The Netwrix 2026 Data and Identity Security Report는 조직의 69%가 민감한 데이터를 엔드포인트에서 외부 AI 도구, 개인 이메일 또는 USB로 즉시 완전히 차단하지 못한다는 사실을 발견했습니다. 이 사각지대는 콘텐츠 인식 정책 하나로 보안 전송 프로토콜이 도달하지 못하는 출구 경로를 모두 포괄할 수 있기 때문에 채널 간 적용을 통합하는 실용적인 사례가 됩니다.
IT 팀이 SSH File Transfer Protocol (SFTP) 서버 또는 승인된 공유 도구를 배포한 후에도 민감한 스프레드시트가 개인 클라우드 폴더, 개인 이메일 첨부 파일 또는 챗봇 프롬프트에 저장될 수 있습니다.Harvard Business Review 연구에 따르면 직원들은 승인된 방법이 느리거나 존재하는지 몰라서 종종 승인되지 않은 경로를 선택한다고 합니다.
이것은 두 가지 별개의 문제를 만듭니다. 프로토콜 보안은 승인된 채널이 전송 중인 데이터를 보호하는지 묻고, 전송 강제는 민감한 데이터가 해당 채널을 사용하는지 묻습니다. 대부분의 지침은 첫 번째 질문에서 멈춥니다. 이 두 가지 통제는 함께 사이버 복원력과 Data Security Posture Management를 강화하며 감사 및 조사에 신뢰할 수 있는 증거를 제공합니다.
보안 파일 전송이란 무엇인가요?
보안 파일 전송은 데이터를 시스템이나 사람 간에 전송할 때 전송 중 읽을 수 없도록 유지하고, 누가 보내고 받는지 확인하며, 전송 기록을 남기는 방식입니다. NIST SP 800-53 Rev. 5는 암호화, 인증 및 감사 로그를 별도의 요구 사항으로 다루므로 프로토콜 하나만으로는 모두를 충족할 수 없습니다. 이동 중인 데이터를 보호하려면 이 세 가지가 모두 필요하며 각각 고유한 방식으로 실패할 수 있습니다.
전송 중 암호화
전송 중인 데이터 암호화는 정보를 가로채는 누구에게도 읽을 수 없도록 유지합니다. National Cyber Security Center(NCSC)는 TLS 지침에서 잘 구성된 Transport Layer Security(TLS)가 제3자가 메시지를 도청하거나 변조하는 것을 막는다고 설명합니다. NCSC는 TLS 1.3 또는 1.2를 권장하며, 1.1 및 1.0 버전은 비활성화할 것을 권고합니다. 프로토콜 이름만큼이나 구성도 중요하며, 여전히 오래된 버전을 허용하는 서버는 해당 버전으로 되돌아갈 수 있습니다.
양쪽 끝의 인증
보안 전송은 데이터 이동 전에 양 당사자를 확인합니다. NIST는 상호 인증을 거래의 양측이 서로를 확인하는 과정으로 정의하지만, 일반 프로토콜은 두 번째 절반을 선택 사항으로 만듭니다. TLS 1.3에서는 서버가 항상 인증하며 클라이언트 인증은 선택 사항입니다 (RFC 8446). SFTP는 host keys for the server side를 사용하며 클라이언트는 별도로 인증합니다.
발생했음을 검증할 수 있는 기록
무엇이 언제 누구 사이에서 이동했는지 보여주는 로그는 조사관들이 나중에 필요로 하는 것입니다. 2023년 MOVEit Transfer 침해 사건은 암호화된 채널에서도 해당 기록이 왜 중요한지 보여줍니다. CISA의 권고문에 따르면 공격자들은 SQL 인젝션 취약점을 이용해 인증을 완전히 우회하고, 자신들의 관리자 계정을 생성하며, 파일을 유출하는 웹 셸을 배포했습니다.
TLS 암호화는 사건 내내 채널을 보호했습니다. 애플리케이션 계층의 결함이 인증을 무력화했기 때문에 암호화, 인증 및 로깅은 각각 독립적인 검증이 필요하며 한 가지 제어가 나머지 두 가지를 대신할 수 없습니다.
안전한 파일 전송을 위한 프로토콜은 무엇인가요?
일반 파일 전송 프로토콜(FTP)과 암호화되지 않은 하이퍼텍스트 전송 프로토콜(HTTP)은 아래 프로토콜들이 개선하는 기본입니다. FTP는 PASS 명령어(RFC 2577)를 통해 비밀번호를 평문으로 전송합니다. 사이버보안 및 인프라 보안국(CISA)은 Binding Operational Directive 18-01에서 공격자가 평문 HTTP 연결을 쉽게 감시, 수정 및 가장할 수 있다고 경고합니다.Binding Operational Directive 18-01 that attackers can easily monitor, modify, and impersonate plain HTTP connections.
SFTP (SSH 파일 전송 프로토콜)
SFTP는 서버 간 및 파트너 간 전송에 적합한 기본 설정입니다. 파일 전송을 SSH 세션 내에서 실행하므로 SSH 전송에서 암호화, 서버 인증 및 무결성 보호를 상속합니다 (RFC 4253). 호스트 키 서명이 서버를 인증하며, 사용자는 공개 키, 비밀번호 또는 호스트 기반 방법으로 인증합니다.
모든 데이터가 포트 22의 단일 다중화 터널을 통해 전송되므로 SFTP는 FTPS보다 방화벽 개방이 적습니다. 보안을 강화하려면 StrictHostKeyChecking을 yes로 설정하세요 하면 클라이언트가 키가 변경된 호스트를 거부합니다.
Netwrix Endpoint Protector는 엔드포인트와 브라우저 세션 전반에 걸쳐 AI 도구로의 민감한 데이터 업로드를 차단하여, 승인된 SFTP 서버가 볼 수 없는 부분까지 보호합니다. 데모를 요청하세요.
FTPS (TLS/SSL을 통한 FTP)
FTPS는 FTP를 TLS로 감쌉니다. RFC 4217에 따르면 클라이언트가 제어 연결(포트 21)에서 AUTH TLS를 보내고 서버가 X.509 인증서를 통해 클라이언트를 신뢰할 때까지 세션은 보호되지 않습니다. 포트 990의 암시적 모드는 더 이상 사용되지 않습니다.
운영 비용은 별도의 데이터 채널 때문입니다. 수동 모드는 열린 포트 범위가 필요합니다 그리고 상태 기반 방화벽 검사는 암호화된 FTP 명령을 읽을 수 없습니다. 이러한 방화벽 복잡성 때문에 팀들은 새 구축 시 일반적으로 SFTP를 선택하지만, 기존 FTP 엔드포인트와 파트너 스크립트를 다시 작성하는 대신 업그레이드해야 할 때는 FTPS가 여전히 사용됩니다.
HTTPS 기반 전송
HTTPS, 즉 TLS 위의 HTTP는 브라우저 업로드, 다운로드 포털, 앱 간 API 전송의 기본 프로토콜이며 모두 포트 443에서 실행됩니다. 서버가 인증되고 전체 교환이 암호화되며 클라이언트는 신뢰하기 전에 호스트 이름을 인증서와 대조합니다 (RFC 9110, RFC 2818).
기본적으로 HTTPS는 서버만 인증합니다. 업로더의 신원은 별도로 구성하고 로그인하는 별도의 로그인 또는 토큰에서 옵니다. 포털 또는 API 업로드의 경우 발신자가 해당 로그인, 토큰 또는 시간 제한 링크를 제어하므로 TLS 설정만큼 신중하게 구성하세요.
AS2 (Applicability Statement 2)
AS2는 양측 모두 증명이 필요한 비즈니스 간 거래를 위해 만들어졌습니다. X12 및 Electronic Data Interchange for Administration, Commerce and Transport (EDIFACT)와 같은 electronic data interchange(EDI) 형식을 HTTP 위의 Multipurpose Internet Mail Extensions(MIME)로 패키징합니다 (RFC 4130).
AS2는 암호화 및 서명을 위해 Secure/Multipurpose Internet Mail Extensions(S/MIME)를 사용하며, 서명된 메시지 처리 통지(MDN)를 영수증으로 반환합니다. 파트너의 공개 키가 서명된 MDN을 검증하고, 일치하는 해시가 HTTP를 통한 출처 및 수신에 대한 부인 방지를 제공합니다. 이 메커니즘은 구조화된 B2B 교환에 적합하며, 조직 내 일반 파일 공유에는 거의 필요하지 않습니다.
보안 채널이 건너뛰어질 때 민감한 데이터가 유출되는 곳
위의 모든 프로토콜은 하나의 채널을 보호하지만, 사람들은 종종 다른 채널을 통해 민감한 데이터를 이동합니다. 이러한 이동의 대부분은 의도적인 유출보다는 일반 직원들이 더 빠른 경로를 택하는 데서 비롯되며, 이는 대부분의 insider threat 사고의 패턴입니다.
2026 Verizon 데이터 유출 조사 보고서는 shadow AI를 DLP 데이터 세트에서 세 번째로 흔한 비악의적 내부자 행동으로 분류하며, 전년 대비 네 배 증가했습니다. 이 패턴은 승인된 경로가 더 느리거나 단순히 익숙하지 않을 수 있기 때문에 앞서 설명한 운영 마찰과 일치합니다.
개인 클라우드 저장소 계정
개인 Dropbox 또는 Google Drive 계정은 승인된 전송 방법만 모니터링하도록 구축된 시스템에는 보이지 않습니다. 해당 출구 경로를 제어하려면 단순히 익숙하지 않은 도메인을 표시하는 것이 아니라 승인된 조직 계정과 개인 계정을 구별할 수 있는 무언가가 필요합니다.
개인 이메일 주소
개인 사서함으로 전송된 첨부파일은 승인된 시스템을 완전히 우회하므로 해당 시스템만을 대상으로 하는 정책은 이를 감지하지 못합니다. NCSC는 TLS 협상이 실패하면 메시지가 일반 텍스트로 전송될 수 있다고 경고하므로 이메일도 조용히 실패할 수 있습니다.
USB 드라이브 또는 기타 이동식 미디어
이동식 미디어는 USB 복사가 아웃바운드 트래픽을 생성하지 않기 때문에 네트워크 채널만 감시하는 프로그램을 우회합니다. Endpoint 감사 및 device control은(는) 이동식 저장소를 직접 커버해야 합니다.
AI 도구의 입력 상자
파일 내용을 챗봇에 붙여넣는 것도 파일 전송이며, 이전 전송 지침은 이를 고려하지 않는 경우가 많습니다.2026 Verizon DBIR에 따르면 67%의 사용자가 기업용 기기에서 비기업 계정으로 AI 서비스를 이용합니다. 이 패턴은 별도의 AI 전송 프로그램을 구축하는 것보다 기존 콘텐츠 인식 정책을 확장하는 것이 더 실용적임을 보여줍니다.
이미 사용 중인 승인되지 않은 및 레거시 채널을 찾는 방법
효과적인 시행은 정책이 사용 중이라고 가정하는 채널이 아니라 이미 데이터를 전송하는 채널의 목록 작성에서 시작됩니다. 지속적인 발견은 제한된 노력을 현재 사람들이 사용하는 것에 집중시킵니다.
레거시 FTP에 대해 방화벽 규칙 및 네트워크 트래픽을 스캔합니다
방화벽부터 시작하세요. SANS Internet Storm Center에서는 방화벽 로그를 grep /21 | grep -i permit 명령어로 검색하여 FTP 제어 포트에서 여전히 허용되는 항목을 찾아보라고 제안합니다. 도메인 이름 시스템(DNS) 로그나 Sysmon Event ID 22는 오래된 파일 서버의 호스트 이름에 대한 쿼리를 드러낼 수 있습니다. FTP를 호출하는 예약 작업의 경우, Get-ScheduledTask 및 Export-ScheduledTask 명령어로 각 작업의 정의를 덤프하고, Windows 보안 이벤트 4698은 새 예약 작업이 생성될 때마다 전체 XML과 함께 발생합니다.
프록시, 방화벽 또는 CASB에서 이그레스 로그를 읽으십시오
웹 프록시 또는 방화벽 로그를 추출하여 dropbox.com 및 개인 웹메일 제공업체와 같은 대상 도메인을 확인하세요. MITRE의 T1567.002 분석과 대조하여 dropbox.com, drive.google.com 및 box.com에 게시하는 비정상적인 프로세스를 표시합니다.
동일한 로그를 cloud access security broker (CASB)에 제공하여 업로드된 바이트, 사용자 이름 및 대상 URL이 포함된 경우 섀도우 SaaS 인벤토리를 구축합니다. 이동식 미디어의 경우 Windows Security Event 6416을 활성화하여 새로운 외부 장치를 감지하고 Audit Removable Storage를 켜서 Event 4663은 읽기 및 쓰기를 기록합니다.
독립 실행형 프로젝트가 아닌 이미 실행 중인 도구에 검사를 통합하세요
이 검사를 SIEM에 통합하여 새 도구와 계정이 연례 감사까지 기다리지 않도록 하십시오. 최초로 감지된 대상 도메인 또는 이동식 미디어 이벤트에 대해 규칙이 발동하면 변경 사항이 발생한 당일에 표시됩니다.SigmaHQ는 MEGA 및 기타 파일 공유 사이트에 대한 DNS 쿼리 규칙을 게시하며, 최초 감지된 이동식 장치 규칙은 기술 T1052.001에 직접 매핑될 수 있습니다.
전송 시점에서 정책 시행
Discovery는 오늘날 어떤 채널이 데이터를 전달하는지 보여줍니다. 파일 전송을 위한 콘텐츠 인식 DLP를 통해 누군가 민감한 파일을 이동하려 할 때 어떻게 할지 결정할 수 있습니다.
전송 완료 전에 콘텐츠 스캔
채널 기반 제어는 데이터가 어디로 가는지 확인하고, 콘텐츠 인식 제어는 데이터가 무엇인지 확인합니다.NIST SP 800-53 AC-4는 헤더 정보와 메시지 콘텐츠 모두에 대한 필터링을 다루며, 필터가 실패할 경우 시스템이 데이터를 차단, 제거, 수정 또는 격리할 수 있도록 합니다. 엔드포인트에서 파일과 클립보드 콘텐츠 모두에 대해 검사를 실행하세요. 저장된 파일만 검사하는 엔드포인트 DLP 도구는 사용자가 붙여넣었지만 디스크에 저장하지 않은 텍스트를 놓칩니다.
정상적인 전송은 유지하면서 위험한 목적지를 차단합니다
모든 낯선 것을 차단하면 우회가 발생하므로, 대신 개인 계정으로 향하는 규제 데이터와 같은 특정 위험 패턴을 대상으로 하십시오. 2025년 MIND and the Enterprise Strategy Group (ESG)의 설문조사에 따르면 검사된 DLP 경고의 47%가 오탐인 것으로 나타났습니다.
계정 컨텍스트를 중심으로 대상 규칙을 구축하세요. 하나의 ChatGPT URL이 소비자 및 기업 계정 모두에 서비스를 제공하기 때문입니다. 단계별 조치도 도움이 되는데, 정당화 재정의가 포함된 차단은 비즈니스 이유를 기록하고 전송을 모니터링 경로에 유지합니다.
정책은 그 결정을 직접 표현할 수 있습니다:
IF content = regulated data AND account = personal
THEN block OR require justification override
NIST의 기본 거부 및 예외 허용 원칙(SC-7(5))은 예외 목록이 실제 작업 방식을 반영할 때 효과적입니다.
동일한 정책을 AI 도구에 확장하기
고객 목록이 개인 Google Drive에 도달하지 못하도록 하는 규칙은 Gemini의 프롬프트 상자에 도달하지 못하도록 해야 합니다. 파일 업로드 및 첨부 파일에만 적용된 정책은 챗봇의 프롬프트 필드에 붙여넣은 텍스트를 놓치는데, 이 텍스트는 대부분의 DLP 구성에서 다루지 않는 채널을 통해 동일한 민감한 내용을 전달합니다. 입력한 텍스트와 첨부 파일을 모두 포함하고, 챗봇의 입력 상자를 동일한 정책 내의 또 다른 출구 지점으로 취급하세요.
감사자가 기대하는 안전한 파일 전송 제어 매핑
감사자는 일반적으로 로그와 같은 증거가 필요하며, 통제 조치가 범위 내 전송에 대해 실행되었음을 보여야 하고, 단순 가용성만으로는 불완전한 증거가 됩니다. 채널 전반에 걸쳐 일관된 콘텐츠 인식 정책은 각 종료 경로별 별도의 수집 프로세스 대신 팀에 단일 증거 모델을 제공합니다.
에 따르면 Netwrix 2025 Cybersecurity Trends Report 조직의 43%가 보안 부족 문제를 해결하기 위해 계획에 없던 비용을 지출했으며, 재사용 가능한 통제 증거가 팀이 감사 시 놀라움과 사후 수정 비용을 피하는 데 도움이 될 수 있습니다.
PCI DSS: 전송 중 카드 소지자 데이터 암호화
PCI DSS v4.x 요구사항 4.2.1는 공개된 공용 네트워크에서 기본 계좌 번호(PAN)에 대해 강력한 암호화를 요구합니다. 이는 신뢰할 수 있고 유효한 인증서, 대체 경로 없는 안전한 프로토콜 버전, 최소 112비트의 유효 키 강도를 의미합니다.
평가자는 시스템 구성, 4.2.1.1에서 요구하는 키 및 인증서 목록, 그리고 카드 소지자 데이터 전송을 발생 시점에 검사합니다. 요구 사항 10는 카드 소지자 데이터에 대한 모든 접근을 기록하며, 개인 이메일 및 USB에 대한 차단 전송 로그는 PAN이 다른 채널에서 차단되었음을 보여주는 증거를 보완할 수 있습니다.
HIPAA: Security Rule의 전송 보안 표준
전자 보호 건강 정보(ePHI)의 경우, 45 CFR 164.312(e)(1)은 전자 네트워크를 통해 전송되는 ePHI에 대한 무단 접근을 방지하도록 규제 대상 기관에 요구합니다. (e)(2)(ii) 조항에 따른 암호화는 선택적 조치로, 위험 평가에서 합리적이고 적절하다고 판단되거나 동등한 조치를 문서화한 경우 채택됩니다.
민권국은 전송 정책, 암호화 표준, 키 관리 및 부족 사유를 검토합니다. 개인 클라우드 및 웹메일에서 차단된 ePHI 로그는 해당 위험 결정을 지원할 수 있습니다.
제안된 Security Rule 업데이트는 제한된 예외와 함께 저장 및 전송 중인 ePHI 암호화를 요구합니다. HHS는 최종 조치를 2027년 7월 계획 추정으로 나열합니다.
GDPR: 제32조의 적절한 기술적 조치
제32조(1항) GDPR은 위험에 적합한 조치를 요구하며, 그 효과를 정기적으로 테스트해야 합니다. 영국 정보위원회(ICO)는 올바르게 구성된 TLS 1.2 또는 1.3을 허용하며 SSL은 완전히 거부하고, 암호화 정책, 키 관리 문서 및 테스트 결과를 기대하여 관리자가 준수 조치를 입증할 수 있도록 합니다.
ICO의 2026년 Police Scotland에 대한 처벌은 전송 중 미디어 암호화를 요구하는 해당 부대의 자체 절차를 인용했습니다. 이동식 미디어 암호화 기록은 실제로 그 절차를 보여줍니다.
CMMC: CUI 전송 기밀성
NIST SP 800-171 Rev. 2 제어 3.13.8은 전송 중에 Controlled Unclassified Information(CUI)의 무단 공개를 방지하는 암호화 메커니즘을 요구합니다. 제어 3.13.11은 Federal Information Processing Standards(FIPS) 검증 암호화를 요구합니다. SP 800-171A는 평가자가 보안 계획 및 구성을 검토하고, 감사 로그를 확인하며, 관리자와 인터뷰하고, 메커니즘을 직접 테스트하도록 요구합니다.
The Cybersecurity Maturity Model Certification (CMMC) 2단계 평가 가이드는 승인된 알고리즘만 사용하는 것은 충분하지 않다고 명확히 합니다. 정책 및 집행 메커니즘으로 뒷받침되는 CUI 암호화를 기대하며, 비준수 트래픽을 차단하는 프록시를 언급합니다. 하나의 목표라도 충족되지 않으면 전체 요구 사항이 실패합니다. 엔드포인트에서는 차단된 전송 로그와 USB 암호화 기록이 동일한 유형의 집행을 보여줍니다.
Netwrix가 실제로 안전한 파일 전송을 지원하는 방법
Netwrix Endpoint Protector는 민감한 데이터 업로드를 차단하고 이동식 미디어를 제어하며 Windows, macOS, Linux 엔드포인트 전반에 콘텐츠 인식 정책을 적용하는 엔드포인트 DLP 제품입니다. 승인된 전송 채널이 닿지 않는 출구 경로를 커버합니다.
전송 완료 전에 민감한 콘텐츠를 스캔합니다
Netwrix Endpoint Protector의 Content Aware Protection 모듈은 브라우저, 이메일 클라이언트, 웹메일, 클라우드 동기화 클라이언트 및 클립보드를 포함한 출구 지점에서 데이터를 검사합니다. 클립보드 제어는 복사 시 기밀 콘텐츠를 삭제하여 붙여넣기를 방지합니다. 로그는 Excel, PDF 또는 CSV로 내보내며 syslog를 통해 SIEM으로 전달됩니다.
이동식 미디어에 대한 암호화 자동 적용
Netwrix Endpoint Protector의 Enforced Encryption 모듈은 원격 삭제 및 비밀번호 재설정 기능이 포함된 FIPS 140-3 검증 USB 암호화를 적용합니다. 정책에서 Trusted Device Level 1 이상에서 USB 장치를 허용하면 배포가 자동으로 이루어집니다. Device Control은 USB 저장 장치와 45개 이상의 주변기기 클래스를 오프라인 상태에서도 지원합니다. Enforced Encryption은 Windows와 macOS에서만 실행되며, Device Control 정책은 Linux 엔드포인트를 보호합니다.
NHS South East Coast Ambulance Service는 4,000명 이상의 직원이 사용하는 장치를 포함하는 Data Security and Protection Toolkit(DSPT) 요구 사항을 충족하기 위해 Netwrix Endpoint Protector를 배포했습니다. 신뢰의 IT 보안 관리자 Stewart Edwards에 따르면, 이 배포는 팀에 USB 포트와 장치에 대한 완전한 제어 권한을 제공했으며, 준수 프레임워크에서 요구하는 암호화를 시행했습니다.
AI 도구로의 민감한 업로드 차단
Netwrix Endpoint Protector는 동일한 콘텐츠 인식 정책을 AI 도구에 확장합니다로, ChatGPT, Microsoft Copilot, Google Gemini, Claude, DeepSeek, X AI Grok 및 기타 나열된 도구를 포함합니다. 사용자가 민감한 콘텐츠를 입력하거나 파일로 첨부하는 경우 모두 적용되며, 관리자는 해당 콘텐츠가 승인되지 않은 공급자에게 도달하기 전에 모니터링하거나 차단할 수 있습니다.
정책과 실행 간의 간극을 좁히기
안전한 파일 전송 결정은 채널 보호, 우회 경로 가시성, 엔드포인트 적용 및 일관된 감사 증거를 고려해야 합니다. 보안 팀은 개인 클라우드 및 웹메일 도메인에 대한 한 달 분량의 프록시 로그를 수집하고, 엔드포인트 샘플에서 이동식 저장소를 감사하며, 사용자가 해결하는 AI 도메인을 확인하여 기준선을 설정할 수 있습니다.
이 결과는 집행을 우선시할 위치와 전송 시점에 동일한 콘텐츠 인식 정책을 적용할 위치를 보여줍니다.
데모 요청하여 Netwrix가 민감한 데이터 전송 경로 전반에 걸쳐 가시성과 Endpoint Management를 확장하여 조직의 데이터 보안 태세를 강화하는 방법을 확인하세요.
안전한 파일 전송에 관한 자주 묻는 질문
공유하기
더 알아보기
저자 소개
