데이터 분류 정책 템플릿

데이터 분류 정책 예시

1. 데이터 분류 정책의 목적

데이터 분류를 수행해야 하는 이유와 기대할 수 있는 이점을 설명합니다.

이 정책의 목적은 데이터의 민감도, 가치, 그리고 조직에 대한 중요성에 따라 데이터를 분류하기 위한 프레임워크를 수립하여, 민감한 기업 및 고객 데이터를 적절하게 보호할 수 있도록 하는 것입니다.

2. 정책의 적용 범위

분류되어야 하는 데이터 유형을 정의하고, 적절한 데이터 분류, 보호 및 처리에 대한 책임이 누구에게 있는지 명시합니다.

이 정책은 종이 문서와 모든 유형의 매체에 저장된 디지털 데이터를 포함하여 모든 형태의 데이터에 적용됩니다. 또한 이 정책은 조직의 모든 직원뿐만 아니라 데이터에 접근하도록 권한을 부여받은 제3자 대리인에게도 적용됩니다.

3. 역할과 책임

데이터 분류 활동과 관련된 역할과 책임을 설명합니다. 각 부서는 각 역할에 해당하는 의무를 수행할 책임이 있는 개인을 지정해야 합니다.

데이터 소유자 책임

데이터 소유자: 자신의 부서 또는 사업부에서 수집하고 유지하는 데이터 및 정보에 대해 최종적으로 책임지는 사람으로, 보통 고위 경영진의 구성원입니다. 데이터 소유자는 다음 사항을 다루어야 합니다:

• 검토 및 분류: 해당 부서 또는 사업부에서 수집한 데이터와 정보를 검토하고 분류합니다
• 데이터 분류 라벨 할당: 데이터의 잠재적 영향 수준에 따라 데이터 분류 라벨을 할당합니다
• 데이터 편집/취합: 여러 소스에서 취합된 데이터는 각자 분류된 데이터 중 가장 보안 수준이 높은 분류 등급 이상으로 분류되도록 보장합니다
• 데이터 분류 조정: 부서 간에 공유되는 데이터가 일관되게 분류되고 보호되도록 합니다
• 데이터 분류 준수 (데이터 관리자와 함께): 고영향 및 중간 영향 수준의 정보가 연방 또는 주 규정과 지침에 따라 보안되도록 합니다
• 데이터 액세스 (데이터 관리자와 함께): 각 데이터 분류 라벨에 대한 데이터 액세스 지침을 개발합니다

데이터 관리자 책임

데이터 관리자: IT 부서의 기술자 또는 규모가 큰 조직에서는 정보보안 사무실의 담당자입니다. 데이터 관리자는 조직의 데이터를 저장하는 시스템, 데이터베이스, 서버를 유지 관리하고 백업하는 책임을 집니다. 또한 이 역할은 데이터 소유자가 수립한 모든 규칙의 기술적 적용을 담당하며, 시스템 내에 적용되는 규칙이 제대로 작동하는지 확인해야 합니다. 데이터 관리자에 포함되는 구체적인 책임은 다음과 같습니다:

• 액세스 제어: 데이터 소유자가 지정한 데이터 분류 라벨에 따라 적절한 액세스 제어가 구현되고, 모니터링되며, 감사(audit)되도록 하십시오.
• 감사 보고서: 분류된 데이터의 가용성, 무결성 및 기밀성을 다루는 연례 보고서를 데이터 소유자에게 제출하십시오.
• 데이터 백업: 상태 데이터의 정기 백업을 수행하십시오。
• 데이터 검증: 데이터 무결성을 주기적으로 검증하십시오.
• 데이터 복구: 백업 매체에서 데이터를 복원하십시오.
• 컴플라이언스: 정보 보안 및 데이터 보호와 관련된 조직의 보안 정책, 표준, 지침에 명시된 데이터 요구사항을 충족하세요
• 활동 모니터링: 누가 어떤 데이터를 액세스했는지에 대한 정보를 포함하여 데이터 활동을 모니터링하고 기록하세요
• 안전한 보관: 보관 중인 민감 데이터를 전송 중이 아니라 저장 상태에서 암호화하세요. 스토리지 영역 네트워크(SAN) 관리자 활동을 감사하고 액세스 로그를 정기적으로 검토하세요
• 데이터 분류 컴플라이언스 (데이터 소유자와 함께): 영향 수준이 높거나 중간인 정보가 연방 또는 주의 규정과 지침에 따라 보호되도록 보장하세요
• 데이터 액세스 (데이터 소유자와 함께): 각 데이터 분류 라벨에 대한 데이터 액세스 지침을 수립하세요

데이터 사용자 책임

데이터 사용자: 데이터 소유자가 승인한 업무를 수행하기 위해 데이터와 상호작용하거나, 데이터에 접근하고, 데이터를 사용하거나, 데이터를 업데이트하는 사람, 조직 또는 주체. 데이터 사용자는 의도된 목적에 부합하는 방식으로 데이터를 사용해야 하며, 이 정책과 데이터 사용에 적용되는 모든 정책을 준수해야 합니다.

4. 데이터 분류 절차

각 데이터 분류 절차 단계를 순서대로 설명하세요. 각 단계는 누가 수행하는지, 데이터의 민감도를 어떻게 평가하는지, 데이터가 이미 정해진 범주에 맞지 않을 때 어떻게 해야 하는지 등을 상세히 기술합니다.

상세 절차의 예시:

1. 데이터 소유자는 자신이 책임지는 각 데이터 항목을 검토하고, 전체 영향도 수준을 다음과 같이 결정합니다:

• 부록 A에 나열된 미리 정의된 제한 정보 유형 중 어느 하나와 일치하는 경우, 데이터 소유자는 해당 데이터의 전체 영향도 수준을 “High”로 지정합니다.
• 부록 A에 있는 미리 정의된 유형 중 어느 것에도 일치하지 않는 경우 데이터 소유자는 이 문서의 5장과 6장에서 제공하는 지침 및 NIST 800-600 Volume 2에 따라 정보 유형과 영향도 수준을 결정해야 하며, 세 가지 영향도 수준 중 가장 높은 값이 전체 영향도 수준입니다.
• 정보 유형과 전체 영향도 수준을 여전히 결정할 수 없는 경우, 데이터 소유자는 이 사안을 해결하기 위해 데이터 관리자와 협력해야 합니다.

2. 데이터 소유자는 전체 영향도 수준에 따라 각 데이터 항목에 분류 라벨을 할당합니다:

3. 데이터 소유자는 공식 데이터 분류 표에서 각 데이터 항목에 대한 분류 라벨과 전체 영향 수준을 데이터베이스 또는 종이로 기록합니다.

4. 데이터 관리자(데이터 보관자)는 공식 데이터 분류 표에 기록된 분류 라벨과 전체 영향 수준에 따라 각 데이터 항목을 보호하기 위해 적절한 보안 통제를 적용합니다.

기본 절차의 예:

1. 데이터 소유자는 자신이 보유한 각 데이터 항목을 검토하고, 아래에 있는 범주를 기준으로 정보 유형을 할당합니다. NIST 800-600 Volume 1.

2. 데이터 소유자는 이 문서의 6절에 있는 안내에 따라 보안 목표(기밀성, 무결성, 가용성) 각각에 대해 각 데이터 항목에 대한 잠재적 영향 수준을 할당합니다. 세 가지 중 가장 높은 값이 전체 영향 수준입니다.

3. 데이터 소유자는 전체 영향 수준에 따라 각 데이터에 분류 라벨을 할당합니다:

4. 데이터 소유자는 데이터 분류 테이블에 각 데이터의 영향 수준과 분류 라벨을 기록합니다.

5. 데이터 관리자는 분류 라벨과 전체 영향 수준에 따라 각 데이터에 정보보안 통제를 적용합니다.

5. 데이터 분류 가이드라인

기관이 저장하는 각 유형의 정보 자산을 설명하고, 세 가지 보안 목표 각각의 영향도를 자세히 기술하며, 각 유형의 자산에 할당할 영향 수준과 분류를 명시하는 표를 작성합니다.

이 표를 사용하여 조직에서 일반적으로 사용되는 여러 정보 자산에 대해 전반적인 영향 수준과 분류 라벨을 결정하십시오.

6. 영향 수준 산정

데이터 소유자가 각 데이터의 영향 수준을 결정할 수 있도록, 달성하려는 보안 목표와 각 목표를 달성하지 못할 경우 그것이 조직에 미치는 영향을 설명하는 표를 제공하십시오.

이 표를 사용하여, 5장에서 설명하는 정보 유형들에 해당하지 않는 데이터 자산의 기밀성, 무결성 또는 가용성이 상실될 경우 회사에 미칠 수 있는 잠재적 영향을 평가하십시오. 그리고 NIST 800-600 Volume 2.

7. 부록 A

“Restricted”(제한됨)으로 자동 분류하고 영향도 수준을 “High(높음)”로 지정해야 하는 정보 유형을 설명하세요. 이 목록이 있으면 데이터 소유자가 데이터 분류 프로세스를 더 쉽게 진행할 수 있습니다.

반드시 “Restricted(제한됨)”로 분류해야 하는 정보 유형”

인증 정보

인증 정보는 개인, 시스템 또는 서비스의 신원을 증명하는 데 사용되는 데이터입니다. 예시에는 다음이 포함됩니다:

• 비밀번호
• 공유 비밀
• 암호화 개인 키
• 해시 테이블

전자 보호 건강 정보 (ePHI)

ePHI는 전자 매체에 저장되거나 전자 매체를 통해 전송되는 모든 보호 건강 정보(PHI)를 의미합니다. 전자 매체에는 컴퓨터 하드 드라이브뿐만 아니라 자기 테이프나 디스크, 광학 디스크, 디지털 메모리 카드와 같은 이동식 또는 운반 가능한 매체도 포함됩니다.

전송(Transmission)이란 전자적 형태의 정보를 이동 또는 교환하는 것을 말합니다. 전송 매체에는 인터넷, 익스트라넷, 전용 회선(leased lines), 전화 접속(dial-up) 회선, 사설 네트워크(private networks) 및 이동식 또는 운반 가능한 전자 저장 매체의 물리적 이동이 포함됩니다.

결제 카드 정보(Payment card information, PCI)

결제 카드 정보(Payment card information)는 신용카드 번호에 더해 다음 데이터 요소 중 하나 이상을 결합한 것으로 정의됩니다:

• 카드 소지자 이름
• 서비스 코드
• 만료일
• CVC2, CVV2 또는 CID 값
• PIN 또는 PIN 블록
• 신용카드 마그네틱 스트라이프의 내용

개인 식별 정보(PII)

개인정보(PII)는 한 사람의 이름(성/이름) 또는 이름의 이니셜과 성을, 다음 데이터 요소 중 하나 이상과 결합한 것으로 정의됩니다.

• 사회보장번호
• 주(州)에서 발급한 운전면허 번호
• 주(州)에서 발급한 신분증 번호
• 해당 계정에 접근을 허용하는 보안 코드, 액세스 코드 또는 비밀번호와 결합된 금융 계좌 번호
• 의료 및/또는 건강 보험 정보

8. 개정 이력

데이터 분류 정책의 모든 변경 사항을 반드시 추적하세요.

이 템플릿은 정책의 프레임워크를 제공하지만, 데이터가 이동하고 증가하는 동안 라벨이 정확하게 유지되어야 분류가 효과를 발휘합니다. Netwrix Data Classification 4~6절에 설명된 검색 및 태깅 작업을 자동화하므로, 분류가 수동 검토에만 의존하지 않습니다.