효과적인 데이터 유출 방지 프로그램 구축

오늘날 데이터는 모든 조직의 생명줄이며, 따라서 데이터 유실은 IT 팀과 C-suite(임원진) 모두에게 매우 시급한 관심사입니다. 데이터 유실은 하드 드라이브 고장부터 데이터 유출까지, 악의적인 내부자 또는 외부 해커에 의해 발생할 수 있습니다. 데이터 유실의 결과 역시 매우 다양합니다. 핵심 비즈니스 프로세스가 쉽게 중단될 수 있고, 중요한 문서가 경쟁사의 손에 넘어가는 일은 치명적일 수 있습니다. 또한 조직은 컴플라이언스 벌금과 고객 신뢰 하락에 직면할 수도 있습니다. 이러한 모든 요소는 매출에 타격을 줄 수 있으며, 나아가 회사가 문을 닫게 되는 상황까지 이어질 수 있습니다.

이러한 위험을 최소화하려면 모든 조직이 data loss prevention (DLP) 중요 데이터를 보호하는 계획을 갖춰야 합니다.

효과적인 data loss prevention 프로그램 설계하기

효과적인 data loss prevention 은 폭넓은 접근을 필요로 합니다. 단일 소프트웨어 프로그램을 선택하고 그걸로 충분하다고 생각하고 싶은 유혹에 빠지지 않는 것이 중요합니다. 보호하는 데이터는 너무 중요하고, 유실로 인해 발생할 수 있는 후폭풍은 너무나 심각합니다. 다음은 진정으로 효과적인 DLP 프로그램을 구축하기 위해 필요한 단계입니다.

1단계: 경영진의 동의를 얻습니다.

먼저, 영향을 받을 수 있는 모든 부서와 사업부의 책임자를 포함하여 경영진의 승인을 확보하세요. 프로그램의 성공을 위해서는 그들의 지원이 반드시 필요합니다.

2단계: 중요 데이터(critical data)를 식별하고 분류하세요.

중요 데이터와 중요하지 않은 데이터를 구분하는 것은 데이터 유출 방지 프로그램을 만들기 위한 가장 중요한 단계일 수 있습니다. 다음은 식별해야 할 수 있는 데이터 유형의 예입니다.

• 지적 재산권( IP )
• 법률 문서
• 전략 기획 문서
• 판매 데이터
• 고객 정보
• 개인정보(PII)
• 마케팅 데이터 및 예측
• 운영 문서
• 재무 기록
• 인사 데이터
• 정부 데이터
• 비밀번호 및 기타 IT 데이터
• 어떤 준수 규정의 적용을 받는 데이터

각 중요 데이터 조각에 대해 분류를 나타내는 디지털 서명으로 태그를 지정하여, 다양한 소프트웨어 솔루션이 이를 적절하게 처리할 수 있도록 하세요.

3단계: 위협과 위험을 파악합니다.

각 유형의 중요 데이터와 관련된 활동을 모델링하세요. 여기에는 누가 해당 데이터에 액세스하는지, 그리고 그들이 해당 데이터로 무엇을 하는지까지 포함됩니다. 각 데이터 조각의 보안을 위협할 수 있는 요소가 무엇인지 파악하세요. 데이터의 라이프사이클에서 각 시점마다 어떤 취약점이 존재합니까? 데이터의 안전한 사용에 대한 책임자는 누구입니까? 해당 책임자가 이를 보호하는 데 필요한 도구를 갖추고 있습니까?

데이터가 유실될 경우 어떤 일이 발생할 수 있는지 자세히 설명하세요. 비즈니스에 대한 직접적인 영향과 컴플라이언스(규정 준수) 위반에 따른 패널티를 모두 고려해야 합니다.

4단계: 목표를 정의하세요.

예를 들어 다음과 같이 DLP 프로그램이 달성하길 원하는 목표를 지정하세요.

• 위험을 파악하고 이를 해결하는 방법 찾기
• 전송 중 데이터, 사용 중 데이터, 저장된 데이터 보호
• 위험을 증가시키지 않으면서 데이터를 사용 가능 상태로 유지
• 보안, 개인정보 보호 및 준법을 위한 절차 표준화

5단계: 단계별 절차를 작성합니다.

중요한 데이터를 저장하고 처리하기 위한 프로세스와 정책을 수립하고, 데이터 유출 및 기타 보안 사고에 대한 상세한 대응 계획도 마련합니다. 다음 표는 검증된 모범 사례를 통한 중요하고 민감한 데이터의 안전한 취급 방법을 제시합니다. 각 모범 사례를 실행하기 위한 절차를 반드시 작성하세요.

출처: https://www.isaca.org/Journal/archives/2018/Volume-1/Pages/data-loss-prevention-next-steps.aspx

6단계: 현재 사용 중이며 이용 가능한 시스템을 평가합니다.

기존 하드웨어와 소프트웨어가 DLP 목표를 충족할 수 있는지 검토하세요. 대부분의 데이터 보호 시스템은 데이터를 정확하고 일관되게 분류할 수 없다는 점을 기억하세요. 현재 시스템이 부족하다면 목표와 위험/비용 분석을 모두 염두에 두고 다른 솔루션을 평가하십시오. 어떤 기능이 필요하며, 그에 대해 사용자의 관점에서 어느 정도의 가치가 있습니까?

7단계: 모두에게 교육합니다.

조직 내에서 DLP 프로그램의 중요성에 대한 인식을 높이세요. 다음 정보를 포함합니다:

• 중요 데이터란 무엇을 의미하는가
• 이메일 및 인터넷 사용을 포함하여 특정 상황에서 중요 데이터를 어떻게 처리해야 하는가
• 회사가 반드시 준수해야 하는 법률

직원 그룹별 필요에 맞게 교육을 맞춤화하고, 정기적으로 반복하세요. 사용자를 주기적으로 테스트하고, 올바른 절차를 따르지 않는 개인에게 후속 조치를 취하는 것을 잊지 마십시오.

강력한 데이터 손실 방지 프로그램의 이점

데이터 손실 방지 프로그램이 더 잘 구축되어 있을수록 데이터는 더 안전해집니다. 또한 연방 기관을 대상으로 한 National Institute of Standards and Technology (NIST)의 데이터 손실 방지 가이드라인과 관련된 감사를 포함하여, 규정 준수 감사에 더 잘 대비할 수 있습니다. NIST DLP 프로그램에는 Cybersecurity Framework 가 포함되며, 여기에는 FISMA 및 HIPAA와 같은 다른 규제 체계에 대한 준수를 지원하는 권고 사항이 포함되어 있습니다.

DLP의 핵심: 자동화된 데이터 분류

어떤 데이터 손실 방지 프로그램이든 가장 중요한 부분은 데이터 분류입니다. 보유한 데이터의 종류를 알지 못하면 해당 데이터를 적절하게 보호할 수 없습니다.

Netwrix Data Classification 는 온프레미스, 클라우드 또는 하이브리드 IT 환경 전반에서 필요로 하는 정확하고 일관되며 유연한 데이터 분류를 제공합니다.