엔터프라이즈 데이터 보호와 적절한 보안 프로토콜은 현대화된 모든 비즈니스 환경에서 필수 요소입니다. 그저 데이터 보호를 무시해 버릴 수 없는 상황이며, 미국 전 지역의 회사들이 지속적으로 선진의 턴키 솔루션으로 전환하는 이유가 바로 여기에 있습니다.
설문 조사에 따르면, 기업은 데이터 보호를 타협할 수 없는 우선 순위로 거론하곤 하지만, 실상은 그렇지 않은 경우가 많습니다. 데이터 보호는 엔터프라이즈 조직에서 데이터 보안을 담당하는 IT 전문가들이 고전하면서도 부차적으로 간주하는 사안이기도 합니다.
기업이 성장을 거듭함에 따라, 보호가 필요한 대규모 데이터 풀을 만들어 저장하고 관리하게 됩니다. 보안은 기업의 IT 구조에서 점차 중요시되므로 처음부터 통합하는 것이 좋습니다.
데이터 유출은 비용과 시간이 많이 드는 번거로운 일입니다. 기업의 평판을 손상시킬 수 있으며, 규모에 관계없이 모든 기업이 해킹에서 자유로울 수 없습니다. 또한 데이터가 커질수록 랜섬웨어 공격, 악성 코드, 기타 취약점 때문에 보안 시스템이 직면하게 될 과제도 많아집니다.
엔터프라이즈급 보안은 전혀 다른 문제이므로, 사태가 심각해진 후에 뒤늦게 데이터 보호와 보안에 관해 우려해서는 안 됩니다.
엔터프라이즈 데이터 보호는 일반적으로 부서나 지리적 영역 전반에 걸쳐 기업의 모든 사용자가 공유하는 데이터를 가리킵니다. 또한 기업의 리소스, 프로세스, 표준에 따라 분류되는 내외부적 범주로 세분화될 수 있는 주요 자산 요소입니다. 데이터 손실이 실재하고 심각한 재정적 손실을 가져올 수 있으므로 기업은 효과적이면서 세심한 데이터 모델링, 솔루션, 스토리지, 보안 등에 리소스와 시간을 사용하게 됩니다.
중견 기업에서 무엇을 엔터프라이즈 데이터로 정의할 것인지에 대한 명확한 지표는 없습니다. 하지만 기업에 여러 운영 단위가 서로 다른 지역에 자리잡게 되는 경우 IT 부서가 하나의 위치에 하나만 존재하는 시절과 비교하면 확실히 요구 사항이 복잡해질 것입니다.
엔터프라이즈 데이터의 특성은 아래와 같습니다.
엔터프라이즈 데이터 보호는 기업 내의 모든 데이터 저장소와 오브젝트 전반에서 보안을 제공, 관리, 모니터링하는 프로세스를 가리킵니다. 이는 광의의 용어로, 데이터가 기업 내에서 저장 또는 사용되는지 여부에 관계없이 데이터의 보안을 확보하기 위한 툴, 정책, 기술, 프레임워크 등이 다수 포함됩니다.
엔터프라이즈 데이터 보호는 주로 기업의 데이터 보안 실행 및 표준을 구현하고 관리합니다. 데이터의 활용도와 중요도에 따라 그 표준 및 절차가 달라질 수 있습니다. 예를 들어 다중(Multi-factor) 인증, 제한된 액세스, 암호화 프로시저 등을 사용하여 기밀 데이터의 보안을 확보할 수 있습니다.
데이터 보호는 일반적으로 데이터 손실에 대비하여 기업을 보호하는 작업과 함께 데이터를 활용하는 모든 디바이스를 보호하는 것입니다. 데이터 보호는 전체 프로세스를 관리, 감독하는 데이터 보안 정책 및 표준과 함께 안티바이러스와 방화벽 같은 일반적인 정보 보안 기술을 사용하여 구현됩니다.
소규모 기업의 경우 악성 코드, 바이러스, 랜섬웨어, 기타 보다 정밀한 공격에 대비하여 보안 시스템 주위에 단순한 주변 보호 장치를 구입할 수 있습니다. 하지만 기업의 규모가 커지면 데이터 보호 측면에서 발생하는 문제점 역시 커지게 됩니다.
대규모 기업은 다수의 서비스 및 제품을 다루며, 부서 간이나 심지어 지리적 위치 간에 오가는 정보가 포함됩니다. 기업은 직원이 비즈니스 수행에 필요한 정보를 가능한 간단하게 확보하도록 하는 동시에 해커와 기타 악성 공격자를 차단할 수 있도록 해야 합니다.
하지만 이러한 단순한 개념조차 실행 단계로 가면 매우 복잡해질 수 있습니다. 기업 내 여러 시스템에 걸쳐 노후되어 가는 Windows 애플리케이션과 같이 단순한 문제가 온갖 문제를 양산할 수 있으며, 결국 성능이 저하되고 엄청난 IT 보안 예산을 소비하면서 상당한 비용 부담을 주게 됩니다. 따라서 데이터 보호는 소프트웨어와 전략의 문제라고 할 수 있습니다.
새로운 데이터 보호 접근 방식을 적용하기에 앞서, 먼저 보안 시스템에 대한 철저한 감사를 시행하여 취약점을 찾아낸 후 데이터베이스 액세스, 워크스테이션 등에 대해 흠없는 방식(clean sheet approach)을 채택해야 합니다. 최신 암호화가 효과적이므로 모든 데이터는 해당 라이프사이클에서 가급적 빨리 암호화해야 합니다.
또한 데이터베이스, 데이터 스토리지 시스템, 워크스테이션에 발생한 구조적 변경 사항과 물리적 변경 사항을 살펴 보면서 매번 시스템에 보안이 구축되는지 확인하도록 합니다. 시스템의 노화나 사무실 집기의 실제 배치 같은 사소한 일조차 데이터 보호 계획과 예산에 영향을 줄 수 있습니다.
주요 운영 체제를 손상시킬 수 있는 바이러스와 악성 코드에 대비한 보호가 전략의 필수 요소로 포함되어야 합니다. 바이러스와 악성 코드에 대한 견고한 방어책 역시 보안 전략에 포함하되 유일하게 중점을 두는 업무가 되어서는 안됩니다. 처음부터 시스템을 제대로 갖춘다면 악명 높은 해커들이 아예 시스템을 장악하지 못하게 될 것입니다.
또한 업무를 방해하지 않으면서 시스템 내의 필수 정보를 보호하도록 균형을 맞추어야 합니다. 보안 조치를 지나치게 강조한 나머지 전체 인력의 업무 속도를 늦추고 결국 회사에 비용 부담을 주는 결과를 초래할 수 있기 때문입니다.
개인 정보를 보호하려면 모든 데이터를 분류해야 합니다. 이때 데이터의 기밀 수준을 결정하고 중요 데이터를 식별 및 차후 분류하며 중요 데이터를 저장할 장소를 결정한 후 마지막으로 데이터 액세스 레벨을 결정해야 합니다.
모든 데이터를 식별 및 분류한 후에는 기업의 기대치를 실현 가능한 목표로 전환하도록 보안 정책을 개발하는 것이 다음 단계입니다. 통합 보안 정책의 핵심 요소는 아래와 같습니다.
기업 내에서 다수의 접점을 보유한 데이터 개인 정보 보호 솔루션을 구현할 수 있습니다. 이때 구현 지점을 선정하면 수행할 업무를 지시하고 전반적인 보안 모델에 큰 영향을 주게 됩니다. 암호화 노드 레벨에는 다음이 포함됩니다.
간결한 방식으로 가장 강력한 보안 기능을 제공하는 최상의 툴을 사용하여 명확한 전략에 집중해야 합니다. 우선, 직원을 대상으로 미션 크리티컬 시스템 및 데이터에 대해 효율적인 액세스 권한을 부여하되 해커와 권한 없는 행위자가 액세스할 수 없게 해야 합니다. 기업의 팀원이 데이터에 액세스하기 어렵다면 전반적인 생산성 저하가 초래될 위험이 크므로 전략을 바꾸어야 합니다.
하지만 데이터 보호는 단지 용이한 액세스 및 해커 차단에 머무르지 않습니다. 데이터베이스를 백업하여 랜섬웨어 등의 재해 발생 시 데이터가 손실되지 않도록 방지해야 합니다. 백업은 즉시 액세스 가능하되 해커로부터 철저히 보호되어야 합니다.
아울러 즉시 사용할 수 있는 복원 기능이 필요합니다. 하지만 많은 기업이 이 기능을 확보하지 못한 상황입니다. 정기적으로 업데이트하는 데이터베이스와 웹사이트를 안전하게 보호하여 클린 버전을 사용한다면 그 어떤 공격도 지속될 수 없을 것입니다.
외부의 공격으로부터 보호하기 위해 특정 시스템을 잠글 수 있는 효율적인 소프트웨어 시스템의 차별화 요소는 공격 발생 후 기업이 시스템을 다시 제어할 수 있도록 몇 시간에 걸쳐 수고를 해야 하는지, 아니면 수분 내로 백업을 확보할 수 있는지에 달려 있습니다.
개인 정보 보호 및 보호 솔루션을 고려할 때는 구현 모드를 확실히 선택해야 합니다. 이러한 옵션은 보안 모델에 따라 다르지만, 각각 기업의 잠재적 요건에 적합한 보호 레벨을 제공합니다. 이때 고려할 옵션에는 보안 키 관리, 모바일 디바이스 관리, 암호화 작업, 백업 및 복구, 로깅, 감사, 하드웨어를 비롯한 인증, 권한 부여가 있습니다.
IT 경비를 줄이기 위해서는, 기존의 기술 표준을 활용하여 전반적인 전략의 보안성, 확장성, 성능, 지원 가능성, 상호 운용성 등을 확보해야 합니다. 그밖에 기존 기술을 활용하고 적합한 경우 완전한 개인 정보 보호 전략을 효과적이면서도 신속하게 구축할 수 있습니다.
시행 중인 모든 프로젝트에 보안을 적용해야 합니다. 모든 내부 데이터와 고객 데이터는 악의적인 외부 인력으로부터 안전하게 보호되어야 합니다. 보안 문제를 추가 기능 정도로 취급하지 말고 모든 프로젝트의 투자 수익(ROI)만큼이나 중요한 핵심 요건으로 다루시기 바랍니다.
프로세스를 간소화할 수 있는 적합한 데이터 보호 툴을 찾고 회사 데이터의 보안을 확보하는 것이 직관적인 프로세스로 자리잡도록 하십시오. 프로세스의 모든 측면에 컴플라이언스를 통합하고 전체 엔드투엔드 암호화 및 기타 맞춤형 옵션을 배치하면 적합한 보호 툴로 낡은 보안 솔루션을 교체하고 회사의 주요 자산으로 전환할 수 있습니다.
개인 사용자 데이터가 연관된 경우 따라야 할 법적 요건이 있게 마련이며 컴플라이언스에는 선택의 여지가 없습니다. 사실 컴플라이언스는 특히 금융 서비스 산업의 경우 상근직 업무에 해당할 만큼 중요합니다. 이들 업계에서는 데이터 보호, 보안, 법적 책임에 있어 최적의 기준이 필요합니다. 여기서는 보안 베스트 프랙티스를 채택하는 데 그치지 않고 그 사례를 입증해야 합니다.
법적 책임과 명확한 컴플라이언스는 사내 보안 시스템은 물론 타사 벤더 또는 채택한 소프트웨어에도 구축되어야 하며, 이를 통해 중요 정보의 보안을 확보하는 동시에 규제 기관의 감사를 통과할 수 있습니다.
오늘날은 BYOD(Bring Your Own Device)의 시대로, 매일 수많은 디바이스가 시스템에 연결되면서 잠재적인 보안 취약점과 문제가 갈수록 증가하고 있습니다. 또한 이러한 디바이스 중 상당수가 적합한 보안 장치를 갖추지 않고 있으므로 해당 운영 체제에 바이러스와 악성 코드가 숨어 있다가 회사에 보안 문제를 일으킬 수 있습니다.
현재 클라우드 컴퓨팅 및 관리 시스템이 확산되면서 일부 사람들과 디바이스에서 원격으로 액세스할 수 있는 정보를 제한하는 것이 프로세스의 필수 요소로 자리잡아야 합니다. 엔터프라이즈 데이터 보호 계획에서 먼저 시스템에 연결되는 모든 디바이스를 확인한 후 로그인 액세스를 허용해야 하므로, 클라우드는 이러한 복잡성을 한층 더 추가하는 셈입니다.
한 번의 무단 액세스가 시스템을 파괴할 수 있지만, 다른 모든 사람들(인증된 사용자)은 중단 없이 매끄럽게 연결되어야 합니다. 따라서 보안이 코어에서 엣지까지 실행되지 않고 네트워크, 데이터베이스, 엔드유저, 애플리케이션 전반에 걸쳐 적합한 엔드투엔드 암호화가 적용되지 않은 경우 시스템에 취약점이 발생하게 됩니다. 하지만 집요한 악성 공격자가 이러한 약점을 찾아낼 것입니다.
데이터 보호와 보안 전략을 계획할 때는 운영 구조에 맞춰 암호화 계층을 구현해야 합니다. 또한 고객이 정의한 액세스 정책, 기본 백업 및 복원 기능, 이벤트 로깅, 비밀번호, 수준 높은 엔터프라이즈 드라이브 암호화 등이 모두 시스템의 일부가 되어야 합니다.
앞서 설명한 대로, 스마트 디바이스의 상호 연결성과 기술의 진보에 따라 다수의 개인 정보 보호 규제와 요건이 등장하게 되었는데 그 중에는 2018년 발효된 유럽 연합의 일반 데이터 보호 규정(GDPR)이 포함됩니다.
기본 스토리지에 대한 오늘날의 데이터 보호 전략은 잠재적인 문제점(예: 미디어 오류, 데이터 손상, 스토리지 시스템 장애, 최대 데이터 센터 장애, 데이터 유출)에 대비하여 백업을 보완하거나 대체하는 내장 시스템을 사용하는 것과 관련이 있습니다.
애플리케이션 테스트는 심각한 위반으로 이어질 수 있는 소프트웨어의 약점을 식별하고 제거하면서 데이터 보호를 촉진합니다. IT 팀이나 애플리케이션 개발자는 테스트를 통해 간단히 데이터 보호 목적을 달성할 수 있으며 마이크로 서비스, 모바일, 웹, 데스크탑 애플리케이션에서 취약점이나 결함을 제거할 수 있습니다.
데이터 보호 솔루션을 결정하기 전에, 먼저 다음 데이터 보호의 특징을 살펴보십시오.
엔터프라이즈 데이터 보호는 대기업 및 소기업 모두 IT 팀에게 가장 중요한 업무 중 하나입니다. 오늘날 기업은 그 어느 때보다 데이터에 의존하고 있으며 그에 따라 성공을 위해서는 손실, 도난, 손상 등에 대비한 보호가 필요합니다.
데이터 유출 사고가 증가하면서 기업은 자산을 보호하기 위해 경계를 늦추지 않고 있습니다. 데이터 보안 위협에 미리 대응하지 못한다면 유출 사고가 발생하면서 평판이 손상되고 재정 손실로 이어지게 됩니다. 기업은 수년 간 데이터 보안 위협을 차단하기 위해 경계 보안에 주력해 왔습니다. 하지만 오늘날 데이터 유출 사고의 절반 가량이 내부적으로 지속되고 있으며 이러한 전통적 방식의 경계 방어로는 데이터 보안을 충분히 확보할 수 없습니다.
기업의 데이터 인프라스트럭처를 사업부, 업무 부서, 파트너, 고객, 공급업체, 갈수록 증가하는 모바일 인력 전반에 걸쳐 확장해야 할 필요가 있습니다. 이로 인해 외부자와 내부인의 경계가 모호해졌습니다. 따라서 기업 전체를 효과적으로 보호하기 위한 견고한 엔터프라이즈 데이터 보호 전략을 채택해야 합니다. 네트워크, 애플리케이션, 데이터베이스, 엔드포인트 디바이스 전반에서 적합한 엔드투엔드 암호화 솔루션을 구현하여 데이터가 저장 중이거나 사용 중이거나 전송 중인지에 관계없이 상시 보안 상태를 유지하도록 해야 합니다.