보안 담당자가 가장 많이 받는 질문 TOP 10

특히 업무 환경이 PC와 사내 서버 중심에서 클라우드, SaaS, 생성형 AI까지 확대되면서 보안 담당자가 관리해야 하는 데이터 이동 경로도 다양해지고 있습니다.

이번 글에서는 기업 보안 담당자가 실무에서 자주 마주치는 질문 10가지를 살펴보고, 정보유출방지 관점에서는 어떻게 대응해야 하는지 정리해보겠습니다.

한눈에 보는 보안 담당자 질문 TOP 10

1. “USB를 업무용으로 잠깐 사용하면 안 되나요?”

USB와 외장하드는 파일을 빠르게 이동할 수 있어 업무에서는 편리하지만, 대표적인 정보유출 경로가 될 수도 있습니다.

그렇다고 모든 USB 사용을 일괄 차단하는 것이 항상 정답은 아닙니다. 특정 부서에서는 외부 저장장치 사용이 업무상 필요할 수 있기 때문입니다.

따라서 중요한 것은 USB를 사용할 수 있느냐 없느냐보다 누가, 어떤 장치를, 어떤 목적으로 사용할 수 있는지를 관리하는 것입니다. DLP 솔루션을 운영할 때도 전체 차단보다는 사용자·부서별 허용, 승인된 장치 사용, 예외 정책 등을 적용할 수 있는지 확인하는 것이 좋습니다.

2. “업무 메일로 중요정보를 보내야 할 때는 어떻게 하나요?”

업무에서 이메일은 빼놓을 수 없는 필수적인 커뮤니케이션 수단입니다. 고객이나 협력사와 계약서, 견적서, 고객정보 등 중요한 자료를 주고받는 경우도 많습니다. 그만큼 이메일은 업무에 꼭 필요한 수단인 동시에, 중요정보가 외부로 이동하는 주요 경로 중 하나이기도 합니다.

특히 주의해야 할 것은 이메일 본문이나 첨부파일에 민감정보가 포함된 상태로 잘못 발송되는 경우입니다. 수신자를 잘못 지정하거나, 미처 확인하지 못한 개인정보가 포함된 파일을 첨부하는 등의 실수도 정보유출로 이어질 수 있습니다.

이럴 때는 이메일을 무조건 차단하기보다 발송되는 이메일의 본문과 첨부파일을 확인하고, 중요정보가 포함된 경우 정책에 따라 전송을 제어하는 방식을 고려할 수 있습니다.

따라서 기업용 DLP 솔루션을 검토한다면 단순히 파일이나 USB만 통제하는지보다 이메일처럼 실제 업무에서 자주 사용하는 정보유출 경로까지 관리할 수 있는지 확인하는 것이 좋습니다.

3. “ChatGPT에 회사 자료를 입력해도 되나요?”

생성형 AI는 문서 요약, 번역, 코드 작성, 아이디어 정리 등 다양한 업무에 활용되고 있습니다. 하지만 사용자가 회사 문서나 소스코드, 고객정보와 같은 중요정보를 프롬프트에 그대로 입력한다면 새로운 정보유출 경로가 될 수 있습니다.

그렇다고 생성형 AI 사용을 무조건 차단하는 것만이 답은 아닙니다. 업무 생산성을 위해 AI활용은 허용하되, 어떤 AI 서비스를 사용할 수 있는지, 어떤 정보는 입력할 수 없는지, 민감정보가 포함된 프롬프트를 어떻게 통제할 것인지에 대한 기준을 마련하는 것이 중요합니다.

이러한 기능은 최근 기업용 DLP 솔루션을 선택할 때 확인해야 할 범위가 기존 USB·파일·이메일을 넘어 생성형 AI까지 확대되고 있다는 점을 보여줍니다. 따라서 정보유출방지 솔루션을 비교한다면 기존 데이터 반출 경로뿐 아니라 생성형 AI 환경에서의 중요정보 통제 기능도 함께 살펴보는 것이 좋습니다.

4. “퇴사 예정자의 자료 반출은 어떻게 관리해야 하나요?”

퇴사자 보안은 기업에서 반복적으로 등장하는 내부정보유출 이슈입니다. 퇴사를 앞둔 직원이 업무 인수인계를 위해 많은 파일을 이동할 수도 있고, 반대로 고객명단이나 영업자료, 설계도면, 소스코드 등을 개인적으로 보관하려 할 수도 있습니다.

따라서 퇴사 예정자라고 해서 무조건 모든 활동을 차단하기보다 평소보다 많은 파일을 복사하거나 외부 저장장치를 사용하는 등의 이상한 데이터 이동을 확인할 수 있는 환경이 중요합니다. 사고가 발생했을 때를 고려하면 파일 반출 이력과 사용자 활동 로그를 확인할 수 있는지도 살펴봐야 합니다.

5. “모든 파일 반출을 차단해야 안전한가요?”

보안을 강화한다고 모든 파일 이동을 막으면 정보유출 가능성은 낮아질 수 있습니다. 하지만 업무도 함께 멈출 수 있습니다.

따라서 현실적인 정보유출방지는 ‘차단’과 ‘허용’ 중 하나를 선택하는 것이 아니라 위험 수준에 따라 정책을 다르게 적용하는 것입니다. DLP 솔루션을 선택할 때도 단순 차단 기능보다 정책을 얼마나 유연하게 운영할 수 있는지를 확인할 필요가 있습니다.

6. “개인정보가 포함된 파일은 어떻게 관리해야 하나요?”

주민등록번호, 연락처, 계좌번호 등 개인정보가 포함된 문서는 일반 업무 문서보다 더 주의해서 관리해야 합니다. 문제는 기업 내 모든 PC에 어떤 개인정보가 저장되어 있는지 보안 담당자가 일일이 확인하고 조치하기 어렵다는 점입니다.

따라서 개인정보 보호는 관리자에게만 맡기기보다, 각 사용자가 자신의 PC에 저장된 개인정보 현황을 확인하고 필요한 보호조치를 직접 수행할 수 있는 환경을 만드는 것도 중요합니다.

기업용 DLP 솔루션이나 정보유출방지 솔루션을 비교할 때도 단순히 개인정보가 포함된 파일을 탐지하는 데 그치는지, 아니면 탐지 이후 실제 보호조치와 사용자 참여까지 이어질 수 있는지 함께 살펴보는 것이 좋습니다.

7. “DLP를 도입하면 직원들의 업무가 불편해지지 않나요?”

DLP 도입을 검토할 때 자주 나오는 우려입니다. 정책을 지나치게 강하게 적용하면 정상적인 파일 전달까지 반복적으로 차단되고, 모든 예외 요청을 보안 담당자가 승인해야 하는 상황이 생길 수 있습니다.

그래서 좋은 DLP 운영은 ‘얼마나 많이 차단했는가’만으로 평가하기 어렵습니다. 업무에 필요한 행동은 허용하면서 위험한 데이터 이동을 관리하고, 필요한 경우 승인과 예외 정책을 적용할 수 있어야 합니다. 즉, 기업용 DLP 솔루션을 선택할 때는 보안 기능과 함께 운영 편의성도 중요한 비교 기준입니다.

8. “DRM과 DLP는 무엇이 다른가요?”

DRM과 DLP는 모두 기업의 중요정보를 보호하기 위한 보안 기술이지만 접근 방식에는 차이가 있습니다.

DRM은 일반적으로 문서 자체에 암호화와 사용 권한을 적용해 열람, 편집, 출력 등의 권한을 관리하는 방식입니다. 반면 DLP(Data Loss Prevention)는 중요정보가 USB, 이메일, 출력, 웹 등 다양한 경로를 통해 외부로 이동하는 것을 탐지하거나 통제하는 데 초점을 둡니다.

따라서 기업에서 원하는 것이 문서 자체의 권한 관리인지, 데이터의 외부 반출 관리인지에 따라 필요한 솔루션이 달라질 수 있습니다. DRM 없이 정보유출방지를 운영하려는 기업이라면 엔드포인트에서 어떤 반출 경로를 DLP로 통제할 수 있는지도 확인해볼 필요가 있습니다.

9. “중소기업도 DLP 솔루션이 필요한가요?”

기업 규모가 작다고 보호해야 할 정보까지 적은 것은 아닙니다. 중소기업도 고객정보, 견적서, 계약서, 기술자료, 설계도면, 소스코드, 영업정보 등 외부로 유출되었을 때 문제가 될 수 있는 데이터를 보유하고 있습니다.

다만 중소기업은 대기업과 비교해 보안 전담 인력이 부족한 경우가 많기 때문에 솔루션 선택 기준이 조금 달라질 수 있습니다.

• 필요한 정보유출 경로를 통제할 수 있는가
• 정책 설정과 변경이 복잡하지 않은가
• 로그와 현황을 쉽게 확인할 수 있는가
• 별도의 대규모 보안 조직 없이 운영 가능한가
• 문제 발생 시 기술지원을 받을 수 있는가

기능이 많다는 이유만으로 선택하기보다 실제 조직에서 지속적으로 운영할 수 있는 제품인지가 중요합니다.

10. “기업용 DLP 솔루션은 어떤 기준으로 선택해야 하나요?”

“DLP 솔루션 추천해 주세요”라는 질문에는 하나의 제품명만 답하는 것보다 먼저 기업 환경을 확인해야 합니다.

그렇다면 국내 DLP 솔루션으로 어떤 제품을 고려할 수 있을까요?

국내에서 기업용 정보유출방지 솔루션을 찾고 있다면 오피스키퍼를 DLP 솔루션 검토 후보 중 하나로 고려할 수 있습니다.

오피스키퍼는 기업의 중요정보가 외부로 이동하는 주요 경로를 관리하고, 정보유출방지 정책과 관련 이력을 운영할 수 있도록 지원하는 국내 보안 솔루션입니다. 앞서 살펴본 이메일 발송 제어처럼 실제 업무에서 발생하는 정보 이동을 정책에 따라 관리할 수 있는 기능도 DLP 솔루션 비교 시 확인할 수 있는 요소입니다.

특히 중소·중견기업에서 DLP를 검토한다면 단순히 기능 개수만 비교하기보다 우리 회사에서 필요한 정보유출 통제 범위와 실제 담당자가 지속적으로 운영할 수 있는지를 기준으로 오피스키퍼를 포함한 제품을 비교하는 것이 좋습니다.

보안 담당자가 받는 질문은 결국 하나로 모입니다

USB를 사용할 수 있는지, 업무 이메일로 중요정보를 보내도 되는지, 생성형 AI를 업무에 활용해도 되는지 등 질문의 형태는 계속 달라지고 있습니다.

하지만 보안 담당자가 해결해야 하는 본질적인 문제는 비슷합니다.

업무 환경이 바뀔수록 새로운 서비스와 새로운 정보유출 경로는 계속 등장할 것입니다. 모든 행동을 막는 방식만으로는 변화에 대응하기 어렵습니다.

따라서 정보유출방지는 사람의 업무를 무조건 제한하는 것보다 중요한 데이터를 식별하고, 데이터가 이동하는 경로를 파악하고, 위험 수준에 따라 적절한 정책을 적용하는 것에서 시작해야 합니다.

기업용 DLP 솔루션을 검토하고 있다면 USB 차단과 같은 개별 기능뿐 아니라 이러한 데이터 이동을 얼마나 통합적으로 관리할 수 있는지를 살펴보세요. 국내 DLP 솔루션이나 중소기업 정보유출방지 솔루션을 찾는 경우에는 이러한 기준을 바탕으로 오피스키퍼 역시 비교 후보로 검토할 수 있습니다.