변화는 오늘날 정보 및 거버넌스, 리스크 관리, 규정 준수(GRC) 분야 리더들에게 새로운 현실이 되었습니다. 급속히 변화하는 규정 준수 요건, 점점 더 커지는 과태료, 그리고 더욱 엄격해진 집행이 이 분야의 핵심입니다.
이 새로운 환경은 현대 조직의 디지털 전환에 대응하기 위한 조치의 일환으로 개발되고 있습니다. 그러나 기술 시스템이 점점 더 복잡해짐에 따라 규정 준수는 점점 더 어려워지고 있다.
예를 들어, 퍼스트 아메리칸(First American)은 개인 식별 정보(PII)가 포함된 수억 건의 고객 문서를 15 년 넘게 노출시킨 혐의로 뉴욕주 규제 당국으로부터 (새 탭에서 열림) 제재를 받았습니다. 이번 중대한 개인정보 유출 사고는 해당 웹사이트의 기본적인 설계 오류로 인해 발생했습니다.
이번 사건은 조직들이 어떤 민감한 데이터를 보유하고 있는지, 그 데이터가 어디에 있는지, 그리고 어떻게 보호되고 있는지를 파악해야 한다는 압박이 점점 더 커지고 있음을 보여준다. 하지만 이것은 퍼즐의 한 조각에 불과합니다.
데이터 위험 및 개인정보 보호 전략을 개선하는 방법
의 데이터 위험 및 개인정보 보호 전략을 개선하여 비즈니스 위험을 최소화하고 규정 준수 노력을 최적화할 수 있는 7가지 방법을 살펴보겠습니다. (새 탭에서 열림)
1. 어디서나 선명한 시야
현대 기업에서는 데이터가 어디에나 존재합니다. 엔드포인트 환경이 이종 환경이라는 점을 고려할 때, 이는 가시성 문제를 야기합니다. 이는 기존 및 현재의 리눅스, 맥, 윈도우 기반 자산은 물론, 다양한 종류의 가상 머신, 컨테이너 및 클라우드 인프라 전반에 걸쳐 확산될 수 있습니다. 해당 엔드포인트에 어떤 데이터가 존재하는지 파악하는 것은 매우 중요합니다. 규제 당국이 귀사가 이러한 정보를 파악하지 못하고 있다고 판단할 경우, 사고 발생 시 더 큰 벌금을 물게 될 수 있습니다.
따라서 정확하고 최신 상태의 자산 목록을 작성한 다음, 해당 엔드포인트와 데이터를 보호하기 위해 필요한 통제 수단을 파악해야 합니다. 이 인벤토리를 빠르고, 쉽고, 비용 효율적으로 검색할 수 있는 능력은 규정 미준수 데이터와 민감한 지적 재산권(IP)을 찾아내는 데 필수적입니다. 이는 위험을 보다 효과적으로 관리하는 데 도움이 될 뿐만 아니라, 퇴사 처리 프로젝트 과정에서 발생하는 ‘데이터 파기 증명서’와 관련된 제3자 비용을 절감할 수도 있습니다.
2. 저장 중인 모든 데이터를 암호화하십시오
위와 같이 정확한 현황을 파악했다면, 이제 데이터와 엔드포인트에 적용할 수 있는 통제 수단에 대해 보다 포괄적으로 고려해 볼 때입니다. 데이터 유출 방지(DLP) 도구 (새 탭에서 열림) 는 특정 상황에서는 유용합니다. 하지만 도둑들이 훔친 노트북이나 기기의 전원을 끊거나 하드 드라이브를 제거해 버리면 어쩔 도리가 없습니다. 그렇기 때문에 모든 기기의 하드 드라이브에 강력한 암호화를 적용하는 것이 데이터 위험을 완화하기 위한 기본적인 통제 수단입니다. 오늘날 많은 운영 체제에는 해당 기능이 기본으로 탑재되어 있으므로, 별도의 유료 도구를 구매할 필요가 없습니다. 하지만 이를 대규모로 관리해야 합니다.
3. 데이터 최소화는 정책 수립에서 시작됩니다
데이터 최소화는 EU의 GDPR (새 탭에서 열림) 의 핵심 원칙 중 하나이며, 전 세계 규제 당국에서 모범 사례로 점점 더 널리 인정받고 있습니다. 이는 조직이 당면한 목적에 적합하고 관련성이 있는 데이터만을 수집하고 처리해야 하며, 그 이상은 수집해서는 안 된다는 원칙에 기반을 두고 있습니다. 간단히 말해서, 필요하지 않다면 삭제하세요. 암호화나 DLP와 같은 보다 기술적인 조치와 더불어, 이는 민감한 데이터가 도난당하거나 오용될 가능성을 최소화하므로 그 자체로 매우 효과적인 통제 수단으로 볼 수 있습니다.
불필요한 데이터를 찾아내어 삭제하는 데 있어 기술은 중요한 역할을 하지만, 업무는 항상 관리 정책 수립부터 시작해야 합니다. 이는 데이터 최소화뿐만 아니라, 비밀번호 관리부터 고객으로부터의 사전 동의 획득에 이르기까지 모든 사항에 해당됩니다. 다음으로, 해당 정책을 직원들에게 효과적으로 전달할 방법을 찾아보세요. 비록 궁극적으로 사고를 예방하지는 못하더라도, 이와 같은 간단한 조치만으로도 큰 효과를 거둘 수 있습니다. 규제 당국이 통제 조치가 효과적으로 이행되지 않았다고 판단하더라도, 귀사가 관련 정책을 검토하고 직원들에게 전달했다는 사실만으로도 처벌 조치의 수위를 제한할 수 있습니다.
4. 개인정보 영향 평가를 실시한다
개인정보 위험 평가 또는 데이터 보호 영향 평가 역시 GDPR과 CCPA의 핵심 원칙입니다. 기존 애플리케이션 및 엔드포인트와 관련된 데이터 흐름을 이해하는 것이 매우 중요하지만, 새로운 애플리케이션이나 프로젝트에서도 동일한 위험 요소를 선제적으로 해결하는 것 또한 중요합니다. 어떤 데이터가 수집될지, 그리고 그 데이터가 어디로 전달될지 기록하는 데 시간을 할애하십시오. 그런 다음 해당 데이터를 관리하기 위한 행정 정책을 수립하십시오. 데이터 최소화라는 관점을 적용하여 특정 데이터를 수집할 필요가 있는지, 아니면 이를 수집함으로써 불필요한 추가 위험이 발생하거나 기업이 막대한 규정 준수 벌금을 물게 될 가능성이 있는지 확인하십시오.
5. 지리적 위험 이해하기
120 개 이상의 전 세계 법률 (새 탭에서 열림) 이 데이터 보호 및 개인정보 보호를 규정하고 있으며, 그 수는 계속해서 늘어나고 있습니다. 미국에서만 해도 일부 주에서는 자체 법안을 시행하기 시작했다. 이로 인해 GRC 담당자들에게는 상당한 복잡성이 발생합니다. 하지만 대부분의 사람들이 동의하는 한 가지는 데이터는 로컬에 저장되어야 한다는 점이다. 사실, GDPR은 “제3국”으로의 국제적 데이터 이전을 규제하는 엄격한 규칙을 두고 있습니다.
따라서 정보 파악 과정의 일환으로, 조직 내에서 데이터가 지리적으로 어디에 저장되어 있는지, 그리고 현지 규정을 준수하기 위해 어디에 데이터를 배치해야 하는지를 파악해야 합니다. 기술적 및 관리적 통제 수단은 적절하게 설계되어야 한다. 안타깝게도 일부 데이터 위험 및 개인정보 보호 도구는 데이터를 복사하여 다른 관할 구역에 위치할 수도 있는 중앙 집중식 서버로 다시 전송함으로써 문제를 더욱 악화시킬 수 있습니다. 여기서는 ‘최소화’와 ‘국소화’가 핵심 원칙이 되어야 합니다.
6. 클라우드 제공업체에 대한 실사
오늘날의 IT 리더들에게는 클라우드 시장에서 선택의 폭이 너무나도 넓어 혼란스러울 정도입니다. 하지만 숨겨진 위험도 몇 가지 있습니다. 규모가 작은 업체들은 가격 면에서 매력적인 상품을 제공할 수는 있겠지만, 데이터 관리 및 개인정보 보호 프로세스의 성숙도가 귀사의 요구 사항을 충족하지 못할 수도 있습니다. 타사 도구를 도입하면 클라우드 환경에서 데이터를 추출하는 데 일반적으로 많은 비용이 들기 때문에 막대한 비용이 발생할 수 있습니다. 또한, 해당 공급업체가 관련 지역에 데이터 센터를 보유하고 있는지 확인하여 현지화 관련 의무를 이행할 수 있도록 하십시오.
7. 팀을 구성하세요
마지막으로, 데이터 위험과 개인정보 보호는 본질적으로 기술적인 과제가 아니라, 기술이 해결에 기여할 수 있는 비즈니스 및 규제상의 문제라는 점을 명심하십시오. 그렇기 때문에 전략을 수립할 때 기술 분야뿐만 아니라 법무, 규정 준수 및 비즈니스 분야의 리더들도 반드시 참여시켜야 합니다. 이는 해당 이해관계자 중 어느 한 쪽이 혼자서 해결할 수 있는 문제가 아닙니다. 조직이 준수해야 할 전 세계의 다양한 법률을 파악하고, 적절한 관리 정책을 수립한 뒤 관련 기술적 통제 수단을 적용하기 위해서는 대규모 팀이 필요할 수 있습니다.
또한, 일부 이사회가 이를 인력 감축의 대상이 될 만한 비용 센터로 보는 견해에 맞서야 한다는 점도 중요합니다. 사실, 조직의 데이터 위험 및 개인정보 보호 전략을 뒷받침하기 위해 선발한 인재들은 잠재적으로 막대한 규제 벌금과 평판 손상을 방지함으로써 그 투자 비용을 몇 배로 상쇄해 줄 것입니다. 그들에게 투자하는 것은 미래에 대한 투자입니다.
Tanium 데이터 위험 및 개인정보 보호 솔루션에 대한 자세한 내용은 당사 블로그 게시물 ‘ : Tanium이 데이터 위험 및 개인정보 보호를 개선하는 10 가지 방법’ (새 탭에서 열림)을 참조하십시오.
실제 작동 모습을 확인해 보실 준비가 되셨다면, 데모에 등록해 보세요. (새 탭에서 열림) 지금 바로 신청하세요.
