DSPM이 GDPR, CCPA 및 HIPAA 규정 준수 준비를 어떻게 지원하는가

GDPR, CCPA 및 HIPAA 준수는 더 이상 특정 시점에 한 번씩 실시하는 감사 절차가 아니라, 지속적으로 유지해야 하는 운영상의 원칙입니다. 데이터 보안 상태 관리 (DSPM)는 조직이 규제 대상 데이터의 위치, 접근 권한이 있는 사용자, 그리고 데이터가 노출될 가능성을 지속적으로 파악할 수 있도록 지원합니다.

개인정보 보호, 보안 및 감사 대비를 담당하는 팀에게 있어 과제는 단순히 민감한 데이터를 한 번 찾아내는 데 그치지 않습니다. 클라우드 환경의 무분별한 확장, SaaS의 성장, 하이브리드 스토리지, 그리고 변화하는 접근 패턴에 발맞춰 나가는 것이 핵심 과제입니다. DSPM은 클라우드 저장소, SaaS 애플리케이션 및 하이브리드 환경 전반에 걸쳐 개인 데이터, 소비자 정보 및 보호 대상 건강 정보를 지속적으로 탐지함으로써 이를 지원합니다.

이는 규정 준수 준비 상태가 단순히 규제 대상 데이터가 어디에 존재하는지를 파악하는 것뿐만 아니라, 누가 해당 데이터에 접근할 수 있는지, 데이터가 어떻게 노출되어 있는지, 그리고 어떤 시정 조치를 우선적으로 취해야 하는지를 파악하는 데 달려 있기 때문입니다. 실제로 이는 정적인 목록 관리에서 벗어나, 최신 상태이며 타당성을 입증할 수 있는 증거를 확보하는 것으로 전환해야 함을 의미합니다.

2024년 10월 영국 정보위원회(ICO)가 새로운 데이터 보호 감사 체계를 도입하면서, 주요 데이터 보호 관행 전반에 걸쳐 평가 가능한 거버넌스, 문서화 및 통제 체계의 중요성이 다시 한번 강조되었습니다. GDPR, CCPA, HIPAA는 모두 단순한 정책적 의도를 넘어, 조직이 데이터 환경을 충분히 이해하여 이에 따라 조치를 취할 수 있도록 요구하고 있습니다.

규정 준수 준비에 있어 DSPM이 중요한 이유

팀이 다음과 같은 기본적인 질문에 신속하게 답하지 못하면 규제 준수 프로그램은 실패하게 됩니다. ‘우리가 보유한 규제 대상 데이터는 무엇인가?’, ‘어디에 저장되어 있는가?’, ‘누가 접근할 수 있는가?’, ‘과도하게 노출되어 있는가?’, ‘무엇을 가장 먼저 해결해야 하는가?’

DSPM은 바로 이러한 가시성 격차를 해소하기 위해 개발되었습니다. 이 솔루션은 주기적인 샘플링이나 수동 스프레드시트에 의존하지 않고, 민감한 데이터를 지속적으로 탐지하고 분류합니다. 또한 팀이 가장 중요한 분석 결과를 우선순위로 삼을 수 있도록 지원하므로, 규정 준수 업무가 추측에 의존하는 것이 아니라 실제 위험 노출 상황에 기반하여 수행될 수 있습니다.

145개국에서 발생한 31,000건 이상의 보안 사고와 22,000건의 확인된 정보 유출 사례를 분석한 버라이즌의 ‘2026년 데이터 유출 조사 보고서’에 따르면, 정보 유출 사고의 62%는 여전히 소셜 엔지니어링, 잘못된 구성, 인증 정보 오용, 오류 등 인적 요인이 관련되어 있는 것으로 나타났습니다. 그러나 2026년 데이터는 문제가 더욱 복합적으로 전개되고 있음을 보여준다. 이 보고서가 발간된 지 19년 만에 처음으로 취약점 악용이 자격 증명 도용을 제치고 가장 주요한 침해 진입 경로로 부상하여 전체 침해 사고의 31%를 차지한 반면, 제3자 공급망 침해는 60% 급증하여 현재 전체 침해 사고의 48%를 차지하고 있다. 한편, ‘섀도우 AI’(직원이 무단으로 생성형 AI 서비스를 사용하는 행위)는 단 1년 만에 전체 직원의 15%에서 45%로 3배 증가했으며, 67%는 회사 기기를 통해 비회사 계정으로 AI 도구에 접속하고 있는 것으로 나타났습니다. 이러한 추세들은 서로 독립적으로 발생하는 것이 아닙니다. 단 하나의 과도하게 노출된 파일이나 공유된 SaaS 저장소만으로도 취약점 악용 경로, 제3자 접근 위험, 그리고 승인되지 않은 AI 도구로 유입되는 모니터링되지 않은 데이터 흐름이 동시에 발생할 수 있으며, 이는 여러 규정 준수 프레임워크 전반에 걸쳐 개인정보 보호, 보안 및 거버넌스 문제를 한꺼번에 유발합니다.

DSPM이 GDPR 준비 상태와 어떻게 연계되는가

GDPR 준수 여부는 정확한 기록 관리, 처리 최소화, 접근 제어, 그리고 권리 행사 요청에 자신 있게 대응할 수 있는 능력에 달려 있습니다. DSPM은 조직이 클라우드 및 SaaS 시스템 전반에 걸쳐 개인 데이터를 파악하고, 과도하게 노출된 저장소를 식별하며, 데이터 목록을 최신 상태로 유지할 수 있도록 지원함으로써 이러한 목표를 뒷받침합니다.

GDPR 제30조는 조직이 처리 활동에 대한 기록을 유지하도록 요구하며, 자동화된 탐색 기능을 활용하면 수동 스프레드시트만 사용할 때보다 해당 기록을 더 정확하고 관리하기 쉽게 만들 수 있습니다. 제5조는 데이터 최소화를 핵심 원칙으로 규정하고 있으며, 제25조는 설계 및 기본 설정 단계에서의 데이터 보호를 요구합니다. DSPM은 민감한 데이터를 조기에 파악하고 불필요한 노출이 발생하는 부분을 파악함으로써 이 두 가지 원칙을 모두 지원합니다.

GDPR 프로그램의 경우, 우선순위가 높은 문제점으로는 대개 일반에 공개된 개인 데이터, 내부에서 과도하게 공유된 개인 데이터, 또는 문서화된 거버넌스 정책에 위배될 수 있는 방식으로 보관된 개인 데이터 등이 포함됩니다.

GDPR 대비에는 제17조에 따른 삭제권 지원도 포함됩니다. DSPM은 백업 및 공유 드라이브를 포함하여 클라우드 및 하이브리드 환경 전반에 걸쳐 개인 데이터의 모든 사본을 찾아낼 수 있도록 지원하므로, 팀이 보다 철저하고 일관성 있게 대응할 수 있습니다.

매년 수동으로 데이터 매핑 작업을 수행하는 조직들은 데이터가 클라우드 및 SaaS 환경 간에 이동함에 따라 재고 정보를 최신 상태로 유지하는 데 종종 어려움을 겪습니다. DSPM은 지속적으로 스캔하여 변경 사항이 발생하자마자 이를 파악함으로써 이러한 불일치를 줄이는 데 도움을 줍니다.

DSPM이 CCPA 준수를 어떻게 지원하는지

CCPA는 소비자에게 개인정보에 대한 열람, 삭제 및 정정 권리를 부여하며, 이를 실제로 이행하기 위해서는 조직이 해당 정보가 비즈니스 시스템 전반에 걸쳐 어디에 저장되어 있는지 파악해야 합니다. 캘리포니아주 법무부(DOJ)의 지침 또한 기업이 소비자별 및 범주별로 개인정보를 식별할 수 있어야 한다고 강조하고 있습니다.

DSPM은 다양한 저장소, 연동 서비스 및 협업 도구 전반에 걸쳐 소비자의 개인 정보를 파악하는 데 도움을 줍니다. 이를 통해 정보 열람 요청에 보다 정확하게 대응할 수 있으며, 팀이 소비자 데이터가 공유되거나 동기화된 위치를 파악할 수 있도록 지원하여 데이터 삭제 작업이 불완전하게 끝나는 상황을 방지할 수 있습니다.

CCPA 준수를 위해 팀들은 대개 과도하게 노출되거나, 연결된 시스템 전반에 광범위하게 공유되거나, 접근 및 삭제 워크플로우 과정에서 추적하기 어려운 소비자 개인정보를 우선순위로 삼습니다. 또한 CCPA가 민감한 개인정보를 다루는 방식은 추가적인 가시성 요구를 야기하는데, 이는 조직이 해당 데이터의 존재 여부뿐만 아니라 저장 위치와 접근 가능 범위를 파악해야 하기 때문입니다.

DSPM은 소비자 데이터가 어디에 저장되어 있는지, 그리고 연결된 저장소 및 서비스 전반에서 어디로 공유되었는지 파악하는 데 도움을 줄 수 있습니다. 이러한 가시성은 소비자 정보가 원래 목록에 포함되지 않았던 SaaS 플랫폼, 클라우드 스토리지, 백업 시스템 및 하이브리드 환경에 나타날 때 특히 중요합니다.

DSPM이 HIPAA 준수를 어떻게 지원하는가

HIPAA 적용 대상 기관 및 업무 협력사는 전자건강정보(ePHI)에 대한 위험 및 취약점에 대해 정확하고 철저한 위험 분석을 수행해야 합니다. HHS 보안 규칙은 이러한 요구 사항을 명확히 규정하고 있으며, 데이터가 클라우드 스토리지, 이메일, 협업 플랫폼, 개발 환경 및 백업 시스템 등에 분산되어 있을 경우 이를 충족하기가 더욱 어려워집니다.

DSPM은 팀이 기존의 자산 조사 프로세스에서는 종종 간과되는 곳에서 ePHI를 찾아낼 수 있도록 지원합니다. 협업 플랫폼, 이메일 첨부 파일, 백업 시스템 또는 개발 환경에 존재하는 ePHI를 파악함으로써, 보안 및 규정 준수 팀이 정보 유출 위험이 있는 부분을 더 명확히 파악할 수 있게 해줍니다.

HIPAA 준수를 위해 팀들은 대개 광범위하게 접근 가능하거나, 예상치 못한 저장소에 보관되어 있거나, 취약한 접근 제어 때문에 노출된 ePHI를 우선적으로 처리합니다. 또한 DSPM은 HIPAA 관련 위험 요소를 증가시킬 수 있는 과도한 접근 권한 및 위험한 공유 설정을 파악하는 데 도움을 줄 수 있습니다.

HHS는 2025년 1월 HIPAA 보안 규칙에 대한 대대적인 개정안을 제안하며, 전자 건강 정보(ePHI) 보호와 관련된 사이버 보안 관행 및 문서화에 대한 기대치가 높아지고 있음을 시사했습니다. 이에 따라 지속적인 가시성은 그 어느 때보다 중요해졌는데, 이는 조직들이 규제 대상 건강 데이터가 어디에 저장되어 있고 어떻게 보호되고 있는지 파악하고 있음을 입증할 증거가 필요하기 때문입니다.

DSPM 및 기타 보안 통제 조치

DSPM은 기존의 통제 수단을 대체하는 것이 아니라, 이러한 통제 수단의 정확성과 효율성을 높여주는 가시성 계층입니다.

기존 DLP는 무단 데이터 이동을 차단하는 데 탁월하지만, 정확한 데이터 컨텍스트가 필요합니다. CASB는 SaaS 사용 현황을 파악할 수 있게 해주지만, DSPM은 해당 애플리케이션 내부의 데이터와 구성 정보를 더욱 심층적으로 분석합니다. 포괄적인 SSE Security Service Edge ) 아키텍처의 일환으로, DSPM은 웹 게이트웨이, 제로 트러스트 액세스, 위협 방어 전반에 걸친 정책 결정에 필요한 정보를 제공함으로써, 기업 보안 팀이 정보에 기반한 의사결정을 내릴 수 있도록 지원하는 데이터 중심의 통찰력을 제공합니다.

따라서 DSPM은 DLP, CASB, SSE를 유용하게 보완해 줍니다. DSPM은 인식 계층을 제공하는 반면, 이러한 도구들은 정책 적용 기능을 담당합니다.

DSPM이 팀의 어떤 활동을 지원해야 하는가

실용적인 DSPM 프로그램은 팀이 다음과 같은 질문에 답할 수 있도록 도와야 합니다:

• 클라우드, SaaS, 협업, 백업 및 하이브리드 환경에서 규제 대상 데이터는 어디에 저장되나요?

• 누가 이용할 수 있나요?

• 어떤 저장소가 과도하게 노출되어 있나요?

• 어떤 조사 결과가 규정 준수 측면에서 가장 큰 영향을 미치나요?

• 어떤 시정 조치가 먼저 이루어져야 할까요?

기술적 접근 방식은 환경에 따라 다르지만, DSPM은 일반적으로 구조화 및 비구조화 저장소 전반에 걸쳐 탐색, 분류, 접근 맥락 분석을 결합합니다.

효과적인 DSPM 솔루션은 정확한 분류 기능을 제공할 뿐만 아니라, 조직별 데이터 유형과 워크플로를 지원할 수 있는 충분한 유연성을 갖추어야 합니다.

시정 조치의 우선순위를 정하는 방법

모든 조사 결과가 똑같이 시급한 것은 아닙니다. 팀은 규제적 영향, 노출 수준, 관련 데이터의 민감도 등을 고려하여 우선순위를 정해야 합니다.

GDPR 프로그램의 경우, 우선순위가 높은 문제점으로는 대개 일반에 공개된 개인 데이터, 내부에서 과도하게 공유된 개인 데이터, 또는 문서화된 거버넌스 정책에 위배될 수 있는 방식으로 보관된 개인 데이터 등이 포함됩니다.

CCPA 대비를 위해 팀들은 대개 과도하게 노출되었거나, 연결된 시스템 전반에 널리 공유되었거나, 접근 및 삭제 워크플로우 과정에서 추적하기 어려운 소비자 개인정보를 우선순위로 삼습니다.

HIPAA 대비를 위해 팀들은 대개 광범위하게 접근 가능하거나, 예상치 못한 저장소에 보관되어 있거나, 취약한 접근 통제 때문에 노출된 ePHI를 우선순위로 삼습니다.

정정 워크플로에는 지원되는 경우 자동화된 조치가 포함될 수 있으며, 검토를 위해 데이터 소유자 및 규정 준수 팀에 사안을 상신하는 절차도 포함될 수 있습니다.

지속적인 가시성이 중요한 이유

클라우드 환경은 변화 속도가 너무 빨라 연례 매핑 작업만으로는 신뢰성을 유지하기 어렵습니다. 새로운 SaaS 도구가 등장하고, 접근 권한이 변경되며, 복사본이 급증하고, 규제 대상 데이터는 사전 통보 없이 이동할 수 있습니다.

규제 대상 데이터가 초기 인벤토리에 포함되지 않은 위치에 존재할 경우, 규정 준수 노력은 더욱 어려워집니다. DSPM은 데이터를 지속적으로 탐지하고, 노출 위험을 강조하며, 환경 변화에 따라 팀에 최신 정보를 제공함으로써 이러한 위험을 줄이는 데 도움을 줍니다.

HIPAA 개정안이 제안되고, CCPA 규정 제정이 진행 중이며, 전 세계적으로 새로운 개인정보 보호법이 속속 등장하는 등 규제 환경이 지속적으로 변화하고 있는 만큼, 이는 특히 중요합니다.