중요 문서를 보내기 전, ‘잠깐’이라고 알려줄 수 있을까요? Microsoft Purview DLP
중요 문서를 외부로 보내기 전 한 번 더 확인하게 하는 Microsoft Purview DLP를, 회사가 정한 약속에 따라 움직이는 신호등으로 쉽게 설명합니다.
월말입니다.
인사 담당자가 메일에 9월 급여명세서.xlsx를 첨부하고, 외부 수신자에게 보내기 버튼을 누르려 합니다.
잠깐, 급여명세서는 정말 외부로 보내도 되는 문서일까요?
받는 사람을 잘못 고른 것은 아닐까요?
이런 실수는 누구에게나 일어날 수 있습니다. 그래서 중요한 문서를 보낼 때, 사람이 한 번 더 확인하도록 알려 주는 장치가 있으면 좋습니다.
DLP는 회사가 정한 약속으로 움직입니다
Microsoft Purview의 DLP는 ‘Data Loss Prevention’, 우리말로는 자료 유출 방지 기능입니다.
DLP는 메일, 파일 공유, USB처럼 문서가 움직이는 여러 상황에서 활용할 수 있습니다. 오늘은 그중 가장 익숙한 외부 메일 발송 하나만 살펴보겠습니다.
하지만 DLP가 문서를 혼자 보고 “이건 중요한 자료네”라고 판단하는 것은 아닙니다.
먼저 회사가 약속을 정해야 합니다.
“파일 이름에 ‘급여’가 들어간 문서는 외부 메일로 보내기 전에 한 번 더 확인한다.”
이 약속을 DLP 규칙으로 만들면, 그 조건을 만난 메일에만 신호등이 켜집니다.1
‘잠깐, 다시 확인하세요’라는 노란불
앞의 규칙을 정했다면, 급여 관련 파일을 외부로 보내려 할 때 이런 안내를 보여 줄 수 있습니다.
“잠깐, 회사가 정한 중요 문서를 외부로 보내려 합니다. 받는 사람과 첨부파일을 다시 확인하세요.”
바로 이것이 DLP의 노란불입니다.
모든 메일을 막자는 뜻은 아닙니다. 평소 업무는 그대로 진행하되, 회사가 조심하자고 정한 문서가 회사 밖으로 나가려는 순간에만 한 번 멈추게 하는 것입니다.
신호등이 켜지는 데는 세 가지가 필요합니다
DLP를 어렵게 생각할 필요는 없습니다. 회사가 아래 세 가지만 정하면 됩니다.
| 회사가 정할 것 | 급여명세서 예시 |
|---|---|
| 무엇을 조심할까요? | 파일 이름에 ‘급여’가 들어간 문서, 또는 ‘인사급여’ 보안 등급이 붙은 문서 |
| 언제 확인할까요? | 회사 밖 메일 주소로 보내려 할 때 |
| 어떻게 할까요? | 다시 확인하라고 알리기, 또는 외부 발송 멈추기 |
이 세 가지가 만나야 신호등이 켜집니다.
그래서 DLP는 모든 문서를 똑같이 막는 기능이 아닙니다. 회사가 정한 문서가, 회사가 정한 경로로 나가려 할 때, 회사가 정한 방식으로 반응하는 기능입니다.
처음에는 한 가지 약속이면 충분합니다
처음부터 모든 문서와 모든 경로를 막으려고 하면 업무가 불편해질 수 있습니다.
처음에는 이렇게 한 가지 약속부터 시작해도 좋습니다.
“급여 관련 문서는 외부 메일로 보낼 때, 한 번 더 확인한다.”
직원들이 경고를 보고 어떤 상황에서 멈추는지 살펴본 뒤, 고객 명단·계약서처럼 다른 중요한 문서로 범위를 넓혀 가면 됩니다.
파일 이름만으로 충분할까요?
파일 이름의 ‘급여’라는 단어는 실수를 줄이는 좋은 시작점입니다.
하지만 파일 이름은 바꿀 수 있습니다. 9월정산.xlsx처럼 이름을 바꾸면 단어 조건만으로는 놓칠 수 있습니다.
그래서 회사가 문서 보안을 더 단단하게 운영하려면, 앞선 글에서 살펴본 ‘인사급여’ 같은 보안 등급표도 함께 쓰는 편이 좋습니다. 파일 이름이 아니라 문서의 중요도를 기준으로 같은 약속을 적용할 수 있기 때문입니다.2
DLP가 대신 정해 주지는 않습니다
DLP는 회사의 약속을 지키도록 도울 수 있지만, 무엇이 중요한 문서인지는 대신 정해 주지 않습니다.
또 메일이 이미 정상적으로 발송된 뒤에 내용을 되돌리는 기능도 아닙니다. 보내기 전 또는 보내려는 순간에 한 번 더 확인하게 하는 장치에 가깝습니다.
그래서 먼저 경영진·인사·IT 담당자가 함께 “우리 회사에서 외부로 나가면 곤란한 문서는 무엇인가”를 정하는 일이 필요합니다.
오늘은 이것만 기억해 주세요
DLP는 회사가 정한 약속으로 움직이는 신호등입니다.
중요 문서가 밖으로 나가려 할 때, “잠깐, 다시 확인하세요”라고 알려 줍니다.
문서를 막는 것이 목적은 아닙니다. 필요한 업무는 계속하면서, 회사가 조심하자고 정한 순간만 놓치지 않는 것이 목적입니다.
다음 글에서는 ‘인사급여’ 같은 보안 등급표와 DLP 신호등을 함께 쓰는 방법을 살펴보겠습니다.
이후에는 공유 링크, USB·인쇄처럼 문서가 회사 밖으로 움직이는 다른 상황도 하나씩 이어가겠습니다.
우리 회사에서 외부 발송 전 한 번 더 확인해야 하는 문서는 무엇인지 고민되시나요?
카이온아이티가 업무 흐름을 불필요하게 막지 않으면서, 문서 보안 규칙을 정하는 첫 기준부터 함께 살펴봅니다.
참고 자료
- Data Loss Prevention policy reference — Microsoft Learn
- Use sensitivity labels as conditions in DLP policies — Microsoft Learn