파일 이름을 바꿔도, 중요한 문서라는 사실은 남아야 합니다

용어를 먼저 쉽게 풀어볼게요.

이 글에서는 민감도 레이블을 문서에 붙이는 명찰(보안 등급), DLP를 문서가 밖으로 나갈 때 확인하는 신호등에 빗대어 설명합니다. 실제 Microsoft 365 설정 화면에서는 각각 ‘민감도 레이블’과 ‘DLP’라는 이름으로 표시됩니다.

업무 파일의 이름은 생각보다 자주 바뀝니다.

인사 담당자가 9월 급여명세서.xlsx를 정리하다가, 폴더 이름에 맞춰 9월정산자료.xlsx로 바꿨다고 해보겠습니다.

파일 이름은 달라졌지만, 그 안에 들어 있는 내용까지 일반 자료가 된 것은 아닙니다.

앞 글에서는 파일 이름에 ‘급여’가 들어간 문서를 외부로 보낼 때 DLP가 노란불을 켜는 상황을 살펴봤습니다.

좋은 시작이지만, DLP가 파일 이름의 ‘급여’라는 단어만 보고 있었다면 이름이 바뀌는 순간 중요한 문서를 놓칠 수 있습니다.

파일 이름은 바뀌어도, 문서의 명찰은 남아야 합니다

파일 이름은 업무를 하다 보면 바꿀 수 있는 제목입니다.

반면 민감도 레이블은 문서에 붙이는 보안 등급, 쉽게 말해 ‘이 문서는 얼마나 조심해서 다뤄야 하는지’를 알려 주는 명찰입니다.

예를 들어 급여명세서에 인사급여라는 보안 등급을 붙일 수 있습니다.

같은 문서의 파일 이름을 바꾸더라도 그 레이블을 그대로 유지했다면, 문서는 여전히 ‘인사급여’ 등급 문서입니다.

파일명 규칙과 보안 등급 규칙은 무엇이 다를까요?

두 규칙은 같은 급여 문서를 보고도 기준이 다릅니다.

파일명 규칙은 이해하기 쉽고 바로 시작할 수 있습니다. 하지만 파일명은 사람이 언제든 바꿀 수 있습니다.

중요한 문서를 계속 같은 기준으로 관리하려면, 파일명이 아니라 문서에 붙어 있는 보안 등급을 기준으로 삼는 편이 더 안정적입니다.

명찰과 신호등을 연결합니다

민감도 레이블은 이 문서가 중요한 문서인지 알려 주는 명찰입니다.

DLP는 그 문서를 외부 메일로 보내려 할 때, 회사가 정한 규칙에 따라 노란불이나 빨간불을 켜는 신호등입니다.

회사는 이런 약속을 만들 수 있습니다.

“‘인사급여’ 등급 문서는 외부 메일로 보내기 전에, 받는 사람과 첨부파일을 다시 확인한다.”

이 약속을 DLP 규칙으로 연결하면, DLP는 파일 이름이 아니라 문서에 붙은 인사급여 등급을 보고 외부 발송 전에 안내하거나 차단할 수 있습니다.¹

즉, 9월급여명세서.xlsx든 9월정산자료.xlsx든, 같은 보안 등급이 유지된 문서라면 회사가 정한 신호등은 계속 작동합니다.

외부로 전달된 파일은 열 수 있을까요?

여기서 이런 궁금증이 생길 수 있습니다.

“메일이 실제로 회사 밖에 전달되면, 외부 수신자가 급여 파일을 열 수 있는 것 아닌가요?”

인사급여 레이블에 ‘회사 내부 사용자만 열람’이라는 암호화 권한까지 설정했다면, 외부 수신자는 메일을 받아도 첨부된 급여 파일을 열 수 없습니다.²

하지만 레이블이 보안 등급만 표시하고 암호화를 적용하지 않는다면, 레이블만으로 파일 열람이 제한되지는 않습니다.

즉, 외부 발송 전에는 DLP가 한 번 확인하고, 파일이 전달된 뒤에는 레이블에 설정된 암호화 권한이 누가 열 수 있는지 다시 확인합니다. 두 번째 확인은 레이블에 암호화 권한을 설정했을 때만 작동합니다.

DLP를 적용하면 무엇이 달라질까요?

DLP의 효과는 ‘모든 문서를 알아서 지켜 준다’는 데 있지 않습니다.

회사가 정한 조건에 맞는 행동을, 같은 기준으로 계속 확인한다는 데 있습니다.

다만 효과를 내려면 세 가지 기준이 먼저 분명해야 합니다.

1. 어떤 문서에 어떤 보안 등급을 붙일 것인가
2. 어떤 상황을 외부 발송으로 판단할 것인가
3. 그 상황에서 안내할 것인가, 차단할 것인가

보호 대상과 실제 업무 경로를 정기적으로 점검해야 DLP의 효과를 계속 유지할 수 있습니다.

보안은 경고와 차단에서 끝나지 않습니다

DLP 규칙에 해당하는 활동이 발생하면, 어떤 규칙이 작동했고 어떤 조치가 적용됐는지 기록으로 확인할 수 있습니다.³

직원에게는 중요한 문서를 외부로 보내기 전에 한 번 더 확인하게 하는 기준이 됩니다. 관련 활동이 기록될 수 있다는 사실을 알고 있기 때문에, 회사의 보안 약속을 가볍게 넘기지 않도록 돕는 효과도 있습니다.

관리자는 기록을 살펴보며 경고가 너무 자주 발생하는지, 같은 경고가 반복되는 업무가 있는지, 보안 기준을 더 보완해야 하는지 점검할 수 있습니다.

이 기록의 목적은 직원을 감시하는 것이 아닙니다. 회사가 정한 문서 취급 기준을 투명하게 알리고, 그 기준이 실제 업무에서 제대로 작동하는지 확인하는 데 있습니다.

다만 모든 사용자 활동이 무조건 기록되는 것은 아닙니다. DLP가 확인하도록 설정한 범위와 조건을 중심으로 기록되며, 알림 생성 여부와 조회 범위·보관 기간은 라이선스, 권한, 설정에 따라 달라질 수 있습니다.

처음에는 ‘인사급여’ 하나로 시작합니다

처음부터 회사의 모든 문서를 분류할 필요는 없습니다.

가장 먼저 외부로 나가면 곤란한 문서 한 종류를 고르면 됩니다. 이번 사례라면 급여명세서입니다.

진행 순서도 어렵지 않습니다.

1. 인사·총무 부서가 어떤 급여 문서를 조심해야 하는지 정합니다.
2. IT 담당자가 인사급여 보안 등급과 외부 메일 확인 규칙을 연결합니다.
3. 처음에는 노란불로 안내하고, 실제 업무에서 어떤 메일에 경고가 나타나는지 확인합니다.

업무에 필요한 발송에도 경고가 너무 자주 나타나면 예외 기준을 다듬습니다. 반대로 반드시 막아야 할 상황이 확인되면 그때 빨간불을 검토할 수 있습니다.

중요한 문서가 빠지지 않도록 적용 기준이 필요합니다

민감도 레이블은 모든 문서에 저절로 붙는 표지가 아닙니다.

이 글에서 설명한 규칙을 같은 기준으로 적용하려면, 중요한 급여 문서에 인사급여 등급을 붙이는 업무 절차가 함께 마련되어야 합니다.

그래서 처음에는 대상 문서를 좁게 정하고, 직원이 바로 이해할 수 있는 이름을 사용하는 것이 중요합니다.

인사급여처럼 현업이 의미를 바로 아는 명찰 하나로 시작하는 이유입니다.

보안 기준은 현업과 IT가 함께 정합니다

급여 문서가 왜 중요하고, 어떤 외부 발송은 업무상 필요한지 인사·총무 부서가 더 잘 압니다.

IT 담당자는 그 업무 기준을 Microsoft 365의 보안 등급과 DLP 규칙으로 연결합니다.

좋은 문서 보안은 복잡한 설정 화면보다 이 질문에서 시작합니다.

“이 문서가 외부에 나가면 우리 회사에 어떤 문제가 생길까?”

현업과 IT가 이 질문에 함께 답해야 업무를 불필요하게 막지 않는 규칙을 만들 수 있습니다.

오늘은 이것만 기억해 주세요

파일 이름은 바뀔 수 있지만, 중요한 문서라는 기준은 남아 있어야 합니다.

민감도 레이블은 문서에 그 기준을 붙이는 명찰이고, DLP는 그 명찰이 붙은 문서가 외부로 움직일 때 신호등을 켜는 기능입니다.

중요 문서에는 명찰을 붙이고, 외부 이동에는 신호등을 켜며, 그 결과는 기록으로 점검합니다.

다음 글에서는 파일을 밖으로 보내는 또 다른 길, 공유 링크를 만들 때 회사가 무엇을 확인해야 하는지 살펴보겠습니다.

우리 회사 문서의 보안 등급과 외부 발송 규칙을 어디서부터 정해야 할지 고민되시나요?

카이온아이티가 현업의 업무 흐름을 이해한 뒤, 중요한 문서를 구분하고 DLP 규칙으로 연결하는 첫 기준부터 함께 살펴봅니다.

Microsoft 365 문서 보안 상담하기

참고 자료

1. Use sensitivity labels as conditions in DLP policies — Microsoft Learn
2. Manage sensitivity labels in Office apps — Microsoft Learn
3. Learn about data loss prevention — Microsoft Learn