조치를 촉진하는 데이터 위험 평가 수행 방법

민감한 데이터 노출의 75%는 손상된 신원 또는 잘못 구성된 권한에서 시작된다고 Netwrix 2026 Data and Identity Security Report에 보고되어 있습니다. 여러 검토 주기 동안 이러한 접근 경로를 변경하지 않는 데이터 위험 평가에서는 데이터 보안 태세의 측정 가능한 개선을 입증할 수 없습니다.

팀은 탐색 및 분류를 수행하고 결과를 평가하여 보고하지만, 결과가 실제 조치로 이어지는 경우는 드뭅니다. 몇 달 후에도 동일한 과도하게 노출된 폴더가 Everyone에게 열려 있을 수 있는데, 이는 아무도 소유권을 할당하거나 작업 대기열에 티켓을 입력하거나 종료 전에 실시간 권한을 확인하지 않았기 때문입니다.

유용한 평가는 현재 노출 증거를 책임 있는 수정과 연결합니다.

데이터 위험 평가란 무엇인가요?

데이터 위험 평가는 특정 민감한 데이터의 노출을 평가하는 프로세스입니다. 이 프로세스는 해당 데이터가 어디에 저장되어 있는지, 누가 또는 무엇이 접근할 수 있는지, 그리고 그 접근이 오용되거나 데이터가 유출될 경우 어떤 일이 발생하는지를 식별합니다. is a process that evaluates the exposure of specific sensitive data. It identifies where that data lives, who or what can reach it, and what happens if that access is misused or the data leaks.

일반적인 정보기술(IT) 위험 평가는 전체 조직에서 개별 시스템에 이르기까지 정보 시스템을 광범위하게 다룹니다.

개인정보 영향 평가(PIA) 또는 GDPR에 따른 데이터 보호 영향 평가(DPIA)는 미래를 내다봅니다. GDPR Article 35(1)는 계획된 활동이 개인에게 높은 위험을 초래할 가능성이 있을 때 처리 시작 전에 평가를 요구하며, 개인의 관점에서 작성됩니다.

데이터 위험 평가는 첫 번째보다 좁고 두 번째보다 더 운영적입니다. 현재 기존 데이터에 대한 접근을 설명하며 수정 목록으로 끝납니다.

데이터 위험 평가의 핵심 구성 요소

완전한 데이터 위험 평가는 다섯 가지 구성 요소를 거치며, 각 요소가 다음 요소를 지원합니다. 하나를 건너뛰면 발견과 수정 간의 연결 고리가 끊어집니다.

데이터 인벤토리

데이터 인벤토리는 어떤 민감한 데이터가 존재하며 어디에 위치하는지를 기록하며, 파일 서버, Microsoft SharePoint, 클라우드 스토리지, SaaS 앱, 그리고 Microsoft 365 Copilot 및 기타 인공지능(AI) 도구가 접근할 수 있는 저장소를 포함합니다. 이는 시스템별이 아니라 저장소 및 소유자별로 구성되는데, 하나의 시스템이 보통 다양한 민감도를 가진 여러 저장소를 포함하기 때문입니다.

분류

분류는 각 데이터에 민감도 등급과 규제 플래그를 할당합니다. 이는 personally identifiable information (PII), protected health information (PHI), payment card industry (PCI) 데이터를 기밀 비즈니스 데이터 및 기타 모든 데이터와 구분합니다. 일관되게 모든 저장소에 적용할 때 그 가치가 있으며, 두 가지 방식으로 해석된 스키마는 비교할 수 없는 결과를 만듭니다.

액세스 및 노출 매핑

접근 및 노출 매핑은 각 민감한 위치에 도달할 수 있는 그룹, 계정, 서비스 계정 및 AI 에이전트를 보여줍니다. 이는 중첩 그룹을 통해 해결된 실제 접근 권한을 설명하며, 원시 접근 제어 목록(ACL) 항목 대신 중첩이 공유의 실제 대상 대부분을 숨길 수 있기 때문입니다.

위험 점수

위험 점수는 발견 사항 전반에 걸쳐 가능성과 영향을 결합하여 비교 가능한 값을 만듭니다. 민감도는 영향을 결정하고, 노출과 접근 경로는 가능성을 결정하며, 평가 기준은 두 평가자가 동일한 발견 사항을 독립적으로 평가해도 동일한 값에 도달할 수 있도록 용어를 정확하게 정의합니다.

소유권 및 보고

Ownership 및 보고는 모든 발견 사항에 대해 책임자를 지정하고 사람들이 조치를 취할 수 있는 등록부 형태로 결과를 제공하는 계층입니다. 내러티브 덱은 등록부의 부산물일 뿐 대체물이 아닙니다.

데이터 위험 평가를 수행해야 할 때

컴플라이언스 주기, 환경 변화 또는 사고는 각각 별도로 평가를 촉발해야 하며, 이들이 일치하기를 기다리지 않아야 합니다.

규정 준수 프레임워크에 맞춘 주기로

감사자는 반복 평가에서 최신 증거를 기대하며, 주요 프레임워크들은 명시적으로 말하지 않고도 동일한 간격에 수렴합니다.

GDPR 및 HIPAA는 고정된 빈도를 정하지 않았지만, 미국 보건복지부(HHS) 시민권국(OCR)은 합의서에 연례 검토를 명시했습니다. 2024년 10월 Plastic Surgery Associates of South Dakota에 대한 시정 조치 계획은 50만 달러 합의의 일부로, 운영이 변경될 때마다 연간 위험 분석을 최신 상태로 유지하도록 요구합니다.

PCI DSS v4.0.1은 12개월마다, 서비스 제공업체는 6개월마다, 그리고 중요한 변경 후에 범위를 확인해야 합니다. 연간 확인이 실질적인 기준입니다.

특정 트리거 이벤트가 발생할 때

새로운 데이터 소스, 인수, 접근 모델 변경 또는 AI 도입은 어느 달력보다 빠르게 위험 프로필을 변경할 수 있습니다. 새로운 소스는 분류를 앞서고, 인수는 함께 작동하도록 설계되지 않은 접근 모델을 병합하며, 접근 모델 변경은 조용히 닫힌 경로를 다시 열 수 있습니다.

사고 또는 아찔한 상황 후에

보안 사고, 아찔한 상황, 또는 감사 결과는 마지막 평가가 현실과 더 이상 일치하지 않음을 의미합니다. HIPAA §164.308(a)(8)는 전자 보호 건강 정보(ePHI)에 영향을 미치는 운영 변경 후 재평가를 요구하며, OCR은 보안 사고를 트리거로 지정합니다.

대부분의 데이터 위험 평가가 수정 조치와 접촉 후에 유지되지 않는 이유

데이터 위험 평가는 결과 이후에 일어나는 일만큼만 유용합니다. 평가가 결과와 해결 사이에서 지연되는 세 가지 반복되는 이유가 있으며, 각각은 평가와 이를 통해 추진하려는 수정 간의 다른 연결 고리를 끊습니다.

평가는 순간 포착이며, 누군가 읽을 때쯤이면 이미 오래된 정보입니다

권한과 데이터 위치는 매일 변경되며, 보고서는 데이터 추출 당일의 상태를 고정합니다. 시점별 접근 목록은 추출 사이에 추가, 삭제되거나 일시적으로 사용된 계정을 놓칠 수 있습니다. 데이터 추출 3주 후에 제시된 평가는 이미 변경된 시스템을 설명합니다. 보고서를 기준선으로 간주하고 우선순위 지정 및 종료 전에 인벤토리와 실제 접근 데이터를 새로 고치십시오.

발견 사항에는 심각도 점수가 있지만 담당자가 없습니다

심각도 열이 있는 스프레드시트는 정렬된 목록이며, 정렬된 목록은 아무에게도 작업을 할당하지 않습니다. 미국 재향군인부 Office of Inspector General는 2024 회계연도 연방 정보 보안 현대화법 감사(보고서 24-01233-90, 2025년 6월)에서 효과적인 액세스 제어는 이해관계자 및 시스템 소유자 간의 협업에 달려 있으며, 부서의 고도로 분산된 컴퓨터 환경 내에는 단일 책임 지점이 없다고 보고했습니다.

수정 회의가 끝나기 전에 모든 발견 사항에 대해 지정된 소유자, 기한 및 추적된 티켓을 요청하세요.

심각도 점수는 누가 조치를 취할 수 있는지 묻지 않고 계산됩니다

이번 분기에 중요한 문제를 해결할 수 있는 역량이나 권한이 없는 팀은 해당 점수를 위험 감소로 전환할 수 없습니다. 대규모 조직을 담당하는 소규모 보안 팀에게 역량 경쟁은 일반적이며, 이를 무시하는 점수는 무엇이 해결될지 예측할 수 없습니다. 점수에 소유권과 현실적인 기한을 결합하여 이해관계자가 수정 작업 순서를 정하고 연기 사항을 문서화할 수 있도록 하십시오.

데이터 위험 평가 프로세스, 단계별로

이 데이터 보안 위험 평가 단계를 종속 체인으로 실행하세요. 범위 제어가 발견을 지원하고, 발견이 분류 및 액세스 매핑을 지원하며, 이러한 결과가 점수 매기기 및 수정 조치를 지원합니다.

1. 비즈니스에 중요한 데이터부터 평가 범위를 설정하세요

비즈니스에 가장 큰 영향을 미칠 데이터 노출부터 시작한 다음 점차 범위를 넓히세요. 모든 것을 한 번에 평가하려고 하면 평가가 지연됩니다.

The Information Systems Audit and Control Association (ISACA) crown-jewel approach는 자산을 중요도와 데이터 민감도에 따라 분류하여 먼저 보호할 짧은 목록을 제공합니다. 규제된 프레임워크가 첫 번째 경계를 제공합니다.

HIPAA는 조직이 생성, 수신, 유지 또는 전송하는 모든 ePHI를 포함하며, PCI DSS scoping는 카드 소지자 데이터의 모든 위치와 흐름, 그리고 카드 소지자 데이터 환경(CDE)에 연결되거나 영향을 줄 수 있는 모든 시스템을 찾는 것을 의미합니다. 지적 재산권과 고객 기록을 추가한 다음 멈춥니다. 나머지는 2차 단계까지 기다립니다.

2. 민감한 데이터가 어디에 있는지 발견하고 목록화하세요

이름을 지정할 수 있는 시스템뿐 아니라 민감한 데이터를 보유할 수 있는 모든 저장소에 대해 검색을 실행하세요. 여기에는 온프레미스 파일 서버, SharePoint Online 및 OneDrive, 클라우드 스토리지, 그리고 이들 모두에서 읽는 SaaS 앱과 AI 도구가 포함됩니다.

각 저장소에 대해 소유자, 위치 및 분류를 기록하여 인벤토리가 추상적인 시스템 대신 저장소와 사람을 명명하도록 합니다.

스캔 주기를 고려하여 패스 계획을 세우세요. Microsoft Purview Information Protection은 크롤링 일정에 따라 스캔 및 라벨링하므로 마지막 크롤 이후 생성된 파일은 다음 크롤을 기다립니다. 인벤토리가 종료되기 전에 새 크롤을 시작하거나 각 저장소 옆에 크롤 날짜를 기록하여 이해관계자가 인벤토리가 무엇을 포함하고 제외하는지 알 수 있도록 하세요.

3. 누가 무엇에 접근할 수 있는지 매핑하세요

ACL에 있는 그룹, 중첩 멤버십, 서비스 계정 및 AI 에이전트를 나열하여 모든 민감한 위치에 대한 실제 액세스를 확인하고 각 항목을 포함된 계정으로 확장하세요. 원시 ACL 항목은 그룹에 다른 그룹이 포함된 경우 공유의 실제 대상 대부분을 숨기므로, 항목을 최종으로 처리하기 전에 모든 중첩 그룹을 확장해야 합니다.

Everyone, Authenticated Users 및 Domain Users를 개방된 수탁자로 간주하십시오. 각 용어는 조직 내 모든 계정을 의미하며, Microsoft 자체 SharePoint reports 는 외부 사용자를 제외한 Everyone 권한을 사실상 공개된 것으로 설명합니다. 모든 민감한 위치에 대해 해결된 계정 목록과 각 경로가 여전히 정당한지에 대한 예/아니오 답변이 있을 때 통과가 완료됩니다.

4. 민감도와 비즈니스 영향에 따라 발견한 내용을 분류하세요

네 단계 민감도 체계(공개, 내부, 기밀, 제한)를 사용하여 발견한 내용을 분류한 다음, 규제 상태(PII, PHI, PCI)를 별도의 속성으로 태그하세요. 민감한 파일이 모두 동일한 위험을 갖는 것은 아니기 때문입니다.

ISACA는 이를 병렬 메타데이터로 모델링하며, Purview는 민감한 정보 유형을 통해 규제된 데이터 유형을 감지합니다. HIPAA 및 PCI 범위 규칙이 민감도 등급과 상관없이 규제된 유형에 적용되므로 두 가지를 분리하여 유지하세요. 두 가지는 서로 다른 긴급성을 유발합니다.

5. 각 위험을 발생 가능성과 영향도에 따라 평가하세요

가능성 곱하기 영향 모델을 선택하고 누구나 점수를 매기기 전에 평가 기준을 작성하세요. NIST SP 800-30은 명확한 모델과 각 값에 대한 서면 근거를 요구하여 결과를 반복할 수 있도록 합니다. 민감도는 영향을, 노출과 접근 경로는 가능성을 결정합니다.

The Open Worldwide Application Security Project (OWASP) 위험 등급 방법은 더 넓은 인구에 접근 가능한 경로에 더 높은 가능성을 부여하여 이 가중치를 설명합니다. 따라서 Domain Users에게 열린 폴더는 나머지 요소가 동일할 때 몇몇 지정된 사람에게만 제한된 접근보다 더 높은 순위를 차지합니다. NIST가 요구하는 대로 각 가능성 수준에 시간 범위를 지정하여 가능성 등급이 file-server와 SharePoint 결과에서 동일한 의미를 갖도록 하십시오.

6. 이해관계자가 조치할 수 있는 형식으로 결과를 문서화하고 보고하세요

발견 사항별로 한 행씩 위험 등록부를 작성하세요. National Institute of Standards and Technology 기관 간 보고서 (NISTIR) 8286r1은 ID, 우선순위, 설명, 대응, 위험 소유자 및 상태를 기본 필드로 나열합니다. 데이터 위험 평가의 경우 관련 데이터, 저장소 및 접근 경로를 추가하여 수정하는 사람이 무엇을 어디서 제거해야 하는지 알 수 있도록 하세요.

소유자 및 날짜 열은 당분간 비워 두고 수정 회의에서 작성하세요. 평가별로 사업부별로 공개된 고위험 발견 항목을 비교할 때, 개수는 chief information security officer (CISO)에게 서술 없이 태세 지표를 제공합니다.

위험 점수만으로 무엇을 먼저 수정할지 결정하지 않는 이유

위험 점수는 결과를 정렬하지만 겸손한 라벨 뒤에 숨겨진 공개 공유를 놓칠 수 있습니다. Confidential로 라벨이 지정되고 Authenticated Users와 공유된 데이터 세트는 Restricted 데이터 세트보다 실제 위험이 더 클 수 있습니다. Restricted 데이터 세트는 몇 명의 지정된 사람만 읽을 수 있기 때문이며, 노출이 가능성을 증가시키기 때문입니다.

ISO/IEC 27005 노출 정도를 가능성 기준으로 나열합니다. 루브릭이 라벨만 읽으면 일반 비즈니스 데이터에 대한 공개 공유는 목록 하단으로 내려가 그 자리에 머뭅니다.

동점 점수는 두 번째 문제를 만듭니다. 서로 다른 부서의 두 발견물이 동일한 수정 스프린트를 원할 수 있기 때문입니다. 평가 시작 전에 동점 결정 기준을 설정하고 평가 기준표에 작성하세요. 규제된 데이터가 동점에서 우선하며, 외부에서 접근 가능한 노출이 동점에서 우선합니다. 그렇지 않으면 모든 충돌이 새로운 협상이 됩니다.

수정 사항 할당, 추적 및 검증

개선 조치는 평가 점수, 접근 경로 및 우선 순위를 측정 가능한 위험 감소로 전환합니다. 이제 모든 발견 사항에는 책임 있는 소유권, 운영 작업 대기열 내 위치 및 접근 경로 변경 증거가 필요합니다.

1. 회의가 끝나기 전에 모든 발견 사항에 이름이 지정된 담당자와 날짜를 지정하세요

발견 사항에 이름이 지정되지 않으면 할당되지 않은 상태로 남습니다. NISTIR 8286r1은 위험 소유자를 해당 위험을 기업 요구 사항 내에서 관리할 책임이 있는 당사자로 정의하며, ISO/IEC 27001 조항 6.1.2에서는 이를 식별할 것을 요구합니다.

실제 작업은 다른 사람이 할 수 있지만 수정에 대한 책임은 소유자에게 있으므로 같은 회의에서 날짜를 정하세요.

공개된 서비스 수준 계약(SLA)에는 데이터 노출 결과를 구체적으로 목표로 하는 내용이 없으므로, 연방 위험 및 승인 관리 프로그램(FedRAMP)의 plan of action and milestones (POA&M) playbook과 같은 다른 곳의 계층화된 모델을 차용하십시오. 이는 심각도가 높은 결과에 대한 기한을 단축하고 발견 시점을 기준으로 시간을 계산합니다.

2. 팀이 이미 작업 추적에 사용하는 시스템에 수정 사항을 기록하세요

팀은 다른 운영 작업과 동일한 작업 대기열에 들어오는 결과에 대해 조치를 취할 가능성이 더 높습니다. 나중에 누군가가 위험 등록부를 다시 열도록 의존하지 말고 각 결과를 ServiceNow, Jira 또는 팀이 이미 사용하는 도구로 전달하세요.

대부분의 티켓 시스템은 설계상 동일한 규율을 적용합니다. 예를 들어 ServiceNow는 소유자와 기한을 입력한 후에만 SLA를 생성하여, 팀이 어떤 도구를 사용하든 위에서 언급한 소유권 단계를 강화합니다.

액세스 경로와 저장소도 티켓 본문에 기재하세요. "Finance 공유 권한 수정"만으로는 누구도 충분히 조치할 수 없습니다.

3. 평가 완료로 표시하기 전에 종료된 결과를 다시 확인하세요

해결된 것으로 표시된 티켓도 여전히 단순한 주장일 뿐이며, 감사자는 티켓 상태 이상의 증거를 기대합니다. 내부 감사인 협회(IIA)의 2024 Global Internal Audit Standards는 내부 감사자가 전문적 회의주의를 발휘할 것을 요구하며(표준 4.3), 구현 지침에서는 이를 "경영진이 한 진술을 지원하고 검증할 증거를 찾는 것"으로 설명합니다. 닫힌 티켓은 바로 그런 진술입니다.

무작위로 닫힌 다섯 건의 발견 사항을 선택하고 각 항목에 대해 실시간 권한을 다시 조회하세요. 액세스가 여전히 존재하면 티켓은 서류상으로만 닫힌 것입니다.

스팟 체크가 실패하면 티켓을 다시 열고 액세스가 어떻게 복구되었는지 확인하세요. 제거되지 않은 중첩 그룹, 끊어진 상속 체인, 또는 종료 후 재부여 때문일 수 있습니다. 그런 다음 소유자가 닫은 모든 발견 항목으로 샘플을 확대하세요.

Netwrix가 실행을 유도하는 데이터 위험 평가를 지원하는 방법

Netwrix는 검토 주기 사이에 평가 증거를 최신 상태로 유지하고 노출 데이터를 수정 조치와 연결합니다. 이 플랫폼은 위험 점수를 지속적으로 갱신하고, 환경 전반의 실제 권한을 해결하며, 팀이 이미 작업 중인 티켓으로 결과를 전달합니다.

수동으로 다시 실행하는 대신 위험을 지속적으로 평가하기

Netwrix DSPM는 데이터 노출, 권한 및 아이덴티티 행동을 연관시키는 지속적으로 갱신되는 평가를 통해 위험을 우선순위로 지정합니다. 이 갱신은 3주 된 데이터 추출로 만든 자료를 의사결정 당일 환경과 일치하는 그림으로 대체합니다.

Netwrix Auditor's 위험 평가 대시보드는 사용자 및 컴퓨터, 권한, 데이터, 인프라별로 위험을 그룹화하고, 조정 가능한 임계값에 따라 각 지표를 색상으로 구분하며, 각 지표를 해당 보고서와 연결합니다.

효과적인 노출에 따른 우선순위 지정

Netwrix Access Analyzer는 열린 접근, 과도하게 허용된 ACL, 손상된 권한 상속 및 만료된 권한을 식별하고, 중첩 그룹을 통해 효과적인 권한을 해결하며, 열린 trustee를 부여하는 모든 ACL을 고위험으로 표시합니다. 그런 다음 Netwrix DSPM은 분류 및 신원 상관관계를 추가하여 Domain Users와 같은 광범위한 접근이 단순히 Confidential 레이블 뒤에 숨겨지지 않도록 합니다.

발견 사항을 추적 가능한 수정으로 전환하기

Netwrix 1Secure™에는 Active Directory 및 Microsoft Entra ID에서 식별된 위험을 우선순위로 지정하는 위험 평가 대시보드가 포함되어 있으며, AI 지원 수정 기능이 팀이 문제를 해결하도록 안내합니다.

2026년 4월 릴리스에 추가된 Sensitive Data Posture 대시보드는 위험 감소를 주기별로 추적합니다. 1Secure는 또한 전체 이벤트 컨텍스트를 티켓 또는 이메일로 ServiceNow 및 ConnectWise Manage 통합을 통해 전송하여 팀이 이미 사용하는 대기열로 각 발견 사항을 바로 이동시킵니다.

First National Bank and Trust of Beloit는 해당 증거 기록의 가치를 보여줍니다. Netwrix Auditor를 사용하면 은행은 Office of the Comptroller of the Currency (OCC) 감사 준비를 1주일이 아닌 1시간 만에 할 수 있습니다.

조치로 이어지는 데이터 위험 평가를 실행하세요

운영 모델을 세 가지 기준에 따라 평가하십시오. 현재 노출 증거, 검증된 유효 권한, 운영 작업 대기열에 도달하는 발견 사항이 모두 갖추어져야 합니다. 마지막 평가에 대해 다섯 건의 종료된 발견 테스트를 적용하십시오.

인증된 사용자에게 계속 열려 있는 권한은 운영 모델이 후속 조치를 필요로 하는 정확한 위치를 보여줍니다.

Netwrix는 이러한 기준을 여러 계층에 걸쳐 충족합니다. Netwrix DSPM은 주기 사이에 노출 상태를 최신으로 유지하고, Netwrix Access Analyzer는 효과적인 권한 분석을 통해 열린 접근을 드러내며, Netwrix 1Secure는 결과를 ServiceNow 또는 ConnectWise Manage 티켓으로 전송하고 대시보드는 시간 경과에 따른 진행 상황을 추적합니다.

데모 요청하여 Netwrix가 평가 증거를 최신 상태로 유지하고, 효과적인 권한을 해결하며, 팀이 이미 사용하는 도구로 결과를 전달하는 방법을 확인하세요.