보안 표지로 민감 데이터의 접근 자격 관리하기
보안 표지(Marking)는 파일, 폴더와 프로젝트에 추가하는 강제적 접근 요건입니다. 리소스에 적용된 일반 보안 표지가 여러 개이면 사용자는 모두에 접근할 자격이 있어야 합니다. 조건은 논리식의 AND로 결합하며, 프로젝트의 역할로 이 조건을 우회할 수 없습니다.
보안 표지는 특정 범주의 데이터를 다룰 자격을 중앙에서 관리하는 데 적합합니다. 예를 들어 개인정보 교육을 이수한 사용자에게만 PII 표지 접근을 허용하고, 개인정보가 있는 데이터셋에 그 표지를 적용할 수 있습니다. 데이터 보호 담당자는 표지 자격을 통해 해당 범주의 데이터에 누가 접근할 수 있는지 관리하고 감사할 수 있습니다.
자격과 업무 권한을 함께 적용
보안 표지는 접근을 제한하는 조건이며, 프로젝트 역할은 실제 업무에 필요한 기능을 부여합니다. PII 접근 자격이 있는 금융팀 사용자가 금융 프로젝트의 Viewer를 받더라도, 같은 표지를 사용하는 인사나 의료 프로젝트의 역할까지 자동으로 얻지는 않습니다.
프로젝트의 Owner도 보안 표지를 마음대로 제거할 수 없습니다. 표지 제거에는 그 보안 표지 자체의 Expand Access 권한이 필요합니다. 이 권한은 중앙에서 관리하는 별도 권한입니다. 역할 부여 권한과 민감 데이터의 접근 범위를 넓힐 권한을 분리해야 최소 권한을 유지할 수 있습니다.
파일 계층을 통한 상속
프로젝트에 표지를 적용하면 그 안의 파일과 폴더가 표지를 상속합니다. 폴더에 적용하면 해당 폴더 아래 리소스가 상속합니다.
파일 계층에서 상속된 표지는 그 리소스 자체를 발견하고 사용하는 조건입니다. 표지 자격이 없는 사용자는 해당 파일이나 프로젝트를 검색 결과 또는 폴더 목록에서 발견할 수 없습니다. 다만 소유자가 프로젝트 소개 페이지를 프로젝트의 조직에 공개하면, 표지 자격이 없는 사용자도 그 소개 페이지는 발견하고 읽을 수 있습니다. 이 설정은 프로젝트 내부 리소스에 접근할 권한을 부여하지 않습니다.
데이터 의존 관계를 통한 상속
보안 표지는 데이터셋의 직접 의존 관계를 따라 변환과 분석 결과에도 전파됩니다. 표지가 붙은 원본에서 만든 파생 데이터셋은 상류의 데이터 요건을 상속합니다. 다른 프로젝트에 결과를 만들더라도 표지의 접근 조건은 유지됩니다.
파일에 적용된 표지와 데이터에서 상속된 표지는 구분합니다. 파일 발견 요건은 충족하지만 상류에서 상속한 데이터 요건은 충족하지 못하는 사용자는, 파생 데이터셋의 존재와 파일 메타데이터를 볼 수 있어도 그 안의 데이터를 읽을 수 없습니다.
파일 요건을 충족하지 못해 일반적인 파일 탐색에서 발견할 수 없는 경우와, 파일은 보이지만 데이터를 읽지 못하는 경우를 나누어 조사해야 합니다.
표지 적용과 제거의 영향
표지를 적용하면 파일 계층과 데이터 의존 관계를 따라 즉시 상속되므로 하류 사용자의 접근이 바로 차단될 수 있습니다. 적용 전에 영향받는 프로젝트와 파생 데이터를 확인하고, 데이터 이용자에게 필요한 접근 자격이 준비되어 있는지 검토합니다.
처음 적용한 파일, 폴더나 프로젝트에서 표지를 제거하면 그 지점에서 하류로 상속되던 요건도 즉시 제거됩니다. 변환에서 상속된 표지를 제거하는 방법은 데이터 의존 관계의 해당 지점 이후에만 영향을 줍니다. 상속된 접근 요건 제거는 데이터 처리 결과와 제거 권한을 함께 다룹니다.
표지 제거는 접근 범위를 넓히는 민감한 변경입니다. 데이터를 가공했다는 이유만으로 제거하지 않고, 처리 결과가 원래의 보호 요건을 더 이상 필요로 하지 않는지 권한 있는 담당자가 판단해야 합니다. 해시나 암호화를 적용했더라도 재식별 가능성과 사용 목적을 별도로 검토합니다.
보안 표지 구성 방식
| 구성 방식 | 적용 방법과 용도 |
|---|---|
| 민감 데이터 범주별 표지 | 개인정보, 재무 정보 등 범주마다 표지를 둡니다. 여러 범주가 섞인 데이터에는 해당 표지를 모두 적용합니다. 가장 일반적인 방식이며, 성별이나 나이 등 어떤 특성이 어느 범주에 들어가는지 기준을 정합니다. |
| 데이터 소유자별 표지 | 데이터 소유 팀이 자신이 생산하거나 사용하는 데이터의 자격을 관리합니다. 예를 들어 Sales Data 표지는 영업 데이터 소유자가 승인한 사용자만 접근하게 합니다. 파생 자료를 다른 사람에게 공유할 때에도 그 사람에게 표지 자격이 필요합니다. |
| 파이프라인 단계별 표지 | 원시 데이터에 Raw Data를 적용하고, 승인된 처리 이후 필요한 표지로 바꿉니다. 원시 자료와 최종 이용 자료의 보호 수준이 다를 때 사용합니다. |
| 리소스 발견 제한 | 검색 결과나 폴더 목록에서 발견할 대상을 제한하려는 파일, 폴더 또는 프로젝트에 표지를 적용합니다. 별도 관리 권한으로 표시하는 식별자와 집계 정보는 접근과 작업 권한에서 구분합니다. |
여러 방식을 함께 사용할 수 있습니다. 원시 구간에서는 Raw Data, 처리 이후에는 민감 정보 범주별 표지를 사용하는 구성이 한 예입니다.
의료 데이터의 단계별 보호 예
가상의 의료기관이 다음 세 데이터 등급을 사용한다고 가정합니다.
| 데이터 | 보안 표지 | 처리 조건 |
|---|---|---|
| 식별자가 포함된 환자 데이터 | Identifiable Data | 개인을 직접 식별할 수 있는 필드가 포함된 가장 민감한 자료입니다. |
| 직접 식별자를 제거한 데이터 | De-identified Data | 직접 식별자는 없지만 다른 자료와 결합해 환자를 재식별할 수 있습니다. |
| 환자 기록의 특성을 모방한 합성 데이터 | Synthetic Data | 실제 환자 기록을 모방해 생성한 자료이며 이 예에서는 가장 낮은 민감도로 취급합니다. |
이 기관은 Identifiable Data 자격이 있는 사용자가 아래 두 표지에도 접근하고, De-identified Data 자격이 있는 사용자가 Synthetic Data에도 접근하도록 권한을 구성합니다. 일반 보안 표지에 자동적인 높고 낮음이 내장되어 있다는 뜻은 아니며, 이 기관이 정한 자격 구조입니다.
식별자 제거 변환이 바뀌면 보안 표지 관리자나 데이터 소유자가 식별자 제거가 적절한지 검토합니다. 합성 데이터 생성 단계도 별도의 변환으로 수행합니다. 각 단계에서 필요한 권한으로 이전 표지를 제거하고 현재 데이터 상태에 맞는 표지를 적용합니다.
조사 사건별 보호 예
자금세탁 조사처럼 사건별로 자료를 격리해야 하는 업무에서는 사건 번호를 포함한 Case - xxxxxx 표지를 해당 사건의 데이터셋, 이미지와 증거 리소스에 적용합니다. 그 사건을 담당하는 조사자에게만 표지 접근을 허용합니다.
조사자가 여러 사건을 담당하면 여러 표지의 자격을 가질 수 있습니다. 한 사건을 처리할 때 다른 사건의 자료가 함께 노출되지 않게 하려면 아래의 범위 제한 세션으로 현재 작업에 사용할 표지 집합을 좁힐 수 있습니다.
은행의 소유 팀별 보호 예
가상의 은행에서 Consumer Finance, Marketing, Internal Compliance 팀이 각각 자신의 데이터를 관리한다고 가정합니다. 앞의 두 팀이 준법감시팀에 각각 Consumer Finance와 Marketing 표지 접근을 주면, 준법감시팀은 승인된 업무 이용과 분기 감사를 수행할 수 있습니다.
감사 결과 보고서에는 Internal Compliance 표지를 적용하고, 승인된 제거 절차를 통해 앞의 두 표지를 제거합니다. 이 결과는 준법감시팀의 접근 조건을 따릅니다. 데이터 보호 부서(DPO)에 보고서를 공유하려면 Internal Compliance 표지 자격과 보고서 이용에 필요한 역할을 함께 부여합니다.
범위 제한 세션
범위 제한 세션(Scoped session)은 사용자가 이미 접근할 자격이 있는 보안 표지 중 현재 세션에서 사용할 부분집합을 선택하는 기능입니다. 조직에 이 기능이 활성화되어 있으면 로그인 후 세션을 선택해야 할 수 있습니다. 선택한 집합으로 현재 Foundry 접근 범위를 제한해 업무 종류를 구분합니다.
선택한 세션 이름은 작업 공간 배너에 표시됩니다.
여러 세션을 사용할 수 있는 사용자는 배너에 포인터를 올리고 Change scoped session을 선택해 다른 세션으로 바꿀 수 있습니다. 다른 세션을 고르면 페이지가 새로고침되고 새로 선택한 표지 집합이 적용됩니다.
일부 사용자는 Unscoped access를 선택할 수 있습니다. 이 선택은 세션의 부분집합 제한을 해제해 자신에게 이미 허용된 모든 표지를 사용하게 합니다. 원래 접근 자격이 없던 표지를 새로 허용하는 기능은 아닙니다.