[시큐리티 Q&A] DLP와 DRM 도입 우선순위는?

Q. DLP와 DRM 도입 우선순위를 둔다면, 어떤 솔루션부터 도입해야 하나요? 두 솔루션의 차이점 및 장단점은?

A-1. 자료유출 차단의 목적을 이루기 위해서는 두 솔루션을 적절히 혼합할 필요가 있지만 굳이 우선순위를 둔다면 DRM 솔루션을 우선적으로 도입해야 합니다. DRM(Digital Right management) 솔루션에 의해 문서 저장과 동시에 자동으로 문서 암호화가 수행되므로 복호화하지 않는 이상 외부로 무단 유출된다 하더라도 문서 읽기가 불가합니다. 하지만 문서파일이 아닌 이미지파일이나 DB접근툴로 다운받은 파일 등 문서형태가 아닌 파일의 경우 암호화하지 못하는 취약점도 존재합니다.

DRM 솔루션이 문서를 암호화해 외부로 유출되어도 읽을 수 없게 하는 방식인 반면, DLP(Data LossPrevention) 솔루션은 문서암호화는 적용치 않고 유출경로를 차단해 문서 외부유출을 통제하는 솔루션입니다. 다만, 유출 경로 자체가 보조기억매체, 출력물 매체 등 다양하고 신기술의 보조기억매체나 이미지 파일의 출력물 통제 시 기술적인 한계가 있어 DLP만으로 외부 유출을 완벽히 차단하는 것은 어렵습니다.

따라서 우선순위를 두고 도입해야 한다면 우선적으로 DRM을 선 도입하여 중요문서에 대한 암호화를 시행하고 DLP를 후 도입해 보조기억매체 및 출력물 형태의 유출을 2차적으로 차단하는 것이 효과적인 대안으로 판단됩니다.

(이재국 KB국민은행 정보보호부/jk.lee@kbfg.com)

A-2. DLP 솔루션의 경우 DRM과 달리 비즈니스상 어쩔 수 없이 외부로 문서나 데이터가 유출되면 보호가 사실상 어렵습니다. 반대로 DRM솔루션은 DLP처럼 보호해야 할 데이터가 어떤 데이터인지 구분할 수 없어 상호 연동이 됐을때 상호보완이 가능합니다.

(전승준 한국산업기술보호협회 관제운영팀 연구원/sjun@kaits.or.kr)

A-3. DRM은 사용자의 문서 생성, 편집, 열람, 전송 등 세부적인 정책에 관여해 문서가 유출되어도 활용되지 않도록 하는데 중점을 두지만, DLP는 문서 전송 차단에 중점을 둡니다. 각각의 솔루션은 기업 업무 및 서비스 특성을 고려해 우선순위를 판단하는 것이 필요합니다.

(강정훈 11번가/jhkang@sk.com)

A-4. 두 솔루션 모두 내부정보 유출방지를 위한 것으로, 목적은 같으나 보호방법이 다른 상호보완적인 관계이기 때문에 도입 우선순위를 논하기는 어렵습니다. DLP는 내부정보 유출방지를 위해 문서가 유통될 수 있는 경로인 이동드라이브, CD/RW, 통신 등을 자체적으로 차단하는 반면, 문서보안(DRM)은 보호 대상인 파일을 암호화하고 권한을 제어하는 방법을 사용합니다.

DLP의 경우 파일 유형이나 중요도와 상관없이 어떠한 파일이든 외부로 유출되는 행위를 차단하나, 허용된 권한에 따라서 외부로 기 유통된 파일에 대해서는 전혀 제어할 수 없습니다. 반면, 문서보안(DRM)은 보호 대상인 파일만을 암호화해 보호하지만, 이 문서가 이후 언제 어디로 이동되든 암호화된 상태이므로 안전하게 보호할 수 있습니다.

(조태희 소프트캠프 R&D 기획조정실 차장/thcho@softcamp.co.kr)

기업의 기업문화, 보안솔루션 적용 시 임직원의 마인드가 어떤지 중요합니다. 물론 마인드가 없다고 해서 하지 않을 것은 아니지만 기업의 자산 보호를 위해 우선 순위를 정해야한다면 고려해야 될 부분입니다. DLP를 하게 되면 PC에서 생산된 파일들은 어떤 경로로든 쉽게 전송이 가능합니다.

물론 보안 정책을 수립하기에 따라 메신저 차단, 메일차단, 웹하드 차단, USB 차단을 통해 기본적인통제는 가능할 수 있습니다. 하지만 업무상 허용을 해주는 경우 자료가 이미 외부로 유출된 이후에 사후추적성 확보 측면으로 보아야 할 것입니다. 그리고 업무도 DRM에 비해 덜 불편할 것입니다. DRM은 DLP에 비해 PC의 환경영향이 큰 것 같지만 생성된 문서가 즉시 암호화되기 때문에 DLP도입에 비해 훨씬 강도 높은 자료 보안이 될 것입니다. 하지만 오류 등의 이슈를 해결해야 될 부분들이 DLP에 비해 많기 때문에 운영이슈도 많은 고려가 필요합니다.

(민병현 한국CISSP협회/moongchiza@nate.co.kr)
[김경애 기자(boan3@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)