DSPM 대 DLP: 차이점은 무엇이며, 둘 다 필요할까요?

보안 책임자들은 문제를 반만 해결해 주는 또 다른 도구가 필요하지 않습니다. 하지만 조직들이 데이터 보안 상태 관리 (DSPM)와 Data Loss Prevention (DLP)를 서로 대체 가능한 것으로 취급하거나, 더 나아가 한 가지가 다른 하나를 대체할 수 있다고 가정할 때 정확히 그런 일이 벌어집니다.

이러한 혼란은 충분히 이해할 수 있습니다. 두 기술 모두 민감한 데이터를 보호한다고 주장합니다. 두 공급업체 모두 해당 기술을 필수적인 것으로 홍보합니다. 또한 두 기술 모두 동일한 애널리스트 선정 후보 목록에 이름을 올리고 있습니다. 하지만 DSPM과 DLP는 데이터와 관련하여 근본적으로 다른 문제에 대한 해답을 제시하며, 각 기술이 어떤 영역에서 작동하는지 이해하는 것이야말로 보안 범위가 완벽한 프로그램과, 보안 침해가 발생할 만큼 큰 사각지대가 있는 프로그램의 차이를 결정짓습니다.

이 가이드에서는 각 기술이 어떤 역할을 하는지, 어떤 부분이 중복되는지, 그리고 무엇보다도 본인의 실제 위험 성향에 따라 어떤 투자부터 먼저 시작해야 할지 결정하는 방법을 상세히 설명합니다.

DSPM 및 DLP에 대한 사고 체계

기능 목록을 비교하기 전에, 공급업체와 무관한 기준을 바탕으로 논의를 전개하는 것이 도움이 됩니다. NIST 사이버보안 프레임워크(CSF) 2.0은 사이버보안을 ‘거버넌스(Govern)’, ‘식별(Identify)’, ‘보호(Protect)’, ‘탐지(Detect)’, ‘대응(Respond)’, ‘복구(Recover)’라는 여섯 가지 핵심 기능으로 분류합니다. DSPM과 DLP를 이러한 기능에 대조해 보면, 두 기술이 경쟁 관계가 아니라 상호 보완적인 관계인 이유가 명확해집니다.

DSPM은 주로 ‘관리(Govern)’ 및 ‘식별(Identify)’ 기능과 연계됩니다. ‘관리’ 기능은 사이버 보안 전략, 위험 허용 범위 및 감독 체계를 수립하며, 이는 해당 환경에서 ‘민감한’ 정보의 의미를 결정하는 조직적 맥락을 형성합니다. ‘식별’ 기능은 자산, 데이터 흐름 및 위험 현황을 파악하는 데 중점을 둡니다. DSPM은 이러한 기능들이 요구하는 다음과 같은 근본적인 질문들에 답을 제공합니다. 우리의 민감한 데이터는 어디에 있는가? 누가 이에 접근할 수 있는가? 그 접근 권한은 적절한가? 현재 우리가 직면한 위험은 무엇인가?

DLP는 주로 ‘보호(Protect)’ 및 ‘탐지(Detect)’ 기능에 해당합니다. ‘보호’ 기능은 민감한 데이터가 승인된 경로를 벗어나지 못하도록 방지하는 안전 장치를 구현합니다. ‘탐지’ 기능은 직원이 사회보장번호가 가득 담긴 스프레드시트를 개인 Gmail 계정으로 전달하는 것과 같은 사이버 보안 사고를 발생 시점이나 직후에 식별합니다. DLP는 작업이 이루어지는 지점에서 작동하며, 데이터가 허용되지 않은 곳으로 이동하는 것을 차단하는 정책을 적용합니다.

이 대조표를 통해 핵심적인 비대칭성이 드러납니다. DSPM은 사용자가 무엇을 보유하고 있으며 어디에서 위험에 노출되어 있는지 알려줍니다. DLP는 사용자가 파악하고 있는 정보가 외부로 유출되는 것을 방지합니다. 두 기능 모두 선택 사항이 아니지만, 어느 쪽에 먼저 투자할지는 현재 어떤 취약점이 더 큰 위험을 초래하고 있는지에 따라 결정됩니다.

DSPM이 실제로 수행하는 작업

데이터 보안 태세 관리(DSPM)는 클라우드, SaaS, 하이브리드 및 온프레미스 환경 전반에 걸친 위험을 파악하고 관리하기 위한 데이터 중심 접근 방식입니다. DSPM은 경계 보안을 강화하거나 엔드포인트를 모니터링하는 대신, 데이터 자체에 초점을 맞춥니다.

DSPM 플랫폼은 클라우드 스토리지 버킷, SaaS 애플리케이션, 데이터 웨어하우스, 파일 공유, 협업 플랫폼, 그리고 점점 더 많이 포함되고 있는 AI 훈련 파이프라인 등 민감한 데이터가 저장된 모든 위치를 지속적으로 탐지합니다. 그런 다음 해당 데이터를 민감도와 규제 관련성(PII, PHI, PCI, 지적 재산권)에 따라 분류하고, 누가 접근 권한을 가지고 있는지 및 그 접근이 적절한지 여부를 파악하며, 잘못 구성된 저장소, 지나치게 허용적인 공유 링크, 암호화되지 않은 저장소, 또는 의도하지 않은 위치에 저장된 데이터와 같은 보안 상태 위험을 파악합니다.

DSPM의 주요 기능으로는 모든 환경에 걸친 자동화된 데이터 탐색, 단순한 키워드 패턴 일치 대신 맥락을 이해하는 AI 기반 분류, 권한을 매핑하고 과도하거나 방치된 접근 권한을 식별하는 접근 거버넌스, 비즈니스 영향도에 따라 위험 노출을 우선순위화하는 위험 점수 산정, HIPAA, GDPR, PCI DSS, CCPA와 같은 프레임워크에 대한 규정 준수 매핑, 그리고 관리 대상 시스템 외부에서 생성되거나 저장된 정보를 찾아내는 섀도우 데이터 탐지 등이 있습니다.

DSPM은 정찰 계층입니다. 이 계층은 다른 모든 보안 통제 수단이 의존하는 데이터 환경 지도를 구축합니다. 이 계층이 없다면, 전체를 파악하지 못한 상태에서 정책을 시행하게 되는 셈입니다.

DLP의 실제 기능

Data Loss Prevention (DLP)Data Loss Prevention 민감한 데이터가 무단 접근자에 의해 전송, 공유 또는 열람되는 것을 방지하기 위해 고안된 정책 기반 강제 적용 Data Loss Prevention . DLP는 10년 넘게 기업 보안의 핵심 요소로 자리 잡아 왔으며, 그 이유는 데이터가 실제로 조직을 떠나는 ‘행동 시점’에서 작동하기 때문입니다.

DLP 플랫폼은 전송 중인 데이터(이메일, 웹 업로드, 클라우드 동기화, 메시징), 저장된 데이터(파일 서버, 데이터베이스, 엔드포인트), 사용 중인 데이터(클립보드 작업, 화면 캡처, 인쇄)를 모니터링합니다. 사전에 정의된 정책에 부합하는 콘텐츠(예: 발신 이메일 내 신용카드 번호, 승인되지 않은 클라우드 서비스로 업로드되는 소스 코드, USB 드라이브로 복사되는 환자 기록 등)를 감지하면, 해당 작업을 차단하거나, 파일을 격리하거나, 보안 팀에 알림을 보내거나, 사용자에게 정책 사항을 상기시켜 안내할 수 있습니다.

DLP의 주요 기능으로는 이메일, 웹, 엔드포인트 및 클라우드 채널 전반에 걸친 실시간 콘텐츠 검사, 규칙에 따라 데이터를 차단·격리·암호화하는 정책 적용, 사고로 이어지기 전에 위험 징후를 식별하는 사용자 행동 모니터링, 위반 사항을 조사하고 시정하기 위한 사고 관리 워크플로우, 데이터 처리 요건에 대한 규제 준수 이행, 그리고 클라우드 및 웹 트래픽 전반에 걸쳐 일관된 정책을 secure web gateway 위한 CASB 및 secure web gateway 통합 등이 있습니다.

DLP는 집행 계층입니다. DLP는 파악한 정보를 바탕으로 실시간으로 규칙을 적용하여 데이터 유출을 방지합니다. DLP의 한계는 이를 뒷받침하는 분류 및 정책 정의의 수준에 따라 그 효과가 좌우된다는 점인데, 바로 이 부분에서 DSPM이 그 공백을 메워줍니다.

DSPM 대 DLP: 기능 비교

이 표를 보면 두 솔루션 간의 관계가 명확해집니다. DSPM은 인텔리전스를 제공하고, DLP는 정책 집행을 담당합니다. DSPM 없이 DLP만 운영한다면, 완전히 파악하지 못한 데이터 환경에 대해 정책을 적용하는 꼴이 됩니다. 반대로 DLP 없이 DSPM만 운영한다면, 적극적으로 예방할 수 없는 위험 요소만 파악하게 될 뿐입니다.

시나리오: 의료 기관, DLP가 감지하지 못하는 것을 발견하다

리저널 메모리얼 헬스 시스템은 성숙한 단계의 DLP 시스템을 운영하고 있습니다. 이메일 DLP는 발신 메시지에서 PHI를 탐지하며, 엔드포인트 DLP는 환자 데이터의 USB 전송을 차단합니다. 이 기관의 규정 준수 팀은 data loss prevention 해결된 data loss prevention 간주하고 있습니다.

그런 다음 DSPM 배포가 Microsoft 365 환경을 처음으로 스캔합니다.

이 플랫폼은 18개월 전, 외부 보험 감사인과 진행한 단기 프로젝트를 위해 청구 담당자가 생성한 공유 OneDrive 폴더를 발견했습니다. 이 폴더에는 이름, 생년월일, 진단명, 보험 계약 번호가 포함된 환자 접수 양식 2,300건이 들어 있었습니다. 해당 폴더의 권한은 초기 협업 당시 ‘링크를 가진 모든 사람’으로 설정되어 있었습니다. 외부 감사인의 프로젝트는 1년 전에 종료되었으나, 링크는 한 번도 취소되지 않았습니다.

DLP는 이 노출 문제를 한 번도 감지하지 못했습니다. 해당 데이터는 모니터링되는 채널을 통해 전송되지 않았습니다. 아무도 이 파일들을 이메일로 보내거나 USB 드라이브에 다운로드하지 않았습니다. 데이터는 단순히 과도하게 공유된 클라우드 폴더에 저장되어 있었을 뿐인데, URL만 있으면 누구나 접근할 수 있었고, 보안 적용 계층에서는 전혀 감지되지 않았습니다.

DSPM은 해당 콘텐츠를 PHI로 분류하고, “링크를 가진 모든 사람” 권한을 중대한 정보 유출 사례로 표시했으며, 외부 접근이 1년 넘게 비활성 상태였음을 확인한 뒤, 공개 링크를 취소하고, 접근 권한을 청구 담당 팀으로 제한하며, HIPAA 기밀성 등급을 적용하라는 시정 권고안을 생성했습니다.

HIPAA의 적용을 받는 의료 기관의 경우, 이러한 수동적 노출은 능동적인 데이터 유출만큼이나 위험하며, 오히려 탐지하기가 더 어렵다고도 할 수 있습니다. 이 데이터는 DLP의 관점에서 볼 때 결코 ‘유실’된 적이 없습니다. 단지 DLP가 감시하지 않는 위치에 노출되었을 뿐입니다. DSPM의 탐지 및 접근 거버넌스 기능이 없었다면, 이 폴더는 무기한으로 공개된 상태로 남아 있었을 것이며, 이는 OCR 감사나 올바른 URL을 알고 있는 위협 행위자가 찾아오기만을 기다리는 규정 위반 사례가 되었을 것입니다.

시나리오: 금융 서비스 기업이 DSPM으로는 해결할 수 없는 과제를 안고 있다

메리디안 캐피털 파트너스는 자체 거래 데스크를 운영하고 있습니다. 이 회사의 지적 재산은 단순히 고객 데이터에 그치지 않고, 경쟁 우위를 확보해 주는 거래 알고리즘, 포지션 데이터, 시장 분석 등을 포함합니다. 전략 문서가 단 한 건만 유출되어도, 그 사실을 누군가 알아차리기 전에 이미 수백만 달러에 달하는 경쟁 우위를 잃게 될 수 있습니다.

이 회사의 보안 팀은 DSPM을 도입하여 귀중한 결과를 얻었습니다. IAM 권한이 지나치게 광범위하게 설정된 S3 버킷에 저장된 트레이딩 모델을 발견했고, 데이터 엔지니어링 팀이 현재는 중단된 분석 프로젝트를 위해 생성한 Snowflake 데이터 웨어하우스에서 포트폴리오 데이터의 사본을 찾아냈으며, 트레이딩 데스크뿐만 아니라 엔지니어링 조직 전체가 접근할 수 있는 포지션 요약 정보가 포함된 Confluence 페이지 3개를 확인했습니다.

DSPM은 이러한 모든 문제를 표면화합니다. 팀은 권한을 정상화하고, 오래된 데이터를 정리하며, 접근 권한을 강화합니다. 그 결과 보안 상태가 크게 개선됩니다.

하지만 DSPM은 그 다음에 일어나는 일에는 개입할 수 없습니다. 보상 문제로 좌절감을 느낀 한 신입 애널리스트가 현재 거래 포지션과 대기 중인 주문이 담긴 스프레드시트를 개인 이메일 계정으로 전달하기로 결정합니다. 해당 데이터는 적절히 분류되어 올바른 위치에 저장되어 있으며, 적절한 접근 권한이 부여되어 있습니다. 즉, 이 애널리스트는 합법적인 접근 권한을 가지고 있습니다. 보안 상태는 문제없습니다. DSPM이 경고할 만한 사항은 전혀 없습니다.

바로 이 점에서 DLP는 대체할 수 없는 역할을 합니다. 이메일 DLP 정책은 발신 메시지를 차단하고, 분류 태그와 콘텐츠 패턴을 바탕으로 해당 콘텐츠가 자사의 독점 거래 데이터임을 식별한 뒤, 전송을 차단하고 보안 운영 팀에 사고를 보고합니다. 또한 분석가의 상사에게도 알림이 전송됩니다. 이로 인해 데이터는 조직 외부로 유출되지 않습니다.

아무리 강력한 모니터링 체계를 갖추더라도, 정당한 접근 권한을 가진 의욕적인 내부자가 데이터를 유출하려는 시도를 막을 수는 없습니다. 이를 방지하려면 실제 행동이 일어나는 시점에서 실시간으로 조치를 취해야 하며, 이것이 바로 DLP가 구축된 목적입니다.

의사결정 프레임워크: 어디서부터 시작해야 할까

“둘 다 필요하다”는 대답은 사실이지만, 이번 분기에 한 가지 사업에만 예산을 할당할 수 있는 상황에서는 별 도움이 되지 않습니다. 현재 상황에 따라 우선순위를 정하는 방법은 다음과 같습니다.

조직에서 급속한 클라우드 마이그레이션을 거쳤지만, 민감한 데이터가 어디에 저장되어 있는지에 대한 최신의 포괄적인 현황 파악이 되어 있지 않다면 DSPM부터 시작하십시오. 감사 과정에서 규정 준수 팀이 “규제 대상 데이터가 모두 어디에 있으며 누가 이에 접근할 수 있는가?”라는 질문에 자신 있게 답할 수 없다면, DSPM은 다른 모든 조치의 기반이 되는 가시성 격차를 해소해 줍니다. 또한 AI 도입을 준비 중이라면 DSPM이 바로 적합한 출발점입니다. Microsoft Copilot이나 유사한 도구를 도입하기 전에 해당 도구가 어떤 데이터에 접근할 수 있는지 먼저 파악하지 않으면 위험이 증폭되는 문제가 발생하는데, 이는 오직 DSPM만이 파악할 수 있는 문제입니다.

데이터 환경에 대해 이미 어느 정도 파악하고 있지만, 외부 전송 경로에 대한 강제 통제 수단이 부족한 경우 DLP부터 시작하십시오. 내부자 위협, 이메일이나 메신저를 통한 우발적인 데이터 공유, 또는 데이터 전송에 대한 적극적인 통제를 의무화하는 규제 요건(예: 카드 소지자 데이터에 대한 PCI DSS 요건이나 거래 정보에 대한 SEC 규정)이 주된 우려 사항이라면, DLP는 당면한 통제 공백을 해결해 줍니다. 또한 최근 데이터 유출 사고를 경험했고, 전면적인 점검에 앞서 먼저 보안 허점을 차단해야 하는 경우에도 DLP는 적절한 출발점이 됩니다.

규제 대상 기업(금융 서비스, 의료, 정부 기관 등)의 경우, 보안 태세 격차와 규정 이행 격차 모두로 인해 규정 준수 위험이 발생하므로 두 가지 모두에 동시에 투자해야 합니다. 이러한 환경에서는 감사관이 “규제 대상 데이터가 어디에 있는지 알고 계십니까?”와 “데이터가 외부로 유출되는 것을 방지하기 위해 어떤 통제 수단을 마련해 두었습니까?”라는 두 가지 질문을 모두 던질 것이며, 귀사는 이 두 가지 질문에 모두 자신 있게 답변할 수 있어야 합니다.

통합 전략이 중요합니다. DSPM과 DLP가 서로 연결되지 않은 도구로 작동할 경우, 강제 적용을 수행할 수 없는 가시성 계층과 상황을 파악할 수 없는 강제 적용 계층이 생겨납니다. 가장 강력한 아키텍처는 DSPM의 지속적으로 업데이트되는 분류 및 위험 데이터를 DLP의 정책 엔진에 입력하여, 탐지 결과가 강제 적용에 반영되고 강제 적용 데이터가 보안 상태 평가에 다시 반영되는 폐쇄형 루프를 형성합니다. 두 가지 도구를 구매한 뒤 서로 연동되기를 기대하기보다는, 이러한 통합 기능을 기본적으로 제공하거나 잘 문서화된 API를 통해 지원하는 플랫폼을 찾아보십시오.