4부 중 3부: 동적 보호: 위험에 따라 제어 장치가 이동할 때
내부자 위험 팀과 데이터 보호 팀이 협력하는 이유와 전체 사용자 위험 라이프사이클이 효과적인 보호를 재정의하는 방식을 알아봅니다.
데이터 보호 프로그램에 대한 신뢰를 잃는 가장 빠른 방법은 기업이 반드시 해야 할 일을 막는 것입니다. DLP를 운영해 본 사람이라면 누구나 그 과정을 알고 있을 겁니다. 정상적인 전송에 대해 규칙이 실행되면 예외가 기록되고, 오탐이 충분히 발생하면 정책은 모니터링 전용 모드로 전환됩니다. 시의 상황에 맞지 않는 보호는 오래도록 아무것도 보호해 주지 못한다.
1부에서는 Insider Threat Matrix™를 통해 공통된 언어를 제시했습니다. 2부에서는 감정 분석을 통해 어떤 움직임이 일어나기 전에 동기가 되는 요인들을 밝혀내면서 증거의 흐름을 보여주었습니다. 3부에서는 다음과 같은 질문을 던집니다. 어떤 일이 일어나기 전에 우리는 그 맥락을 어떻게 활용할 수 있을까요?
그것이 바로 동적 보호입니다. 가시성과 통제력은 실제로 감지할 수 있는 위험 수준에 비례하여 확장되고, 적절한 위치에 자리 잡으며, 다른 사람의 간섭을 피하고, 위험이 사라지면 스스로 물러납니다.
정적 규칙에는 맥락 문제가 있음
기존 DLP 방식은 "이 데이터가 여기에 저장되어야 할까요?"라고 묻습니다. 그러한 통제 조치는 여전히 필수적입니다. 이는 우발적인 손실을 포착하고 기준점을 설정하기 때문입니다. 내부자 위험은 두 번째 질문을 추가합니다. 이 사람이 지금 이 일을 하는 것이 과연 옳은 일일까요?
영업 사원이 승인된 지역 변경 과정에서 2,000건의 고객 기록을 내보내는 상황을 상상해 보세요. 완전히 정상입니다. 이제 두 번째 영업 사원이 동일한 방식으로 고객 기록을 내보냅니다. 지난 몇 주 동안 그들은 경쟁사와 메시지를 주고받고, 동료에게 퇴사 계획을 알리고, AI 어시스턴트에게 사직서를 다시 작성해달라고 요청했습니다. 인사팀은 이 사실을 전혀 모릅니다. 아무런 통보도 없었습니다. 그런 다음 고객 기록이 외부로 반출됩니다.
내용은 변경되지 않았습니다. 이러한 상황은 공식적인 탈퇴 선언이 나오기 몇 주 전부터 시작되었습니다. 정적 규칙은 두 사람 모두를 차단하거나 두 사람 모두를 허용하는 두 가지 경우만 가능합니다. 둘 다 만족스럽지 않습니다.
내부자 위험 및 데이터 보호 팀이 중간 지점에서 만나는 중임
데이터 보호와 내부자 위험 관리는 하나의 팀으로 통합되어야 할까요? 저는 조직도보다는 정책들이 함께 작동하는지에 더 관심이 있습니다. 두 팀 모두 결국 같은 것을 보게 되기 때문입니다. 즉, 데이터가 이동해서는 안 되는 곳으로 이동하는 것입니다. DLP는 데이터 보호 팀이 그 이동을 관리하는 데 사용하는 도구입니다. 내부자 위험은 그 주변의 인물, 행동, 그리고 시점을 추가로 고려합니다.
실제로 두 팀은 서로 반대 방향에서 동일한 데이터 유출 이벤트를 다룹니다. DLP 트리아지는 경고를 해제하거나 에스컬레이션하는 데 충분한 컨텍스트만으로 경고를 처리합니다. 내부자 위험 팀은 동일한 이벤트에 대해 더 큰 데이터 세트에서 사용자 위험 컨텍스트, 행동 이력, 감정 신호를 바탕으로 사전 예방적 조사를 수행합니다. 이러한 관점은 규칙이 부족하고 내부자가 통제가 예상하지 못한 전술을 찾았을 때 가장 중요합니다. DLP의 소관에 속하는 모든 것은 해당 팀으로 다시 돌아갑니다. 그들은 각자 반쪽짜리 그림이 아닌 하나의 증거 사슬을 바탕으로 중간에서 만납니다.
이는 두 팀 모두 동일한 소스에서 정보를 받을 때만 가능하며, 그래서 기술적 기반이 보고 체계보다 더 중요합니다. 세 가지 역량이 이를 현실로 만듭니다.
- 하나의 에이전트로 두 프로그램 모두에 유연하게 대응할 수 있습니다. 단일 엔드포인트 에이전트는 데이터 보호 팀이 DLP에 필요한 파일 이동 원격 측정 데이터를 캡처하고, 트리거가 발생하면 내부자 위험에 필요한 행동 및 포렌식 심층 정보를 제공합니다. 두 에이전트가 동일한 엔드포인트를 두고 경쟁하며 동일한 이벤트의 두 가지 버전을 생성하는 것이 아닙니다. 하나의 배포, 하나의 데이터 스트림, 하나의 타임라인.
- 정책에 의해 시행되는 프로그램 범위 접근. 각 프로그램은 범위를 정의하고, 역할 기반 접근 정책이 이를 시행합니다. 이벤트는 한 번만 존재하지만, DLP 분석가는 DLP 규정이 허용하는 범위 내에서, 내부자 위험 분석가는 내부자 위험 규정과 개인정보 보호 의무가 허용하는 범위 내에서 볼 수 있습니다. 범위는 신뢰가 아닌 정책에 의해 보호됩니다.
- 행동 인식 기반 보호 결정. DLP 정책과 사용자 위험 컨텍스트가 동일한 에이전트에 있기 때문에 보호 결정은 조치 시점에 두 가지 모두를 고려할 수 있습니다. 즉, 콘텐츠가 무엇인지, 어디로 가는지, 그리고 이 사람이 지금 경고, 지연 또는 차단이 필요한지 여부를 판단할 수 있습니다.
이는 고객에게 효과적입니다. 누구도 아무것도 포기할 필요가 없기 때문입니다. 각 팀은 고유한 워크플로와 범위를 유지하지만, 증거는 분산되지 않습니다. 내부자 위험으로 에스컬레이션되는 DLP 경고는 단순히 티켓 번호와 막연한 기대만 전달되는 것이 아니라, 관련 맥락이 함께 제공됩니다. 조직은 정책별로 누가 무엇을 왜 보았는지 명확히 보여줄 수 있습니다.
전등 스위치가 아니라 사다리라고 생각하기
동적 보호는 "허용"에서 "차단"으로 바로 넘어가는 것이 아닙니다. 1층이 있는 사다리입니다.
1층은 모두를 위한 기본 정책입니다. 즉, 파일 이동 및 유출에 대한 간편한 가시성과 항상 유지되는 규제 통제가 포함됩니다. 의도적으로 심층적인 데이터 수집을 하지 않습니다. 왜냐하면 대부분의 사람들에게는 대부분의 경우 그럴 필요가 없기 때문입니다.
첫 번째 단계는 강화된 모니터링입니다. 작업은 계속 진행되며, 프로그램은 더욱 면밀하게 주의를 기울입니다. 다음으로는 소프트 제어가 이어집니다. 경고, 사유 설명 요청, 짧은 지연 시간 또는 승인된 앱으로의 리디렉션 등이 이에 해당합니다. 최상단에는 신뢰도와 영향력이 동작 중단을 정당화하는 순간에 적용되는 강력한 제어 장치가 있습니다.
데이터도 중요합니다. AI 분류기는 패턴 매칭이 어려운 소스 코드를 인식합니다. 개발자에게 AI 도구에 코드를 붙여넣는 것은 일상적인 작업일 수 있지만, 사용자의 위험도가 높거나 사전 준비 단계에서 이루어지는 행동과 결합될 경우에는 다른 대응이 필요합니다. 데이터를 이해하고, 사람을 이해하며, 그 순간에 적절한 마찰을 적용해야 합니다.
향상된 모니터링: 필요할 때만 심층적인 모니터링을 제공하고, 항상 그럴 필요는 없습니다.
강화된 모니터링은 특정 시점에 작동되고, 시간 제한이 있으며, 자동으로 재설정됩니다. 조직 정책에 정의된 트리거는 특정 기간 동안 사용자를 기본 파일 이동 정책에서 더 심층적인 수집 계층으로 이동시킵니다. 해당 기간 동안에는 파일 및 파일 계보에 대한 포렌식 세부 정보, 주변 엔드포인트 및 클라우드 활동, 그리고 중요한 순간의 화면 캡처가 포함된 이벤트가 전송됩니다. 관찰 기간이 끝나고 아무런 변화가 없으면, 그 사람은 자동으로 원래 상태로 돌아갑니다. 누구도 그들을 감시 목록에서 삭제할 필요가 없습니다.
트리거는 두 가지 방향에서 발생합니다. 첫째는 사용자 위험 및 행동(다운로드 급증, 승인되지 않은 목적지로의 첫 업로드, 경고 무시, 위험 점수 임계값)이고, 둘째는 사용자 그룹 및 라이프사이클(입사 초기 몇 주, 퇴사 통보부터 퇴사까지, 계약 만료가 임박한 계약직, 직책 변경, 인사 절차 대상자)입니다. 집단을 우대하는 것은 정책적 결정이지, 개인에 대한 판단이 아닙니다.
이는 개인정보 보호를 지원하고 과도한 정보 수집을 방지합니다. 전면적인 화면 캡처는 직원, 노동조합, 규제 기관에 정당성을 입증하기 어렵고, 대부분은 실제로 검토되지도 않습니다. 정책에 정의된 행동과 데이터 수집을 연계하면 프로그램은 특정인이 왜 승진했는지, 얼마나 오랫동안 승진했는지, 그리고 어떤 데이터가 수집되었는지를 보여줄 수 있습니다. 스크린샷이 존재하는 이유는 누군가의 호기심 때문이 아니라, 기록된 어떤 계기가 작용했기 때문입니다.
자동 단계적 축소는 권한이 상승된 인원들이 정직하게 행동하도록 합니다.
동일한 트리거가 제어를 작동시킵니다. 누군가를 감시 대상으로 삼는 것은 그 사람의 다음 데이터 이동에 대한 간접적인 통제를 가능하게 하고, 증거가 축적되면 강력한 차단 조치를 취할 수 있게 합니다. 모니터링과 보호는 하나의 증거 사슬을 기반으로 하므로 절대 분리되지 않습니다.
2부의 진가가 드러나는 부분이 바로 여기입니다. 동기와 준비 신호는 종종 누군가를 강화된 감시 대상으로 끌어올리는 요인이 되므로, 조치를 취할 시간이 있을 때 증거를 축적할 수 있습니다. 해당 인물이 위협적인 인물로 분류된 것은 아닙니다. 프로그램이 특정 기간 동안 특정 이유로 해당 인물을 더욱 면밀히 관찰하는 것일 뿐입니다.
부드러운 제약은 강한 차단으로는 알 수 없는 정보를 제공할 수 있음
경고는 단순히 행동을 중단시키는 것만이 아닙니다. 증거를 만들어냅니다. 누군가가 민감한 자료를 업로드해서는 안 되는 곳에 업로드하려고 하면 경고 메시지가 나타납니다. 어쩌면 그들은 실수를 깨닫고 멈출지도 모릅니다. 어쩌면 그들은 그것을 정당화하고 승인된 절차에 따라 계속 진행할지도 모릅니다. 아마 그들은 우회 경로를 찾으려고 할 겁니다. 첫 번째 행동은 과실이었을 가능성이 있습니다. 그 다음에 일어나는 일은 훨씬 더 많은 것을 알려줍니다.
정해진 임계값 내에서, 그리고 데이터와 영향력이 허용하는 범위 내에서 상황이 전개될 여지를 줄 수 있습니다. 마찰은 상황을 지켜보는 동안 즉각적인 위험으로부터 보호해 줍니다. 의심스러운 첫 번째 행동을 완전히 차단하면 수사관에게 필요한 맥락이 사라질 수 있습니다. 그렇다고 위험한 행위를 방치해도 된다는 의미는 아닙니다. 핵심 데이터 또는 높은 신뢰도의 침해 행위는 인사 및 법무 부서가 정한 기준에 따라 즉시 엄격하게 차단됩니다. 때로는 적절한 보호 수단이 벽일 수도 있고, 때로는 누군가의 진행 방향을 알려주는 과속 방지턱일 수도 있습니다.
사다리의 움직임 관찰: 한 건의 사례, 5일
소프트웨어 엔지니어인 제이크는 월요일에 2주의 퇴사 예고를 하였습니다. 인사 시스템이 퇴사를 예고하는 징후를 포착하면, 해당 직원을 퇴사 예고 기간 동안 강화된 모니터링 대상으로 상향 조정합니다. 그의 접근 권한은 변경되지 않으며, 기록되는 이벤트에는 더욱 심도 있는 정보가 포함됩니다.
수요일에는 그의 다운로드량이 평소보다 훨씬 급증했습니다. 사임과 맞물려 감시 범위가 확대됩니다. 플래그로 지정된 전송과 관련된 스크린 캡처를 포함하여 더 많은 엔드포인트 및 클라우드 활동이 기록되므로, 분석가는 어떤 데이터가 어디서 유출되었는지를 확인할 수 있습니다.
금요일, 제이크는 소스 코드 조각을 AI 도구에 붙여넣습니다. 평소라면 일상적인 절차이지만, 현재 그의 위험도를 고려하면 그렇지 않습니다. 유연한 통제는 사업상의 정당성을 요구합니다. 제이크는 경고 창을 닫고 브라우저를 바꾼 후 다시 시도합니다.
붙여넣기 자체가 아니라, 제이크가 취한 그 행위가 모든 것을 바꿉니다. 경고를 우회하는 행위는 의도적인 것으로 보입니다. 위험 점수가 급격히 상승하고, 검토를 위한 저장소 접근 권한이 확대되며, 소스 코드를 외부로 이동하려는 추가 시도는 엄격하게 차단됩니다. 사임, 다운로드 급증, 코드 붙여넣기 등 그 어떤 특정 순간도 단독으로 강력한 차단을 정당화하지는 못했습니다. 이 모든 사건들이 함께 모여 전혀 다른 이야기를 보여주었습니다.
이제 다른 버전을 상상해 보시기 바랍니다. 수요일의 급증은 승인된 인계였고, 금요일은 조용히 지나갔으며, 어떠한 사태 악화도 발생하지 않았습니다. 제이크의 계약 해지 통지 기간이 만료되면 채권 추심이 중단되고, 그는 아무런 결정 없이 원래 상태로 돌아갑니다. 이것이 사다리가 반대 방향으로 작동하는 방식입니다.
목표는 차단의 수를 증가시키는 것이 아닙니다. 이는 더욱 정밀한 보호입니다.
"동적 보호"라는 말은 점점 더 공격적인 제어를 정당화하는 변명처럼 들릴 수 있습니다. 오히려 그 반대여야 합니다. 대다수 사람들에게는 마찰을 줄이고, 증거가 뒷받침되는 곳에서는 더욱 정밀한 마찰을 적용해야 합니다. 엄격하게 적용되는 통제는 모두가 예외를 원할 때까지 합법적인 활동까지 포괄하는 또 다른 전면적인 정책보다 훨씬 더 수용하기 쉽습니다.
그러한 정확성을 위해서는 관리 체계가 필요합니다. 왜냐하면 풍부한 증거가 책임감을 수반하기 때문입니다. 인사팀과 법무팀은 위험 등급을 높이는 기준, 등급 상승 기간, 각 등급별 수집 정보 및 허용 범위에 대해 의견 일치를 이루어야 합니다. 임계값이 정의되어 있고, 검토는 감사 가능하며, 화면 캡처는 적절한 에스컬레이션 시점까지 가려진 상태로 유지되고, 액세스는 위에 명시된 프로그램 범위 정책을 따릅니다.
DLP는 사라지지 않습니다. 이를 통해 이전에는 갖지 못했던 맥락을 얻게 되므로, 가장 강력한 통제는 필요한 곳에만 적용되며, 이는 더 많은 규칙을 작성하는 것보다 훨씬 실용적입니다.
다음: 여러분이 인지하지 못한 위험을 표면화하기
1부에서는 관련 언어를 제공하였습니다. 2부에서는 감정 분석을 통해 동기 요인을 드러내며, 증거의 연결 고리를 제공하였습니다. 3부에서는 그러한 증거를 통해 위험이 변동하는 동안 보호 조치가 어떻게 적응하는지 보여주었습니다.
한 가지 남은 문제는, 시스템이 사건을 탐지하고 조사하며 정리할 수 있게 된다면 어떤 결과가 나타나는지입니다.
4부에서는 에이전트 기반 분류와 조사의 전 과정을 다룹니다. 전체 라이프사이클에 걸쳐 신호를 연결하여, 내부자 위험이 새롭게 드러나 분석가가 어디를 살펴봐야 할지 알 수 있도록 하며, 종종 사후적으로 이루어지는 의뢰에만 의존하지 않도록 합니다. 필요는 단순합니다. 이 풍부한 데이터를 모두 활용하여 더 스마트하게 일하고 위험을 더 빠르게 드러내야 합니다. 대부분의 팀은 인력이 늘어나지 않으며, AI 도입 시대에는 자원이 현상 유지되거나 오히려 줄어드는 경우가 많기 때문입니다.
자세히 알아보기
Insider Threat Matrix 공동 창립자인 제임스 웨스턴(James Weston) 및 조슈아 비먼(Joshua Beaman)과 함께한 최근 웨비나를 시청하십시오.