데이터 프라이버시 솔루션: 올바른 선택 방법

데이터 프라이버시 솔루션은 개인정보 보호 관련 규정을 준수하고 보안을 유지하는 데 필수적입니다. 2019년 상반기(처음 9개월) 동안 5,183건의 데이터 침해 사고가 보고되었으며, Data Breach Quickview 에 따르면 79억 건의 기록이 노출되었습니다. GDPR 및 CCPA 같은 현대적인 규정은 기업이 소비자의 개인 정보가 노출되거나 유실되지 않도록 합리적인 데이터 보호 조치를 마련할 것을 요구합니다.

이러한 개인정보 보호 요구 사항을 충족하고 미준수로 인한 위험을 관리하려면, 기업은 개인 데이터를 수집·관리·저장하기 위해 사용하는 정보 시스템, 데이터베이스, 데이터 웨어하우스, 데이터 처리 플랫폼을 개선하거나 재설계해야 합니다.

이는 개인정보가 생애주기 전반에 걸쳐 통제될 수 있도록 돕고, 폐기(종료) 단계의 프로세스를 포함하는 현대적인 기술의 도입을 필요로 합니다. 그러나 다양한 개인정보 규정 사이의 차이로 인해 규정 준수 달성이 어려워질 수 있습니다.

GDPR, CCPA 및 기타 개인정보 규정

GDPR은 유럽 연합 거주자의 개인정보를 규제하는 반면, CCPA는 캘리포니아 주 전역의 거주자에게 적용됩니다. 두 규정은 데이터 프라이버시 를 보장해야 한다는 요구 사항에서는 매우 유사하지만 정의, 처벌 및 기타 이슈 에서는 차이가 있습니다. 알아두어야 할 핵심 사항은 다음과 같습니다.

• GDPR은 고객 데이터를 처리하기 위한 법적 근거의 입증을 요구하지만, CCPA는 그렇지 않습니다.
• GDPR은 건강 데이터가 어떻게 수집되고 저장될 수 있는지에 대해 구체적인 규칙을 가지고 있습니다. 또한 건강 데이터의 유형을 구분합니다. CCPA는 이를 모두 “개인 정보”로 묶어 처리합니다.
• GDPR은 규제 대상 데이터와 함께 일하는 모든 회사에 적용되며, CCPA는 영리 목적의 기업에만 적용됩니다.

많은 기업이 준수해야 하는 다른 개인정보 보호 법률에도 고려해야 할 다양한 뉘앙스가 있습니다. 또한 민감한 데이터를 다루는 기업은 종종 법률이 요구하는 수준을 넘어서는 방식으로 데이터 관행을 보장해야 합니다.

적절한 데이터 개인정보 보호 솔루션을 선택한다는 것은, 투자 대비 좋은 성과를 제공하면서도 규정 준수 요구 사항을 충족하는 솔루션을 찾는 것을 의미합니다.

GDPR과 CCPA가 처음 시행된 이후 전 세계적으로 새로운 규정이 등장했습니다. 캘리포니아는 소비자 권리를 확장하고 집행 기관을 설립하는 California Privacy Rights Act (CPRA)로 프레임워크를 강화했습니다. 마찬가지로 브라질의 LGPD, 인도의 2023년 Digital Personal Data Protection (DPDP) Act, 그리고 기타 지역 법률도 현지 요구 사항을 추가하면서 GDPR의 모델을 따릅니다. 즉, 프라이버시 프로그램은 더 이상 하나 또는 두 가지 규정에만 집중할 수 없으며, 여러 관할권에 맞게 적응하는 유연한 솔루션이 필요합니다.

데이터 프라이버시 보호를 위해 찾아야 할 주요 기능

다양한 데이터 프라이버시 규정의 준법을 달성하고 지속하는 데 도움이 되는 몇 가지 주요 기술 역량이 있습니다. 또한 이러한 역량 중 일부는 현재 환경에서 이미 사용 중인 도구를 통해 제공되고 있을 가능성이 높다는 점에 유의하세요.

데이터 검색 및 분류

데이터 검색은 기술 플랫폼, 시스템, 아카이브 전반에 걸쳐 존재하는 모든 구조화 및 비구조화 데이터를 식별하는 과정을 의미합니다. 데이터 분류 는 발견된 데이터를 유형과 처리 목적에 따라 분류합니다. 이러한 역량을 함께 활용하면 민감한 데이터가 무엇인지 정확히 파악하여 데이터 보안 노력을 우선순위에 따라 진행할 수 있습니다. 예를 들어, “제한됨”으로 분류된 문서만 암호화하도록 결정할 수 있습니다.

간단한 분류 체계로 시작하는 것이 가장 좋습니다. 미국 정부는 데이터를 세 가지 범주로 구분합니다: top-secret, secret, public. 마찬가지로 민간 부문 조직도 데이터를 restricted, private, public으로 분류하는 경우가 많습니다. 분류 내의 모든 데이터에 동일한 보안 조치를 적용할 수 있지만, 일부 조직은 다양한 수준의 위험을 수용하기 위해 매우 세분화된 data classification 시스템을 개발하기도 합니다.

GDPR, CCPA, HIPAA와 같은 적용 대상 컴플라이언스 규정 각각에 대해 사전 구축된 분류 택소노미를 제공하는 솔루션을 찾아보는 것이 좋을 수 있습니다. 이 데이터를 빠르고 정확하게 분류할 수 있으면, 각 규정의 요구 사항을 충족하는 세분화된 data security controls 를 적용할 수 있습니다.

데이터 분류 솔루션을 비교할 때는 다음 기능을 반드시 확인하세요:

• 복합 용어 처리 — 순수 통계 분석을 기반으로 다단어 개념을 식별하고 가중치를 부여하면, 조직에 특화된 정보 패턴을 더 잘 이해할 수 있으며, 신뢰할 수 있는 결과를 제공합니다.
• 재사용 가능한 인덱스 — 새 파일이 나타나거나 분류 규칙이 변경될 때마다 길게 데이터 재수집을 할 필요가 없도록 하여, 재사용 가능한 인덱스는 콘텐츠에 대한 최신 정보를 빠르게 확보할 수 있게 해줍니다.
• 세분화된 분류 체계 관리자 — 분류 규칙을 손쉽게 만들고 사용자 지정할 수 있는지 확인하세요. 예를 들어, 각 RegEx, 키워드 또는 핵심 구문에 대해 특정 가중치를 지정할 수 있어야 하며, 그래야만 이러한 단서들의 올바른 조합이 문서를 분류 임계값을 넘도록 만들 수 있습니다.
• 명확한 결과 — 파일이 어떤 이유로 그렇게 분류되었는지를 정확히 확인할 수 있어야, 규칙을 분석해 정확도를 높일 수 있습니다.
• 변경 시뮬레이션 — 또한 분류 규칙의 변경 사항을 시뮬레이션하고, 실제 운영 환경에는 영향을 주지 않으면서 이미 분류된 파일에 어떤 영향을 미칠지 확인할 수 있는 기능도 유용합니다.
• 모든 데이터 소스를 지원 — 파일 서버, 데이터베이스 또는 클라우드에 있든, 저장해 두는 모든 데이터를 찾아내고 분류할 수 있는 솔루션을 찾으세요.

위험 평가 및 대응

많은 개인정보 보호 규정에서도 데이터 보안과 관련된 위험을 식별하고 완화할 것을 요구하므로, 정기적으로 IT risk assessment를 수행할 수 있어야 합니다.

IT risk assessment 는 데이터와 애플리케이션에 대한 과도한 액세스 권한을 파악하고, 기반 시스템의 구성에서 보안상의 취약점이 있는지 확인하는 것을 포함합니다. 위험 완화는 구성 초기화를 통해 알려진 양호한 기준(baseline)으로 되돌리거나 불필요한 권한을 회수하는 것부터 보안 정책을 조정하는 것까지 다양한 형태로 이루어질 수 있습니다.

사용자 활동 모니터링

데이터가 일반적으로 언제, 어디서, 어떻게 액세스되고 사용되는지 확인할 수 있어야 하며, 위협을 시사할 수 있는 이상 징후를 빠르게 식별할 수 있어야 합니다. 이상적으로는 도구가 중요한 활동을 사전에 알림으로써 즉시 대응하여 침해 및 컴플라이언스 위반을 방지할 수 있게 해줘야 합니다.

취약점 관리

정기적인 위험 평가를 통해 보안 방어 체계의 취약점을 찾는 것에 더해, 정기적인 침투 테스트 같은 전략을 사용하여 보다 복잡한 취약 지점을 파악할 필요도 있습니다. 침투 테스트를 수행하려면 별도의 솔루션이 필요하거나 숙련된 외부 전문 서비스가 필요할 수 있지만, 견실한 프라이버시 솔루션은 현재 구성 상태를 가시적으로 제공해야 합니다.

변경 및 액세스 감사

IT 생태계는 늘 분주합니다. IT 팀과 비즈니스 사용자가 모두 변경을 수행하고, 데이터에 액세스하며, 데이터를 수정하는 등 다양한 작업이 이뤄지죠. 원치 않는 변경과 의심스러운 액세스를 빠르게 감지할 수 있어야 하는 것이 필수입니다. 예를 들어, 강력한 보안 그룹에 대한 변경은 정당하지 않은 권한 상승을 의미할 수 있고, Group Policy에 대한 부적절한 변경은 데이터 침해로 쉽게 이어질 수 있으며, 대규모 파일 변경은 랜섬웨어가 실제로 작동 중임을 신호할 수 있습니다.

변경 및 액세스 감사를 통해 최소 권한을 적용하고, 적절한 구성을 유지하며, 활성 위협을 포착하는 등 더 많은 작업을 수행할 수 있습니다. 또한 이 감사 데이터를 보관하면 감사자에게 필수 프로세스가 마련되어 있고 사고를 신속하게 조사할 수 있음을 입증할 수 있습니다.

암호화

해커와 네트워크 스니퍼는 흔히 비밀번호, 신용카드 번호, 기타 민감한 정보를 훔칩니다. 실제로 신용카드 정보 유출은 소비자에게 대해 공개적으로 가장 많이 보도된 문제 중 하나로 꼽히기도 합니다. 암호화는 훔쳐간 데이터를 해커에게 쓸모 없게 만들고, 컴플라이언스 위반에 따른 벌칙을 피하는 데 도움이 됩니다.

다음과 같이 암호화 및 기타 난독화(오브퓨스케이션) 방법을 제공하는 솔루션을 찾으세요:

• 토큰화 — 보안이 손상되지 않으면서 필수 정보를 유지하는 고유 식별 기호로 민감한 데이터를 대체하는 것
• 가명화(Pseudonymization) — 기록(레코드)에 포함된 개인정보(PII) 필드를 인공적인 식별자(가명)로 대체하는 것
• 동적 마스킹 — 원본 데이터에는 물리적인 변경を 가하지 않으면서, 데이터 스트림을 변경해 데이터 요청자가 민감한 정보에 접근하지 못하도록 하는 것

감독기관이 개인정보 보호 법률을 보다 공격적으로 집행하고 소비자가 자신의 권리에 대해 더 잘 알게 되면서, 데이터 주체의 열람 요청(DSARs)에 대한 수요는 계속해서 빠르게 증가하고 있습니다. 생성형 AI 도구 또한 개인 데이터의 노출을 더 쉽게 만들어, 조직이 처리해야 하는 열람 및 삭제 요청의 수가 늘어나고 있습니다. 자동화가 없으면 이러한 요청을 이행하는 일은 가장 자원이 많이 드는 컴플라이언스 업무 중 하나로 남아, 확장 가능한 DSAR 솔루션을 최우선 과제로 삼게 됩니다.

DSAR 이행

개인정보 보호 규정에 따라 정보주체의 접근 요청 (DSARs)에 대해 신속하고 효과적으로 응답해야 합니다. 이러한 촉박한 기한에도 불구하고, 데이터 전송, 데이터 파기 등과 관련하여 정보주체의 권리를 반드시 보장해야 합니다. 개인의 권리에 대한 인식이 높아지면서 DSAR의 수는 빠르게 증가하고 있습니다. 비용은 이미 최대 74%까지 증가했으며, 이는 Netwrix 2020 Data Risk and Security Report에 따른 것입니다.

각 DSAR을 처리하기 위해 데이터 저장소를 수동으로 크롤링하는 방식은 너무 느리고 인력 투입이 커서 확장 가능한 접근이 되기 어렵습니다. 자동화는 엄격한 규정 준수 기한을 맞추면서 DSAR 검색 비용을 줄이는 데 핵심입니다. 비IT 팀에 DSAR 처리를 안전하게 위임할 수 있는 솔루션을 찾고, 인력이 부족한 IT 부서에 늘어나는 이 부담을 제거하세요.

추가 데이터 보호 단계

민감한 데이터를 보호하기 위한 다른 솔루션으로는 방화벽과 백신, 악성코드 방지, 스파이웨어 방지 소프트웨어가 있습니다. 서버실에 출입할 수 있는 사람을 제한하는 등 물리적 접근 통제도 중요합니다.

직원들에게 데이터 프라이버시와 보안에 대해 교육하는 것도 잊지 마세요. 직원들은 정보의 생성, 접근, 사용 현장에서 최전선에 있습니다. 데이터 프라이버시를 사명(미션) 선언문에 포함하고, 고객 서비스 팀부터 비즈니스 사용자, 그리고 최고 경영진에 이르기까지 모두를 정기적으로 교육하여 data privacy and data security 를 모두 보장하는 방법을 익히게 하세요.

Netwrix가 도와주는 방법

Netwrix는 GDPR, CPRA, LGPD, HIPAA와 같은 변화하는 규제에 대해 프라이버시 위험을 줄이고 컴플라이언스를 입증할 수 있도록 돕습니다. Netwrix data security platform 는 온프레미스, 클라우드, 하이브리드 환경 전반에서 지속적인 데이터 검색과 분류를 가능하게 하여, 민감한 정보가 어디에 저장되어 있는지와 누가 그에 접근할 수 있는지 항상 파악할 수 있습니다.

Data Security Posture Management (DSPM) 를 통해 Netwrix는 과도한 권한, 잘못된 구성(오적 구성), 그리고 컴플라이언스 격차나 보안 위험을 초래할 수 있는 과도하게 노출된 데이터를 가시화합니다. 내장형 감사 및 보고 기능을 통해 규제 검토 중 컴플라이언스를 손쉽게 입증할 수 있으며, 자동화된 알림은 침해 사고로 확대되기 전에 의심스러운 활동을 미리 강조해 줍니다.

가장 리소스 집약적인 컴플라이언스 부담 중 하나를 완화하기 위해 Netwrix는 또한 Data Subject Access Request (DSAR) 를 검색 및 위임 기능으로 간소화하여 IT 업무량을 줄여줍니다. 여기에 신원 중심의 보안 제어, 암호화, 모니터링을 결합함으로써 Netwrix는 프라이버시와 컴플라이언스에 대한 현실적인 접근 방식을 제공합니다. 즉, 보안 태세를 강화하는 동시에 투자 성과가 측정 가능한 비즈니스 가치로 이어지도록 보장합니다.