보안 표지 생성, 적용과 상속 조사

보안 표지(Marking)는 특정 종류의 데이터에 접근할 자격을 관리합니다. Foundry Settings > Markings에서 표지와 범주를 관리한 뒤 프로젝트, 폴더나 리소스에 적용합니다. 이 관리 화면에는 별도의 플랫폼 권한이 필요합니다.

범주 생성과 공개 범위

관리자는 New marking category로 보안 표지 범주를 만듭니다. 생성한 범주는 삭제할 수 없으므로 이름과 범위를 먼저 정합니다.

범주를 만들 때 공개 범위와 관리 권한을 설정합니다. 생성자는 기본적으로 관리자가 되며, 다른 관리자를 지정하고 자신의 관리 자격을 제거할 수도 있습니다.

범주의 기본 공개 설정은 Visible입니다. 이는 조직 범위에서 범주와 표지의 존재를 공개하는 설정이며, 보호된 데이터를 읽을 자격과는 다릅니다. Hidden은 범주와 표지의 존재 자체를 민감한 정보로 취급합니다.

공개 범위는 범주와 그 안의 모든 표지에 함께 적용하며 표지별로 따로 설정하지 않습니다. 조직 범주는 예외로 각 조직이 자체 공개 설정을 가집니다. 일반 표지 범주는 특정 조직 하나로 제한해 조직 밖에서 보이지 않게 할 수 있습니다.

범주를 볼 수 있는 자격에는 다음이 포함됩니다.

• Category Viewer는 범주와 그 안의 모든 표지의 존재를 볼 수 있습니다.
• Category Administrator는 범주를 보고 설명과 권한을 변경하며 새 표지를 생성할 수 있습니다.
• 범주 안의 표지 하나에 접근할 수 있는 사용자도 범주와 나머지 표지들의 존재를 볼 수 있습니다.
• 표지의 관리자나 제거 담당자 역할을 가진 사용자도 범주와 모든 표지의 존재를 볼 수 있습니다.

표지 접근이나 관리 역할을 통해 암묵적으로 범주를 볼 수 있는 사용자는 API 결과의 명시적인 category viewer 목록에 나타나지 않을 수 있습니다. 명시 목록만으로 실제 가시성을 계산하지 않습니다.

표지 생성과 권한 구분

New marking으로 표지를 만듭니다. 생성한 표지는 삭제하거나 다른 범주로 옮길 수 없습니다.

생성자는 자동으로 Manage permissions를 받습니다. 한 관리자에게만 의존하지 않도록 적절한 다른 관리 담당자도 지정할 수 있습니다.

관리 권한과 구성원 자격은 별개입니다. 예를 들어 표지의 적용 및 관리 권한이 있어도 구성원이 아니라면, 표지를 적용하고 관리할 수는 있지만 그 표지로 보호한 데이터는 읽을 수 없습니다. 조직 접근 요건에는 별도의 Apply organization과 Expand access 권한이 적용됩니다.

표지 구성원 자격은 플랫폼 전역에서 해당 표지가 나타내는 데이터 종류에 대한 접근 자격으로 사용됩니다. 그러나 표지를 가진 모든 리소스를 자동으로 읽게 되지는 않습니다. 리소스 역할과 나머지 접근 요건이 계속 필요합니다. 표지 구성원이라고 다른 사용자에게 표지 접근을 부여할 수 있는 것도 아닙니다.

그룹에 표지 권한이나 자격을 부여하면 새 그룹 구성원도 이를 상속합니다.

기존 파이프라인에 표지 적용

표지를 적용하려면 해당 표지의 Apply marking과 대상 리소스의 Update Markings on resource 권한이 모두 필요합니다. 후자는 기본 Owner 역할에 포함됩니다.

표지는 하류 접근을 제한하므로 다음 순서로 영향을 준비합니다.

1. 적용할 표지가 존재하는지 확인하거나 생성합니다.
2. 파이프라인의 변경용 브랜치를 만듭니다. 일부 단계에서 민감 정보를 제거한 뒤 표지 전파를 중단해야 하는지 판단합니다.
3. Data Lineage에서 필요한 모든 노드를 펼치고 하류 영향을 확인합니다.
4. 각 단계의 트랜잭션 유형을 확인합니다. SNAPSHOT 결과는 최신 상류 트랜잭션에 의존하지만 APPEND의 최신 뷰에는 과거 상류 트랜잭션의 의존 관계가 남습니다. APPEND와 UPDATE는 이력을 포함해 별도로 검토합니다.
5. 열과 데이터 미리보기를 확인해 표지 상속을 중단할 지점을 정하고 시뮬레이션합니다.
6. 필요한 변환에서 민감 정보를 제거하고 stop_propagating을 추가합니다. 이 설정이 효력을 갖는 보호된 브랜치로 필요한 승인을 받아 병합합니다.
7. 전파 중단 변환과 그 하류를 모두 빌드합니다. 증분 트랜잭션이 있으면 표지 제거와 이력 영향을 함께 고려합니다.
8. 다시 시뮬레이션해 표지 전파가 중단되는 출력에 민감 열이 남아 있지 않은지, 보호할 데이터가 모두 표지를 받는지 확인합니다.
9. 준비가 끝나면 실제 리소스에 표지를 적용합니다.

예를 들어 가상의 승객 파이프라인에서 온톨로지용 passengers 출력은 생년월일 dob를 제거하고 stop_propagating을 적용할 수 있습니다. 그러면 원본에 붙인 PII 표지는 필요한 정제 단계까지 전파되고 승인한 경계에서 중단됩니다.

잘못 적용해 허용되어야 할 사용자를 차단한 경우에는 권한 있는 담당자가 직접 적용한 표지를 제거하면 그 표지의 전파도 즉시 중단됩니다. 보호 요건을 유지할 대안을 고려하면서 시뮬레이션을 다시 확인해 원인을 수정합니다.

직접 적용한 표지 제거

표지를 제거하려면 같은 표지의 적용 및 제거 권한과 대상 리소스의 표지를 변경할 역할이 필요합니다. 기본 역할에서는 Owner에 해당 권한이 있습니다.

파일, 폴더나 프로젝트에 직접 적용한 표지를 제거하면 그 표지를 상속하던 하류에서도 즉시 제거됩니다. 이 직접 제거 경로에는 하류 데이터셋을 다시 빌드할 필요가 없습니다.

상속한 표지의 전파 중단

상속한 표지의 제거는 제한 뷰와 데이터셋에서 지원합니다. 민감 내용을 제거하거나 적절히 가린 결과의 접근 범위를 넓히는 경우에 사용합니다. 하류에서는 표지가 사라지지만 원본을 읽으려면 여전히 그 표지 자격이 필요합니다.

제한 뷰는 편집 화면에서 해당 표지 옆 Stop Propagating을 선택합니다. 데이터셋은 변환 코드의 stop_propagating으로 구성합니다.

1. 전체 파이프라인에서 민감 정보를 제거할 지점을 정합니다.
2. 작업 브랜치를 만듭니다. 전파 중단은 보호되고 Require security approvals before merging이 활성화된 브랜치에서 효력을 갖습니다.
3. 변환에서 민감 정보를 제거하고 stop_propagating을 선언합니다.
4. 작업 브랜치를 빌드해 출력에서 민감 정보가 제거되었는지 확인합니다. 보호되지 않은 브랜치에서는 표지 상속 중단이 아직 적용되지 않습니다.
5. 필요한 승인을 받고 보호된 main 브랜치로 병합합니다.
6. 해당 변환과 하류를 모두 빌드해 최신 트랜잭션에 상속 중단을 반영합니다. APPEND 및 UPDATE의 과거 의존 관계도 검토합니다.

세부 변환 규약은 상속 보안 표지와 조직 요건 제거를 참조합니다.

표지를 상속한 위치 조사

표지는 파일 계층과 데이터 의존 관계를 모두 따라 상속할 수 있습니다. 파일을 선택한 뒤 오른쪽 리소스 패널의 Access 또는 Access requirements > Markings에서 표지를 확인합니다.

파일 계층에서 상속한 표지에는 폴더 보조 아이콘이 표시됩니다. 상위 폴더를 차례로 확인해 표지를 직접 적용한 위치를 찾습니다.

데이터 의존 관계에서 상속한 표지에는 Data Lineage 보조 아이콘이 표시됩니다. Data Lineage의 Legend > Permissions type: Data access in datasets를 선택하고 모든 상류 노드를 펼쳐 시작점을 추적합니다.

표지는 파일에 적용되지만 전파는 트랜잭션 의존 관계를 따라가므로, 계보만으로 정확한 도입 시점을 알기 어려울 수 있습니다. 데이터셋의 Compare 탭에서 브랜치와 시점별 트랜잭션을 비교합니다.

비교 도구 하단의 로직 및 보안 변경에서 새 입력이 PII 표지를 도입했는지, 입력 제거로 표지가 사라졌는지 확인할 수 있습니다.