체제의 구성이 가능한 한 안전하도록 하는 것입니다. 기본 제공 상태에서 대부분의 운영 체제에는 필요하지 않은 서비스가 포함되어 있으며, 이는 공격자에게 추가적인 침해 경로를 제공합니다. 활성화해야 하는 프로그램과 수신(리스닝) 서비스는 직원들이 업무를 수행하는 데 필수적인 것뿐이어야 합니다. 어떤 기능이 비즈니스 목적이 없다면 비활성화해야 합니다. 또한 일반적인 사용자를 위해 사용할 보안 기준선 이미지 OS를 만들어두는 것도 유익할 수 있습니다. 추가 기능이 필요한 경우에는 해당 서비스나 프로그램을 사례별로(필요에 따라) 활성화하세요. Windows와 Linux 운영 체제는 각각 고유한 기준선 구성(베이스라인 설정)을 갖습니다.

4. 엄격한 패치 관리 전략을 구현하세요.

IT 환경에 있는 모든 운영 체제와 애플리케이션이 최신 상태를 유지하도록 보장하는 것은 데이터 보호와 사이버 보안에 필수적입니다. 예를 들어 바이러스 백신 도구의 시그니처 업데이트처럼 일부 작업은 자동화할 수 있지만, 중요 인프라에 대한 패치는 기능이 손상되지 않고 시스템에 새로운 취약점이 도입되지 않도록 충분히 테스트되어야 합니다.

5. 역할을 할당하세요.

데이터 손실 방지 전략에 참여하는 각 개인의 역할을 명확히 정의하세요. 어떤 데이터의 소유자가 누구인지, 보안 사고 조사에서 어떤 측면을 담당하는 IT 보안 담당자가 누구인지 등을 구체적으로 지정합니다.

6. 가능한 한 최대한 자동화하세요.

DLP 프로세스를 더 많이 자동화할수록, 조직 전반에 더 폭넓게 배포할 수 있습니다. 수동 DLP 프로세스는 범위가 본질적으로 제한되어 있어, 가장 작은 규모의 IT 환경을 제외한 대부분의 요구 사항을 충족하도록 확장할 수 없습니다.

7. 이상 징후 탐지를 사용하세요.

비정상적인 사용자 행동을 식별하기 위해, 일부 최신 DLP 솔루션은 단순한 통계 분석과 상관 규칙에 머신러닝과 행동 분석을 보강합니다. 각 사용자와 사용자 그룹의 정상 행동을 모델링하면 데이터 유출로 이어질 수 있는 의심스러운 활동을 더 정확하게 탐지할 수 있습니다.

8. 이해관계자 교육.

DLP 정책을 수립하는 것만으로는 충분하지 않습니다. 이해관계자와 데이터 사용자가 정책, 그 중요성, 그리고 조직의 데이터를 보호하기 위해 무엇을 해야 하는지 인식할 수 있도록 투자하십시오.

9. 지표를 수립.

오탐(false positive) 비율, 사고(incident) 건수, 사고 대응까지의 평균 시간(mean time to incident response) 같은 지표를 사용하여 DLP 전략의 효과를 측정하십시오.

10. 불필요한 데이터를 저장하지 마세요.

조직은 필수 정보만 저장해야 합니다. 보유하지 않은 데이터는 분실될 수 없습니다.