DLP

1. 서론

1.1 정의

**DLP(Data Loss Prevention)**란 조직 내의 민감한 데이터(개인정보, 지적재산권 등)가 인가되지 않은 외부로 유출되거나 파괴되는 것을 탐지하고 차단하는 기술적 통제 시스템입니다. 데이터의 저장(At Rest), 사용(In Use), 전송(In Motion) 상태 전반을 모니터링합니다.

1.2 배경 (Why)

• 컴플라이언스 강화: 개인정보보호법, GDPR, 정보통신망법 등 규제 준수 의무가 강화되었습니다.
• 경계의 모호성: 클라우드 도입, 재택근무(Work from Anywhere) 확산으로 기존 네트워크 경계 보안(Firewall 등)만으로는 내부 정보 유출 통제가 불가능해졌습니다.
• 내부 위협 증가: 외부 해킹뿐만 아니라, 퇴사 예정자나 악의적 내부자에 의한 기술 유출 사고가 빈번합니다.

1.3 목적

• 자산 보호: 핵심 기술 및 영업 비밀 보호를 통한 기업 경쟁력 유지
• 법적 대응: 유출 사고 발생 시 감사 로그(Audit Trail) 확보 및 법적 면책 요건 충족
• 가시성 확보: 사내 중요 데이터의 흐름과 사용 현황 파악

---

2. 본론

2.1 구성 요소 및 메커니즘 (Architecture)

DLP는 보호 대상 데이터의 위치와 상태에 따라 크게 세 가지 영역으로 구성됩니다.

1. Endpoint DLP (Data In Use):
   • PC/서버에 에이전트(Agent) 형태로 설치.
   • USB, 출력물(Print), 클립보드, 화면 캡처, 메신저 파일 전송 등을 통제합니다.
2. Network DLP (Data In Motion):
   • 네트워크 관문(Gateway/Proxy)에 위치.
   • 이메일(SMTP), 웹 업로드(HTTP/HTTPS), FTP 등의 트래픽을 스니핑(Sniffing)하거나 프록시로 중계하며 검사합니다.
3. Storage/Server DLP (Data At Rest):
   • 파일 서버, DB, 클라우드 스토리지(S3 등)를 주기적으로 스캔.
   • 민감 정보가 암호화되지 않고 방치된 것을 식별(Discovery)합니다.

핵심 탐지 기술 (Detection Engine)

• 패턴 매칭 (RegEx): 주민번호, 카드번호 등 정해진 형식 탐지 (가장 기본적이나 오탐 가능성 존재).
• 핑거프린팅 (Fingerprinting): 중요 문서를 해시(Hash)값으로 변환하여 등록 후, 유사도 비교 (변조된 파일 탐지에 유리).
• EDM (Exact Data Matching): 실제 DB의 고객 정보와 정확히 일치하는 데이터만 탐지 (오탐 최소화).
• OCR (Optical Character Recognition): 이미지 파일(스캔 문서, 도면) 내의 텍스트 추출 및 검사.

2.2 핵심 기술의 특징 및 한계 (Trade-off)

구분	내용	비고 (Trade-off)
장점	- 데이터 가시성: 데이터의 흐름을 투명하게 파악 가능 - 선제적 차단: 사후 대응이 아닌 유출 시도 즉시 차단 - 교육 효과: 팝업 알림 등을 통해 사용자 보안 인식 제고	- 보안과 업무 효율성의 균형 필요
단점	- 오탐/과탐(False Positive): 정상 업무를 차단하여 업무 생산성 저하 - 암호화 사각지대: SSL/TLS 트래픽 복호화 미적용 시 탐지 불가 - 성능 부하: 에이전트 설치로 인한 PC 성능 저하 및 네트워크 레이턴시	- 지속적인 정책 최적화(Tuning) 비용 발생

2.3 타 기술과의 비교: DLP vs DRM

DLP와 DRM은 상호 보완적이나 접근 방식이 다릅니다.

비교 항목	DLP (Data Loss Prevention)	DRM (Digital Rights Management)
핵심 컨셉	유출 경로 통제 (Flow Control)	문서 자체 암호화 (Access Control)
보호 대상	식별된 민감 데이터 (패턴/키워드 기반)	생성되는 모든/특정 어플리케이션 문서
제어 방식	전송 차단, 경고, 로깅	열람 권한 제어, 캡처 방지, 유효기간 설정
장점	다양한 경로(네트워크, 매체) 통합 관리 용이	문서가 유출되어도 권한 없으면 열람 불가
한계	암호화된 파일은 내용 검사 어려움	어플리케이션 종속성 높음 (버전 호환성 이슈)

2.4 실무 적용 방안 및 고려사항 (How & Consideration)

기술사로서 실무 도입 시 다음의 단계적 접근을 권장합니다.

1. 데이터 식별 및 분류 (Data Classification):
   • Consideration: 모든 데이터를 막을 수 없습니다. 무엇이 중요한지(Critical), 무엇이 일반적인지(Public) 정의하는 데이터 거버넌스가 선행되어야 합니다.
2. 단계적 정책 적용 (Gradual Enforcement):
   • How: 모니터링(Audit) 모드 → 사용자 알림(Notify) 모드 → 차단(Block) 모드 순으로 적용하여 업무 충격을 최소화합니다.
3. 예외 처리 프로세스 (Exception Handling):
   • How: 업무상 필수적인 데이터 반출을 위해 결재 승인 시스템과 연동하여 정당한 반출 경로를 열어주어야 합니다. (Shadow IT 방지)
4. HTTPS 가시성 확보:
   • Consideration: 현대 웹 트래픽의 90% 이상이 암호화되어 있습니다. SSL Inspection 장비와 연동되지 않은 Network DLP는 무용지물입니다.

---

3. 결론

3.1 요약 (전문가 제언)

DLP는 단순한 솔루션 도입이 아니라 '데이터 중심 보안(Data-Centric Security)'으로의 체질 개선 과정입니다. 성공적인 운영을 위해서는 기술적 탐지율 향상(오탐 제거)뿐만 아니라, 명확한 데이터 분류 기준 수립과 조직 내 보안 문화 정착이 필수적입니다. 향후에는 클라우드 환경을 위한 CASB(Cloud Access Security Broker) 및 행위 기반 분석인 UEBA(User and Entity Behavior Analytics)와 결합된 통합 플랫폼으로 발전할 것입니다.

3.2 어린이버전 요약

"소중한 장난감(데이터)을 아무나 밖으로 가져가지 못하게 문 앞에서 지키고 검사하는 똑똑한 경비원 아저씨입니다."

---