데이터 손실 방지(Data Loss Prevention, DLP)는 기업 정보보안 팀의 도구 모음들 가운데 갈수록 그 인기가 높아지고 있는 솔루션이다. 그러나 DLP 시스템을 선택하는 기준이 명확하지 않고, 살균제를 구입할 때 이용하는 체크리스트와 유사한 경우가 많다. 이에 매력적인 가격이지만 더 공격적인 광고를 사용하고, 다양한 기능을 약속하는 브랜드를 선택한다.주의할 부분은 이런 시스템은 마케팅 브로셔에 나열되지 않은 기능들을 많이 제공한다는 것이다. 잘못 선택했을 때의 대가는 가정용 화학용품을 구입했을 때보다 훨씬 더 크다. 정보보안 전문가들은 이용할 수 있는 기능들을 넘어, 그 특성을 면밀히 조사하는 것이 좋다.

현재 DLP 시스템들은 정교함과 발전된 정도의 차이가 심하다. 업체에서 제공하는 추가 기능들에 끌리기 마련이지만, 이런 추가 기능이 항상 기대에 부응하는 것은 아니다. 일부 소프트웨어 개발사는 제품 출시를 서두르면서 품질과 사용자 경험, 신뢰성 보장에 만전을 기하지 못한다.

기술적으로 성숙한 엔터프라이즈 솔루션의 주요 장점은 공급업체가 이를 적절히 유지 관리하고, 새 기능성을 릴리스할 수 있다는 것이다. 일반적으로 3~5년을 사용할 계획으로 DLP 시스템을 선택한다. 따라서 현재 요구사항을 충족하는 것이 선택의 유일한 기준은 아니다. 공급업체가 나아가는 방향을 파악하고, 기업이 향후 직면할 수 있는 과제와 문제를 예측해야 한다.
 
다음은 솔루션이 얼마나 좋은지, 그리고 투자를 통해 엔터프라이즈 소프트웨어 기준들을 충족하는 제품을 얻을 수 있는지 이해하는 측면에서 올바른 방향을 제시하는 고려사항들이다.
   

콘텐츠 차단

DLP 시스템은 직원들의 실수나 악성코드로 인한 데이터 유출을 경감하는 데 사용된다. 사전에 의심스러운 작업을 파악해 막는 것이 이런 목표를 달성할 수 있는 유일한 방법이다. 그러나 일부 기업은 데이터 이동에 직접 개입하기보다 모니터링을 하기 위해 DLP 솔루션을 활용한다.

또한, 모든 정보가 아카이브에 저장되며, 보안 담당자는 유출 사고가 일어난 후 이에 대응하는 경우가 많다. 적극적으로 사용할 계획이 수립되어 있지 않기 때문에 콘텐츠 차단 기능이 우선순위를 잃게 될 수 있다는 이야기이다.

정보보안 담당자들은 덜 침입적인 모니터링이라는 방법을 선택하면서, DLP 시스템의 실패나 긍정 오류를 다루려 시도할 수도 있다. 예를 들어, 솔루션이 의심스러운 이벤트에 과도하게 반응해 이메일이나 다른 중요한 서비스를 방해하는 경우, 그 결과는 데이터 유출의 여파를 능가할 수 있다.

구성 관련 옵션이 미흡한 단순한 DLP 시스템이 이런 단점들을 갖고 있다. 차단 모드가 미흡해 발생하는 데이터 침해는 복구가 어렵고, 많은 비용이 들 수 있다. 여기에 더해, 데이터 유출을 방지하기 위해 조직에 콘텐츠 차단 기술을 사용하도록 요구하는 국제 규정(예, EU의 GDPR 등)이 증가하는 추세이다. 이를 준수하지 못하는 기업들은 막대한 벌금을 내야 할 위험이 있다.

DLP 도구가 감독하는 일부 커뮤니케이션 메커니즘은 기술적인 이유로 차단이 불가능하다. 예를 들어, 텔레그램과 왓츠앱 메신저는 사용하는 데이터 암호화 기법의 특수성 때문에 패시브 모니터링이 유일한 선택지이다. 그럼에도 불구하고 이상 동작이 탐지됐을 때 이메일과 프린터, USB 포트, HTTP/HTTPS 기반 웹 서비스를 차단하는 기능을 지원하지 않는 DLP 시스템은 비효율적이다.

정책과 콘텐츠 분석

현재 DLP 시스템 중에는 애초 완전한 보호 기구로 설계되지 않은 것들도 있다. 일부 개발자들은 하나의 보안 계층을 포함시키고, 이후 남은 통신 채널을 모니터링하기 위해 추가적인 통제책으로 이를 보완하는 방법을 사용했다. 최초 모듈의 제한사항과 고유한 특징 및 기능을 이후 아키텍처 강화 사항과 일치시켜야 하기 때문에, 최종 제품의 예상되는 효율성이 달라질 수 있다.

DLP 시스템에 콘텐츠 분석이 구현된 방식에 있어 특징이 그 발전이 시작된 부분에 대한 단서를 제공한다. 예를 들어, 모니터링된 기기의 엔드포인트 에이전트가 분석을 위해 DLP 서버에 데이터를 보내는 데 SMTP 프로토콜을 사용한다면, 이 솔루션은 만들어졌을 때 이메일 검사 모듈만 포함되어 있었다고 추정할 수 있다. 이 경우, 에이전트는 서버로부터 분석 결과를 수신하지 못할 수도 있다. 결과를 수신하지 못하면, USB 플래시 메모리 드라이브에 파일을 저장하거나 인쇄하는 상황에서 콘텐츠를 차단할 수 없다.

이렇게 구현된 기술의 또 다른 단점은 서버에 영구적으로 연결이 되어있어야 한다는 점이다. 네트워크 정체가 이런 프로세스를 방해할 수 있다는 의미이다. DLP 솔루션이 네트워크 트래픽에 우선순위를 부여할 수 있는지 여부를 확인하는 것이 좋다.

잘 만들어진 아키텍처를 통해 정책이 적용되는 장소에서 엔드포인트 에이전트 수준에서 콘텐츠 분석을 수행해야 한다. 이렇게 되면, 네트워크를 통해 많은 데이터를 보낼 필요가 없다. 트래픽 우선순위와 관련된 도전과제는 보안 관련 문제가 아니다.

기업 네트워크에 연결되지 않음

콘텐츠 분석 체계를 구현하고 기업 정책을 적용하는 것에 더해, DLP 에이전트는 서버에 이벤트 로그, 여러 파일의 쉐도우 사본, 기타 다른 정보들을 전송해야 한다. 

서버의 데이터 리포지토리에 접근할 수 없을 때 이런 중요한 세부 정보가 손실되지 않아야 한다. 일반적으로 이런 정보는 로컬 디스크에 유지되었다가, 연결이 재개되는 즉시 서버로 전송된다.

서버 연결 상태에 따라 정책이 달라져야 한다. 연결이 설정되었을 때, 엔드포인트가 VPN 서비스를 통해 연결될 때, 연결이 끊겨진 경우에 대한 정책을 지정해야 한다. 직원들이 회사가 제공한 노트북 컴퓨터를 갖고 출장을 가거나, 재택 근무를 할 때 등 사무실 밖에서 일을 할 때 특히 중요한 부분이다.

편의성

사용자마다 시스템 사용과 관리에 있어 편의성, 편리함에 대한 관점이 다를 수 있다. DLP를 관리에 명령줄을 사용하는 것을 선호하는 사람도 있고, 스크립팅 언어로 정책과 규칙을 설정하는 사람도 있다. 중요한 모듈들이 잘 설계된 품질 높은 제품은 간소화되고 직관적인 인터페이스를 특징으로 갖고 있는 경우가 많다.

인터페이스의 사용자 환경과 경험에서 고려해야 할 몇몇 사항들이 있다. 첫째, ‘올인원’ 관리 대시보드가 좋다. 최근에는 웹 콘솔이 가장 많이 사용된다. 다양한 플랫폼에서 지원되며, 추가적인 소프트웨어가 필요 없다. 또 모바일 기기에서 간편히 사용할 수 있다.

모듈 별로 별개의 콘솔을 제공하는 제품은 종합적인 단일 시스템으로 만들어지지 않은 제품이다. 개발 주기 동안 여러 소프트웨어 엔지니어나 공급업체가 솔루션에 이런 구성 요소들을 통합하고, 나중에 이를 서로 연결했을 가능성이 높다.

잘 맞춤화 된 시스템의 또 다른 특징은 이른바 ‘옴니 채널’ 정책이다. 법적 계약을 관리하는 정책을 설정해야 한다고 가정하자. 이를 한 번에 설정, 다룰 채널(이메일, USB 드라이브, 웹 서비스 등)만 지정하면 되는 방식이다.

잘못 설계된 DLP 시스템의 경우, 모든 채널에 대해 유사한 정책들을 별도로 만들어 적용해야 한다. 처음에는 별거 아닌 것 같지만, 정책의 수가 늘어나면 엉망이 될 것이다. 규칙이 수십 개이고, 규칙으로 시간대 및 사용자 그룹 등 여러 조건들을 지정하는 경우, 이를 모두 일치시켜 유지하는 것이 매우 힘들어진다.

서버 수 요구사항

DLP 설계가 미숙한 것을 알려주는 또 다른 신호는 시스템이 적절히 작동하기 위해 요구되는 서버 수가 지나치게 많은 것이다. 최대 100명의 직원들을 대상으로 한 파일럿 프로젝트에 하나 이상의 서버가 필요하다고 가정하자. 이런 아키텍처에 개선이 필요할 수 있으며, 프로덕션 단계에서 추가 리소스가 요구될 가능성이 크다.

최고의 솔루션은 모든 방향에서 균형 잡힌 스케일링(축소 및 확장)을 보장한다. 규모가 큰 조직의 경우, 일부 시스템 구성 요소를 분리시키고, 각 요소에 별도 서버 리소스를 할당하는 옵션을 갖고 있어야 한다. 그러나 규모가 더 작은 컴퓨터 네트워크의 경우, DLP 시스템이 원활하게 작동하도록 만드는 데 필요한 서버 수가 지나치게 많으면 안 된다.

유연한 구현

구현 메커니즘 측면에서 충분한 유연성을 제공하는 DLP 시스템이 좋은 시스템이다. 솔루션을 기존 디지털 인프라와 연결하기 더 쉽고, 여러 채널을 계속 제어 및 관리하면서 기능성과 프로세싱 로드의 균형을 맞출 수 있기 때문이다.

일부 DLP 시스템이 엔드포인트 에이전트 수준에서 모든 채널을 제어하는 옵션을 제공한다. 이런 도구는 공급업체에게 도움을 준다. 개발 시간을 줄이고, 소프트웨어 엔지니어링 지출을 경감할 수 있기 때문이다.

이런 아키텍처는 엔터프라이즈급 기준에 미치지 못한다. 게이트웨이 계층에서 네트워크 채널을 관리하는 것이 더 합리적이다. 대규모 DLP 배포의 경우, 이것이 유일한 합리적 옵션이 될 수도 있다. 효과적인 DLP 도구는 엔드포인트 에이전트를 데이터 이동을 제어하는 소스로 사용하는 것에 더해, 다음과 같은 대안적인 구현 경로를 제공한다.
  

• 메일 서버 통합. 내부 이메일을 모니터링할 수 있도록 해주는 ‘전술’ 이다.
• 기술 사서함(우편함)에서 메일 서신을 받는 옵션.
• ICAP(Internet Content Adaptation Protocol)을 사용해 기존 인터넷 게이트와 통합.
• 별도의 메일 전송 서버.

주요 공급업체들은 DLP 시스템과 통합, HTTP와 HTTPS 트래픽을 감독할 수 있는 독자적인 프록시 서버를 제공한다.

클라우드 인프라

수많은 기업들이 원격 근무 체계로 전환하고, 이와 동시에 보안 서비스 관련 비용을 절감하려 하면서, 클라우드 DLP 솔루션의 ‘질’이 높아지고, ‘양’이 많아질 것이다. 이미 지금도 DLP 시스템 서버 구성요소를 클라우드에 유지해야 하는 경우가 많다. 통상 파일럿 프로젝트나 규모가 작은 조직에서 이런 경우가 많다.

DLP 시스템의 아카이브에는 다양한 기업 비밀이 보관되어 있으며, 관리되지 않는 환경에 이를 두고 싶은 비즈니스 오너는 많지 않다. 그러나 DLP 시스템이 서버 모듈을 클라우드에 호스팅하는 옵션을 지원하지 않는다면, 이는 어느 시점에 악영향을 미칠 수 있다.

또한 클라우드 스토리지와 서비스를 제어하는 문제도 있다. 예를 들어, 조직이 구글 워크스페이스(G스위트)나 오피스 365 메일 서비스를 사용할 때 이런 문제가 일어날 수 있다. 여기에 미묘한 고려사항들이 있다. 예를 들어, 메일 서버에 접근하기 위해 브라우저와 함께 마이크로소프트 아웃룩 같은 전통적인 클라이언트를 모두 사용할 수 있다. 각 옵션에 대해 각기 다른 프로토콜을 적용해야 한다.

또한 조직에서 클라우드 스토리지를 사용하는 경우, DLP 시스템이 정기적으로 모든 클라우드 폴더를 스캔해 보관된 비밀 정보를 모니터링하는지 확인해야 한다. 이런 문제를 해결하기 위해, CASB(Cloud Access Security Brokers)라는 완전히 새로운 솔루션 종류가 등장했다. 해결하는 작업 측면에서 DLP와 개념적으로 유사한 시스템이다.

다른 엔터프라이즈 보안 시스템과의 통합

현재 모든 DLP 시스템에 기본적으로 탑재된 기능이기 때문에 마이크로소프트 액티브 디렉터리와의 통합을 의미하지는 않는다. 다음 종류 솔루션들과의 통합을 의미한다.

- SIEM(Security Information and Event Management). 기업 보안 생태계에서 호화성과 관련된 ‘갭’이 가장 많은 부분 중 하나라고 말할 수 있다. 모든 정보보안 전문가들이 DLP의 이벤트를 SIEM에 통합시키기 원한다. 대다수의 최신 SIEM 시스템들은 DLP 데이터베이스의 데이터를 다운로드할 수 있지만, DLP 솔루션이 처음부터 Syslog와 CEF 같은 프로토콜을 지원한다면 훨씬 더 효과적이다. 지원을 하는 경우, SIEM 데이터베이스의 정보를 기반으로 DLP 시스템을 구성할 수 있다.

- EDRM(Enterprise Digital Rights Management). DLP 솔루션과 서로 보완 관계인 시스템이다. 적절히 구성을 하면, 결합했을 때 아주 강력한 보안 계층을 구축한다. DLP는 아무 문제없이 EDRM 정책을 해석하고, 보고서 생성이나 아카이브 검색 같은 작업과 관련해 자신의 정책에 이런 규칙들 가운데 일부를 사용할 수 있다. 또한 DLP 시스템은 사전 정의된 원칙에 따라 일부 EDRM 정책을 완전히 이용할 수 있다.

- 데이터 분류 시스템(Data classification systems). 최고의 DLP 도구는 티투스(Titus)와 볼던 제임스(Boldon James)와 같은 데이터 분류 시스템이 문서에 적용한 마킹과 라벨을 처리할 수 있어야 한다. 이 번거로운 프로세스를 부가 서비스가 이미 완료한 경우, 데이터를 더 빨리 분류할 수 있도록 도와주는 체계이다.

멀티플랫폼 호환성

여러 엔드포인트 플랫폼과 호환되는 DLP 시스템이 좋은 시스템이다. 미숙한 도구 대부분은 윈도우만 지원한다. 그러나 이것만으로는 충분하지 않을 수 있다. 언젠가 리눅스가 크게 대중화될 수도 있기 때문이다. 몇몇 DLP 시스템은 윈도우와 맥, 리눅스에 대한 에이전트 모듈을 제공하고 있다.

iOS와 안드로이드가 실행되는 모바일 기기도 언급할 필요가 있다. 현재는 기술적인 이유 때문에 여러 다양한 공격을 받기도 한 애플을 중심으로 스마트폰과 태블릿을 대상으로 완전한 에이전트를 구현할 수 없다. 이런 상황에서 이동 중에 DLP를 이용할 수 있는 효과적인 방법은 웹 콘솔이다. 

따라서 BYOD 전략을 이용하는 경우, MDM(Mobile Device Management) 솔루션을 사용할 수 있어야 한다. 모바일 운영체제에 내장된 기능을 이용할 수 있고, 프라이버시 정책을 만들 수 있고, 데이터 유출 위험을 최소화할 수 있다.

DLP 시스템은 이질적으로 진화했다. 이것이 무결성 수준, 잘 조율된 기능, 개별 정보 배포 채널을 지원하는 기능에 영향을 미친다. 현대 사회에서는 이런 솔루션의 가격과 그에 따른 유지보수 비용이 차이를 만든다. 그러나 신뢰할 수 있는 DLP는 다양한 보안 문제를 해결하기 때문에 투자가치가 있다. editor@itworld.co.kr 

 

원본출처 :  DLP 솔루션 '선택'을 위한 9가지 고려사항 - ITWorld Korea