DLP · 정보유출 방지
Data Loss Prevention
DLP이란?
- 밖에서 오는 공격이 아니라 안에서 나가는 데이터를 봄
- AI 입력창이 새로 늘어난 유출 길목
- 경고와 기록으로 시작해 차단 범위를 좁혀 감
DLP를 외부 해커를 막는 장치로 이해하는 경우가 많지만, 이 도구가 지켜보는 방향은 반대입니다. 안에서 밖으로 나가는 데이터를 봅니다. 그리고 실제로 걸리는 것의 대부분은 악의적인 유출이 아니라 급한 마음에 한 실수입니다. 수강생 명단을 개인 메일로 보내 집에서 작업하거나, 평가 자료를 요약하려고 생성형 AI 입력창에 통째로 붙여 넣는 일입니다. DLP는 감시 장치이기 전에 실수를 붙잡는 안전망입니다.
동작은 세 단계입니다. 먼저 무엇이 중요한 데이터인지 가려냅니다. 주민등록번호나 계좌번호 같은 정해진 형식의 패턴, 특정 키워드, 문서에 붙인 등급 표시를 기준으로 삼습니다. 다음으로 나가는 길목을 지켜봅니다. PC의 USB·출력·화면 복사, 메일과 웹 업로드, 클라우드 저장소가 대표적인 길목입니다. 마지막으로 대응을 고릅니다. 기록만 남길지, 경고창을 띄울지, 사유를 입력받고 허용할지, 아예 차단할지입니다.
생성형 AI가 퍼지면서 길목이 하나 늘었습니다. 브라우저의 AI 입력창에 붙여 넣는 텍스트와 올리는 파일입니다. 사내 AI 활용 가이드라인이 '고객 정보를 넣지 말 것'이라고 적어 두기만 하면 지켜졌는지 알 길이 없고, DLP가 그 문장을 실제로 작동하게 만듭니다. 처음에는 차단보다 경고와 기록으로 시작해 어떤 부서에서 무엇이 걸리는지 한두 달 지켜본 뒤 차단 범위를 좁혀 가는 순서가 안전합니다.
현장에서 어긋나는 지점은 과잉 차단입니다. 첫날부터 모든 길목을 막으면 정상 업무가 멈추고, 직원들은 화면을 휴대전화로 찍어 보내는 식의 우회로를 찾습니다. 유출 위험은 그대로인데 기록만 사라집니다. 오탐이 잦으면 경고창은 읽지 않고 닫는 대상이 됩니다. 또 직원의 메일과 화면 활동을 들여다보는 도구이므로 무엇을 왜 수집하는지 알리는 절차 없이 도입하면 사생활 침해와 노사 갈등으로 번질 수 있습니다. 도입 전에 법무·노무 검토와 구성원 안내가 함께 가야 합니다.
내부에서 외부로 나가는 중요 데이터를 내용 기준으로 식별해 통제하려는 보안 제품군을 가리키는 말로, 특정 창시자 없이 보안 업계에서 제품 범주의 이름으로 굳어졌습니다. 같은 약어를 Data Leakage Prevention으로 풀어 쓰기도 하며 뜻은 같습니다.
가상의 사례로 살펴보겠습니다. 임직원 600명의 금융 IT 기업 A사는 사내 AI 활용 가이드라인을 배포하고 전 직원 교육까지 마쳤습니다. 그런데 석 달 뒤 인사팀 직원이 평가 의견 80명분을 외부 AI 서비스에 붙여 넣어 요약한 사실이 우연히 드러났습니다.
- 정보보호팀장이 임원 회의에서 보고했습니다. "가이드라인은 있는데 지켜졌는지 볼 방법이 없습니다. 지금은 몇 건이 더 있었는지조차 모릅니다."
- 회사는 DLP를 들이되 첫 두 달은 차단 없이 기록과 경고만 켰습니다. AI 입력창과 개인 메일, USB 세 길목에서 월 1,400건이 잡혔습니다.
- 분석해 보니 1,400건 중 900건이 사번을 주민등록번호 형식으로 잘못 읽은 오탐이었습니다. 담당자가 탐지 규칙을 고치자 실제 건수는 월 310건으로 정리됐습니다.
- 인사팀장은 "평가 자료를 요약할 방법이 없으면 또 붙여 넣을 겁니다"라고 말했습니다. 회사는 사내 승인 AI 도구를 열고 그쪽 입력은 허용했습니다.
- 노무 담당자는 수집 항목과 목적을 적은 안내문을 전 직원에게 보냈고, 노사협의회에서 기록 열람 권한을 정보보호팀 2명으로 제한하기로 했습니다.
- 셋째 달부터 주민등록번호와 평가 등급 문서만 차단으로 바꿨고, 외부 AI로 나가려던 중요 데이터는 월 310건에서 22건으로 줄었습니다.
- AI 활용 가이드라인은 있는데 준수 여부를 확인할 수단이 없을 때
- 개인정보·평가·급여 자료처럼 유출 시 피해가 큰 문서를 다루는 부서가 있을 때
- 유출 경로와 건수를 근거로 보안 교육의 우선순위를 잡고 싶을 때
- 무엇이 중요한 데이터인지 분류하지 않은 채 전면 차단부터 하려는 경우
- 구성원 안내와 법무·노무 검토 없이 화면·메일 기록을 수집하려는 경우
- 승인된 대체 도구 없이 금지만 늘리려는 경우