데이터 수명 주기 관리

데이터 수명 주기 관리

 

데이터에 대한 보호는 데이터 수명 주기 전체에 걸쳐 이루어져야 하듯이 저장 매체에 대한 보호도 저장 매체의 수명 주기 전체에 걸쳐 이루어져야 한다. 다시 말해, 저장 매체의 획득, 활용 및 취급, 보존 및 백업, 폐기로 구성되는 전체 단계에 걸쳐 적절한 보호 대책이 필요하다.

1. 저장 매체의 보호

① 저장 매체(Storage Media): 데이터를 저장하는 데 사용하는 전자적 및 물리적 매체
예) 자기 테이프, 디스켓, 자기 디스크(HDD/SDD), USB 카드, 광학 매체, 종이

② 매체 수명 주기(Media Life Cycle): 저장 매체의 획득(구입)하여 사용(유통) 및 보관하다가 최종적으로 폐기할 때까지 이르는 전체 과정

③ 저장 매체를 정확히 식별하고 올바로 사용하며 적절히 보호하려면 매체 수명 주기 전체 단계에서 매체를 추적하고 각 단계에 맞는 보호 조치를 해야 한다.

2. 획득(구입)

① 마킹(Marking): 저장 매체, 매체에 기록된 정보, 정보의 보안 등급 등을 식별할 수 있도록 매체에 관련 정보를 표시하는 행위로서 라벨링(labeling)이라고도 한다.
☞ 마킹 또는 라벨링의 결과물을 마크(mark) 또는 라벨(label)이라고 한다.
☞ 볼륨명, 소유자, 파일명, 생성일, 보존 기한, 보안 등급, 주제 분류 등을 포함한다.

② 외부 라벨(External Label): 매체에 사람이 읽을 수 있는 물리적 형태로 부착된 라벨이다.
☞ 마킹 방법으로 인해 저장 매체가 훼손되지 않도록 유의한다.
☞ 보안 등급은 출력물의 머리글 및 바닥글에 포함하거나 본문에 워터 마크로 표시한다.
☞ 보안 등급은 문서를 파일링하는 데 사용하는 폴더의 표지에도 표시한다.

③ 내부 라벨(Internal Label): 기계가 읽을 수 있도록 전자적 형태로 부착된 라벨이다.
☞ 자기 테이프의 라벨은 시작 부분에 부가하는 헤더와 끝 부분에 부가하는 트레일러로 구분하며 헤더에는 종종 사용자 인증 절차가 포함되기도 한다.
☞ 전자 파일에 부착되는 라벨은 DLP(데이터 손실 방지) 솔루션이 전자 문서의 보안 등급과 적용해야 할 보안 통제를 판단하는 기준이 된다.
☞ 민감한 파일을 접근 및 처리할 때 사용하는 컴퓨터의 바탕 화면에는 보안 등급과 취급 유의사항이 표시되게 할 수 있다.
④ 저장 매체의 보안 등급은 일반적으로 수명 주기 전체에 걸쳐 하향 조정하지 않는다.

3. 활용 및 취급

① 물리적 및 환경적 보안: 중요한 저장 매체의 보관 장소는 다음과 같이 보호한다.
물리적으로 안전한 장소에 보관하고 사용자 접근을 통제(식별, 인증, 로깅)해야 한다.
저장 매체 및 파일에 대한 접근과 처리를 추적할 수 있도록 로그를 작성한다.
습도, 먼지, 자기장, 정전기, 열, 화재 등으로 손상되지 않도록 환경 통제를 한다.
매우 중요한 매체는 화재, 침수, 충격에 강한 금고나 보관함(container)에 보관한다.

② 관리적 보안: 저장 매체의 취급과 관련하여 다음과 같은 인적 및 절차적 수단을 활용한다.
저장 매체의 수명 주기를 전체에 적용되는 보안 정책을 수립·이행한다.
알 필요성(Need to know)에 따라 최소한의 사람만 최소한의 내용만 접근한다.
직무 분리와 직무 순환을 적용하여 적절한 인식 교육과 훈련을 제공한다.
☞ 휴대용 저장 매체의 가장 큰 위협은 분실과 도난이므로 인식 교육이 중요하다.
휴대용 저장 매체를 사용하는 직원들은 이에 대한 인식 교육하고 적절히 암호화한다.

③ 데이터 암호화: 민감한 정보 노출을 예방하는 가장 효과적인 수단은 암호화다.
매체에 저장된 정보의 민감도에 비례하는 강력한 암호화 기법을 적용한다.
운영 체제가 제공하는 기능을 활용하여 파일 및 디스크 수준에서 암호화할 수 있다.
일부 저장 매체(예: USB 메모리 스틱)는 암호화와 생체 인식 기능을 제공한다.

4. 보존 및 백업

① 관련 법규 및 산업 표준에 따라 보존 정책(retention policy)을 수립·이행한다.
예) 세무 자료 및 법적 증거로 사용될 수 있는 계약서, 거래 증빙, 이메일
☞ 정보의 보존 여부 및 기간은 기본적으로 정보의 가치와 유용성에 근거한다.
② 중요한(Critical) 데이터는 백업 매체에 저장하여 오프사이트 저장소에 별도로 보관한다.
③ 장기 보관 시 매체가 환경 요인에 의해 손상되거나 기술적으로 노후화되지 않게 유의한다.
☞ 정기적으로 새로운 매체 또는 최신 기술이 적용된 매체로 옮겨 줄 수 있다.
④ 아카이빙(Archiving): 사용 빈도가 매우 낮은 데이터는 별도 매체에 저장하여 보존한다.

5. 폐기(Disposition)

① 보존 기간이 지났거나 더 이상 사용할 수 없는 손상된 매체는 적절히 폐기한다.
② 객체 재사용(Object Reuse) 통제: 저장 매체를 다른 업무를 위해 재할당(reassign)하거나 재사용할 때는 잔존 데이터(data remenance)가 없도록 조치해야 한다.
③ 가장 효과적인 매체 폐기 방법은 물리적 또는 화학적으로 파괴(destruction)하는 것이다.