데이터 분류: 무엇이며 어떻게 구현하는가

데이터 분류란 무엇인가요?

간단히 말해 data classification 은 파일, 데이터베이스 및 기타 콘텐츠를 그 내용에 따라 논리적인 그룹으로 분류하는 과정입니다. 예를 들어, data classification 프로세스는 공개 정보와 다양한 유형의 민감 데이터를 구분할 수 있으며, GDPR, HIPAA 또는 California Privacy Rights Act (CPRA).에 따라 규제 의무가 적용되는 정보를 식별하는 것까지 포함할 수 있습니다.

따라서 data classification은 data security 와 compliance 모두에 매우 중요합니다. 특히 민감하거나 보호 대상 데이터가 대량으로 저장되는 조직의 경우 더욱 그렇습니다. 또한 데이터를 분류하면 사용자 생산성과 의사결정이 향상되며, 불필요한 데이터를 제거할 수 있도록 지원함으로써 스토리지 및 유지보수 비용도 절감할 수 있습니다.

이 문서에서는 data classification의 목적과 이점, 데이터 보호 프로세스의 단계, 모범 사례, 프로그램을 승인받기 위한 팁 등을 더 자세히 알아봅니다. 마지막으로, 조직에 가장 적합한 솔루션을 판단하는 데 도움이 되는 가이드를 제공합니다.

Data classification 유형

큰 관점에서 대부분의 조직은 데이터를 분류하기 위해 기본적인 전략을 사용합니다. 즉, 데이터의 내용에 따라 폴더와 하위 폴더로 데이터를 수동으로 정리합니다. 예를 들어, 주택담보대출 신청서는 재무(Finance) 범주로 분류될 수 있는 반면, 제안서(offer letter)는 인사(Human Resources) 범주에 속할 수 있습니다. Windows를 비롯한 다른 운영 체제에는 Music, Videos, Documents 같은 기본 카테고리도 기본으로 포함되어 있습니다.

하지만 이는 data security 분야에서 “데이터 분류(data classification)”라는 용어가 의미하는 바와는 다릅니다. 오히려 데이터 분류란 데이터의 민감도(민감성)에 따라 데이터를 범주화하는 것을 말하며, 이는 데이터에 접근하고 사용하는 것이 허용되어야 하는 대상이 누구인지로 표시됩니다. 예를 들어, 특정 대상에게만 제한되어야 하는 데이터에는 Top Secret 및 Confidential 같은 범주가 포함될 수 있고, 자유롭게 공유할 수 있는 정보에는 Public 범주가 포함될 수 있습니다.

민감도 기반 분류 체계의 몇 가지 예시는 다음과 같습니다.

예시: 상업용 분류(Commercial Classification)

민간 조직에서 사용하는 데이터 분류 체계는 보통 3단계 또는 4단계로 구성되며, 예를 들면 다음과 같습니다.

• 공개: 회사의 연락처 정보와 브라우저 쿠키 정책처럼 자유롭게 공개할 수 있는 데이터
• 자사(독점):: 조직의 프로세스처럼 비공개이지만 민감도가 낮은 정보
• 기밀: 경쟁사 조사, 벤더(공급업체) 계약, 직원 평가 등 보안 요구 수준이 더 높은 데이터
• 민감: 지적 재산, 맞춤형 애플리케이션, 의료 기록처럼 공개 시 운영에 차질을 주거나 조직이 재정적 또는 법적 위험에 처하게 될 수 있는 고도로 민감한 데이터.

예시 정부 분류

정부 기관은 데이터를 분류할 때 종종 다음과 같은 등급을 사용합니다:

• Top Secret: 암호학 및 통신 정보
• Secret: 특정 군사 계획
• Confidential: 지상군의 전력(규모)을 나타내는 데이터
• Sensitive unclassified (또는 “CUI”): “For Official Use Only”로 태그된 데이터
• 분류되지 않음: 승인된 경우 공개적으로 배포될 수 있는 데이터

데이터 분류 프로세스

데이터 분류 프로세스는 다음 단계로 구성됩니다.

1단계. 데이터를 분류합니다

데이터 분류 프로세스의 첫 번째 단계는 데이터가 어떤 유형의 정보에 해당하는지 파악하는 것입니다. 이 과정을 자동화하기 위해 조직은 확인할 특정 단어와 구문을 지정하고, 또한 정규 표현식을 정의하여 신용카드 번호나 의료 시술 코드와 같이 특정 패턴을 따르는 데이터를 찾을 수 있습니다.

2단계. 데이터에 라벨(분류 태그) 지정

데이터가 분류되면, 향후 사용을 위해 그 결정을 기록해 두는 것이 중요합니다. 이를 수행하는 방법은 여러 가지가 있습니다:

• 태깅(Tagging) — 또 다른 방법은 Microsoft Office에서 제공하는 태그와 같이 각 파일에 디지털 태그를 부여하는 것입니다. 사용자는 이러한 태그를 기준으로 콘텐츠를 검색할 수 있으며, data loss prevention (DLP) 솔루션 같은 보안 도구에서도 활용할 수 있습니다.
• 확장 파일 메타데이터 — 많은 최신 협업 플랫폼은 파일 자체를 변경하지 않고도 콘텐츠에 메타데이터를 추가할 수 있습니다. 예를 들어 SharePoint, Box, Dropbox 및 Google Drive는 검색성과 분류를 개선하기 위해 파일에 메타데이터를 추가할 수 있습니다.

3단계. 반복

데이터 분류는 한 번 설정하고 끝내는 작업이 아니라는 점을 꼭 기억해야 합니다. 새로운 데이터가 지속적으로 생성되고 수집될 뿐 아니라, 계약상 의무의 신규 발생이나 내부 정책 또는 법적 요구사항의 변경으로 인해 기존 데이터의 분류가 바뀔 수도 있습니다.

데이터 분류의 이점

보관하고 있는 데이터의 유형이 무엇인지, 그리고 데이터가 어디에 있는지 파악하면 데이터 보안이 향상 되고 규정 준수까지 포함해 많은 이점이 있습니다.

데이터 보안

데이터를 분류하면 다음을 수행할 수 있어 데이터 보안이 향상됩니다.

• 보안 노력의 우선순위를 정하고 데이터의 민감도에 따라 적절한 보안 통제를 적용하세요.
• 어떤 사람이 특정 유형의 데이터를 열람, 수정 또는 삭제할 수 있는지 더 쉽게 파악할 수 있습니다.
• 침해 또는 랜섬웨어 공격의 잠재적 비즈니스 영향과 같은 인사이트를 제공하여 리스크 관리 프로세스를 개선하세요.

규제 준수

데이터 분류는 다양한 컴플라이언스 규정의 적용을 받는 데이터를 식별할 수 있습니다. 그러면 필요에 따라 해당 데이터를 보호하고 감사를 통과할 수 있습니다. 데이터 분류가 일반적인 컴플라이언스 표준을 충족하는 데 어떻게 도움이 되는지 알아보세요:

• GDPR: 데이터 분류는 특정 개인의 데이터가 포함된 문서를 빠르게 검색하여 데이터 주체의 권리를 보장하는 데 도움이 됩니다. 여기에는 data subject access request 요청을 충족하는 것도 포함됩니다.
• HIPAA: 의료 기록을 정확하게 보관하면, 적절한 데이터 보호를 위해 보안 통제를 구현하는 데 도움이 됩니다.
• ISO 27001: 정보를 분류 가치와 민감도에 따라 수행하면, 무단 공개 또는 변경을 방지하기 위한 요구 사항을 충족하는 데 도움이 됩니다.
• NIST SP 800-53: 데이터를 분류하면 연방 기관이 IT 시스템을 적절하게 구성하고 관리하는 데 도움이 됩니다.
• PCI DSS: 민감도 기반 데이터 분류는 결제 카드 정보를 식별하고 보호하는 데 도움이 됩니다.
• CMMC: 미국 정부 계약업체는 개인의 민감 데이터와 CUI 모두에 대한 통제권을 확립할 수 있습니다.

기타 이점

또한 탄탄한 데이터 검색 및 데이터 분류 시스템은 다음을 수행할 수 있습니다:

• 더 빠르고 정확한 법률 문서(증거) 수집을 가능하게 합니다.
• 더 효과적인 검색을 통해 사용자 생산성과 의사결정을 향상시키세요.
• 중복되고 오래된 데이터를 식별하여 데이터 유지관리 및 저장 비용을 줄이세요.

데이터 분류 정책을 정당화하기 위한 팁

데이터 분류의 data security와 규정 준수 및 기타 이점 외에도, 프로그램을 구현하기 위한 지원을 얻는 데 도움이 되는 몇 가지 팁을 소개합니다.

현재의 위험을 입증하기

데이터 분류 프로그램에 대한 예산을 확보하는 가장 설득력 있는 방법은 데모입니다. SharePoint 같은 데이터 저장소 중 하나를 선택한 뒤, 데이터 분류 도구로 스캔하세요. 대부분의 경우 태깅이 필요하고 적절하게 보호되어야 할 민감 데이터가 대량으로 식별될 것입니다. 또한 데이터에 접근 권한이 있는 사용자가 몇 명인지—그리고 그중에서 접근 권한이 없어야 하는 사용자가 몇 명인지 반드시 보여주세요.

잠재적 피해 규모를 수치화하기

공격자가 손상된 계정을 사용해 접근이 불가능해야 했던 데이터를 훔치거나, 랜섬웨어를 배포해 해당 데이터를 암호화하는 경우 조직이 입을 수 있는 피해를 수치로 파악해 보세요.

또한 현재 상황이 위반하고 있을 수 있는 준수(컴플라이언스) 관련 규정과, 부과될 수 있는 제재(벌금/처벌)도 함께 나열하세요.

추가적인 이점을 보여주기

데이터를 분류하면 보호해야 하는 가장 중요한 파일을 식별함으로써 데이터 손실 방지와 사용자 및 엔터티 행위 분석(User and Entity Behavior Analytics, UEBA) 도구 같은 기존 투자 자산의 가치를 높일 수 있습니다.

데이터 분류는 클라우드 마이그레이션 같은 주목받는 주요 프로그램의 속도를 높이는 데에도 도움이 됩니다. 실제로 클라우드 도입을 가로막는 가장 큰 장애물 중 하나는 민감한 데이터에 대한 통제권을 잃을 수 있다는 두려움입니다. 하지만 파일이 분류되어 있다면 중요한 콘텐츠가 안전한 위치에 유지되도록 쉽게 보장할 수 있습니다.

포괄적인 데이터 분류 정책을 수립하세요

상세한 데이터 분류 정책 은 이 프로젝트가 단순히 가치 있을 뿐 아니라, 충분히 검토되어 구현 준비가 되어 있음을 보여주는 데 도움이 됩니다. 효과적인 분류 정책은 다음을 갖춰야 합니다:

• 명확하고 간단한 문구와 서식을 사용하세요.
• 데이터 분류 프로세스의 목적과 범위를 설명하세요.
• 적절한 분류 단계의 수(대개 3~5)를 자세히 설명하되, 서로 다른 데이터 세트에 적용할 수 있을 만큼 일반적이면서도 명확한 기준을 제시하세요.
• 명확화가 필요한 경우를 포함해 연락 담당자(연락 창구)를 포함하여 역할과 책임을 파악하세요.
• 개정 이력을 포함하세요.

데이터 분류 솔루션을 선택하는 방법

조직에 가장 적합한 데이터 분류 솔루션을 찾으려면, 다음 기능을 반드시 확인하세요:

• 자동화: 데이터를 생성하는 시점에 분류 작업을 자동화할 뿐만 아니라, 조직이 이미 축적해 둔(수 테라바이트에 달할 수 있는) 모든 데이터를 분류할 수 있는 솔루션을 선택하는 것이 필수입니다.
• 복합 용어 검색: 이 기능은 특정 파일이 해당 범주에 속하는지 여부를 판단하는 정확도를 높여 오탐(거짓 양성)과 미탐(거짓 음성) 모두를 최소화합니다.
• 인덱스: 데이터를 다시 크롤링하지 않고도 민감한 용어를 식별할 수 있는 것이 중요합니다.
• 유연한 분류 체계 관리자: 조직은 기본 제공 분류 체계로 시작할 수 있지만, 곧 용어와 규칙을 추가하고 수정하고 싶어질 것입니다. 따라서 작업을 쉽게 만들어 주는 솔루션을 찾으세요.
• 워크플로: 문서의 분류에 따라 특정 작업을 자동으로 수행할 수 있는 솔루션이 있으면 매우 유용합니다. 예를 들어, 퍼블릭 공유에서 민감한 데이터가 발견되면 솔루션이 즉시 이를 안전한 격리 영역으로 이동시킬 수 있습니다.
• 지원 범위의 폭: 솔루션이 클라우드와 온프레미스에서의 구조화 및 비구조화 데이터를 포함하여 모든 데이터 소스를 지원하는지 확인하세요.

결론: 데이터 분류는 노력할 가치가 있을까요?

2023년에 약 330억 건의 데이터 기록 이 도난될 것으로 예상되는 만큼, 조직들은 데이터 보안을 개선하고 싶어 합니다. 또한 데이터 프라이버시 규정에 가혹한 처벌이 뒤따르기 때문에 컴플라이언스를 소홀히 할 수 없습니다.

하지만 가장 민감한 데이터가 어디에 있는지조차 모른다면, 어떻게 그 데이터를 보호하기 시작할 수 있을까요? 또한 보안 도구가 파일 안에 무엇이 들어 있는지 알려주지 못한다면, 현재 사용 중인 보안 도구에서 최대의 가치를 어떻게 얻을 수 있을까요?

데이터 분류는 보안과 컴플라이언스를 모두 강화하는 데 도움이 되는 기반 기술입니다. 또한 사용자 생산성과 효율성을 높이고, 클라우드 마이그레이션과 같은 이니셔티브를 더 빠르게 추진하며, 데이터 관리 및 스토리지 비용을 줄일 수 있습니다. 적합한 데이터 분류 솔루션을 선택하면 운영을 방해하지 않으면서도 다양한 이점을 얻을 수 있습니다.

Netwrix는 어떻게 도와드릴 수 있나요?

Netwrix Data classification software 를 통해 중요 데이터를 안전하게 보호할 수 있습니다. 하지만 그뿐만이 아닙니다. 또한 다음을 수행할 수 있도록 지원합니다:

• 정말로 민감한 데이터에 보안 노력을 집중하세요.
• 고유한 복합 용어 처리와 통계 분석 기술로 정확도가 높은 분류 결과를 보장합니다.
• 민감한 파일을 자동으로 안전한 영역으로 이동하고 전역 액세스 그룹의 권한을 제거하여 보호하세요.
• 분류 정보를 파일에 직접 내장하여 DLP 또는 IRM 제품의 정확도를 높이고 데이터 관리 작업을 간소화하세요.
• DSAR 요청 흐름과 관련된 비용과 노력을 줄이세요.

모든 장점을 경험하려면 Netwrix Data classification software 을(를) 이 페이지를 방문하세요.

FAQ

데이터 분류의 목적은 무엇인가요?

데이터 분류는 데이터의 가치와 민감도에 따라 데이터를 범주로 정리합니다.

데이터 분류가 중요한 이유는 무엇이며 어떤 이점을 제공하나요?

데이터 분류를 통해 데이터 보안과 규정 준수(규제 컴플라이언스)를 개선할 수 있습니다. 보호 노력을 우선순위로 정하고, 사용자 생산성과 의사결정을 향상시키며, 불필요한 데이터를 제거해 스토리지를 확보함으로써 비용도 절감할 수 있습니다.

일반적인 데이터 분류 수준에는 어떤 것이 있나요?

데이터는 흔히 Public, Proprietary, Confidential 또는 Sensitive로 분류됩니다.

데이터 분류에 어떤 소프트웨어를 사용해야 하나요?

다음 기능을 제공하는 데이터 분류 소프트웨어를 찾아보세요:

• 복합어 검색을 사용해 정확한 분류를 보장합니다
• 인덱스를 보유하여 데이터 저장소를 다시 크롤링하지 않고도 민감한 용어를 찾을 수 있습니다
• 분류 매개변수를 맞춤 설정할 수 있도록 지원하는 유연한 분류 체계 관리자 기능이 포함되어 있습니다
• 공유 폴더(공개 공유)에서 민감한 데이터를 이동하는 등 프로세스를 자동화할 수 있는 워크플로를 제공합니다
• 구조화 및 비구조화 데이터를 포함해 온프레미스와 클라우드 콘텐츠 소스를 모두 지원합니다

조직에서 데이터 분류에 대한 책임은 누구에게 있나요?

조직에서는 일반적으로 보안 및 리스크 관리자, 데이터 보호 관리자, 컴플라이언스 위원회 또는 유사한 조직이 데이터 분류를 담당하도록 지정합니다.