영국 정부에 따르면 영국 기업 10곳 중 4곳(43%)과 자선 단체 10곳 중 3곳(30%)이 지난 12개월 동안 사이버 보안 침해 또는 공격을 경험했다고 보고했습니다. 사이버 보안 침해 조사 2025이는 영국에서 실시된 설문조사이지만, 요점은 다른 지역에도 적용됩니다. 대부분의 직원은 자신이 언급할 수 없는 정보를 보호할 수 없으며, "이 스프레드시트는 내부용인가, 아니면 기밀용인가?"라는 질문은 누군가가 공격을 받기 훨씬 전에 제기됩니다.
이 글에서는 대부분의 조직에서 사용하는 4가지 데이터 분류 수준(공개, 내부, 기밀, 제한)을 소개합니다. 각 수준에는 5가지 예시와 처리 규칙이 포함되어 있습니다. 또한, 이러한 분류 체계가 두 가지 공식 체계와 어떻게 연관되는지 보여주어, 어떤 것이 관례이고 어떤 것이 표준인지 구분할 수 있도록 돕습니다.
데이터 분류란 무엇인가
데이터 분류는 정보를 어떻게 처리해야 하는지 알려주는 레이블입니다. 이 레이블은 문서, 파일 또는 데이터 세트에 붙어 있으며, 누가 해당 정보를 볼 수 있는지, 어떻게 전송할 수 있는지, 어떻게 저장해야 하는지 등의 규칙을 가리킵니다.
모든 조직에 단일한 정책 수준 목록이 요구되는 것은 아닙니다. 아래 4가지 수준은 일반적인 정책 수립 방식일 뿐, NIST나 정부 기관에서 정의한 표준은 아닙니다. 여러분의 정책은 3단계, 5단계 또는 다른 명칭을 사용할 수 있으며, 데이터 소유자가 적절한 명칭을 결정합니다. 아래 예시는 일반적인 내용이므로 교육 시에는 여러분의 문서를 활용하여 진행하십시오.
1라운드: 일반 공개 (5개 예시)
공개 정보는 누구나 볼 수 있도록 만들어진 것입니다. 조직 외부와 정보를 공유하는 것은 아무런 해를 끼치지 않습니다.
처리 규칙: 공유에는 제한이 없지만, 소유자만 게시할 수 있으며, 정보는 정확하게 유지됩니다.
- 보도자료가 발표되었습니다.
- 구인 광고.
- 제품 브로셔.
- 공개 blog 말한다.
- 웹사이트에 게시된 가격입니다.
우리의 선택: 구인 광고. 인사부에서 나온 문서라서 민감한 내용으로 취급하는 경우가 많지만, 원래는 모르는 사람들이 읽도록 작성된 것이므로 공개 문서라고 볼 수 있습니다.
2라운드: 내부 사례 (5개)
내부 정보는 조직 구성원만을 위한 것입니다. 비밀은 아니지만 외부인에게 공개되어서는 안 됩니다.
처리 규칙: 직원 전용 정보이며, 회사 시스템 내부에 보관되고 소유주의 승인 없이는 외부로 공유되지 않습니다.
- 직원 명단.
- 사내 뉴스레터.
- 회의록.
- 정책 문서.
- 프로젝트 계획서.
추천 항목: 회의록. 겉보기에는 무해해 보이지만, 고객, 가격 또는 담당자의 이름이 적혀 있는 경우가 많습니다. 공급업체에 전달하기 전에 내용을 확인하십시오.
3라운드: 기밀 (5가지 예시)
기밀 정보가 잘못된 사람에게 유출될 경우 고객 손실, 법적 책임 발생 또는 협상력 약화와 같은 실질적인 피해를 초래할 수 있습니다.
처리 규칙: 필요한 정보만 암호화하여 전송하고, 개인 이메일이 아닌 승인된 도구를 통해 공유합니다.
- 고객 목록.
- 서명된 계약서.
- 재무 전망.
- 성과 평가.
- 공급업체 가격.
저희가 선택한 것은 고객 목록입니다. 내보내기도 쉽고 이메일에 붙여넣기도 쉽습니다. 하지만 단 한 번의 실수로 경쟁업체에 전체 고객 정보를 넘겨줄 수도 있습니다.
4라운드: 제한됨 (5개 예시)
제한됨은 가장 엄격한 등급입니다. 정보 유출은 조직이나 개인에게 심각한 피해를 줄 수 있으므로, 접근 권한은 지정된 담당자에게만 부여됩니다.
처리 규칙: 지정된 사람만 접근 가능하며, 강력한 보안 제어가 적용되고, 접근 기록이 저장됩니다.
- 비밀번호와 키.
- 결제 카드 정보.
- 건강 기록.
- 재무 결과는 아직 공개되지 않았습니다.
- 보안 사고 상세 정보.
저희가 추천하는 방법은 공유 문서에 자격 증명을 저장하는 것입니다. 대부분의 사람들은 팀 내에서 이러한 실수를 저지른 경험이 있을 것입니다. 공유 시트에 암호를 설정하는 것은 제한된 데이터를 내부용처럼 저장하는 것과 같습니다.
각 단계가 공식적인 체계에 어떻게 대응하는가
4단계는 관례적인 것이므로 공식적인 체계 중 어느 것도 이 단계와 일대일로 일치하지 않습니다. 표는 가장 근접한 대응 관계를 보여줍니다. 이 대응 관계는 근사치로 간주하십시오.
| 공통 4단계 | NIST FIPS 199 (미국 연방 시스템) | 영국 정부 보안 등급 |
|---|---|---|
| 공공 영역 | 기밀 유지 의무는 적용되지 않습니다. | 영국 정부 정보 분류 체계는 정부 정보를 기밀로 분류하므로 해당되지 않습니다. |
| 내부의 | 영향이 적음, 대략 | 공식적인, 대략 |
| 기밀 | 중간 정도의 영향, 대략 | -SENSITIVE 표시가 있는 공식 문서, 대략 |
| 한정된 | 높은 영향, 대략 | 비밀 및 극비, 대략 |
FIPS 199 네 가지 수준을 정의하는 것이 아니라, 기밀성, 무결성 또는 가용성 손실로 인해 발생할 수 있는 피해의 정도를 기준으로 연방 정보 및 정보 시스템에 대한 잠재적 영향 수준을 낮음, 중간, 높음의 세 가지로 정의합니다.NIST FIPS 199경미한 부작용은 낮음, 심각한 부작용은 중간 정도, 심각하거나 치명적인 부작용은 높음으로 분류됩니다.
The 영국 정부 보안 등급 분류 정책 정부 정보 등급은 공식(OFFICIAL), 비밀(SECRET), 극비(TOP SECRET)의 세 단계로 나뉩니다. GOV.UK 페이지는 2024년 8월 5일에 마지막으로 업데이트되었습니다. 공식 등급은 대부분의 정부 정보를 포함하며, "-민감(SENSITIVE)"은 공식 등급 정보 중 유출될 경우 더 큰 피해를 초래할 수 있는 정보에 추가되는 표시입니다. 이 정책은 법적 의무 사항이 아니라고 명시하고 있습니다.GOV.UK: 정부 보안 등급 분류).
미국 국립문서보관소는 또한 통제되지 않은 기밀 정보(CUI) 목록을 보관하고 있습니다. 이는 중요 기반 시설, 국방, 금융 등 주제별로 분류된 범주 목록이며, 등급 체계는 아닙니다.나라 쿠이 레지스트리만약 귀 기관이 미국 정부 정보를 다루는 경우, 계약서를 검토하여 어떤 범주가 적용되는지 확인하십시오.
라벨링 및 취급
라벨은 사람들이 같은 방식으로 적용할 때만 효과가 있습니다. 일관성을 유지하는 데 도움이 되는 네 가지 습관이 있습니다.
- 생성 시 레이블 지정. 파일 내용이 무엇인지 가장 잘 아는 사람은 작성자이므로, 저장할 때 내용을 표시해 달라고 요청하세요.
- 확실하지 않을 때는 더 높은 수준을 사용하십시오. 파일을 기밀로 취급하는 데는 약간의 시간이 소요됩니다. 하지만 기밀 데이터를 내부용으로 취급하면 고객에게 손해를 끼칠 수 있습니다.
- 소유자 없이 절대 다운그레이드하지 마세요. 정책에 따라 데이터 소유자만이 라벨을 낮출 수 있습니다.
- 민감도가 변하면 재분류하십시오. 예측 결과는 발표 전까지는 기밀이며, 발표 후에는 공개될 수 있습니다.
이러한 습관은 중요합니다. 왜냐하면 데이터 유출은 흔히 발생하기 때문입니다. 위의 설문조사에 따르면 영국 기업의 43%가 지난 1년 동안 데이터 유출 사고를 경험했다고 보고했으며, 라벨이 없는 파일은 아무도 보호해야 할 대상인지 몰랐던 파일입니다. 공격의 인적 측면에 대해서는 관련 게시물을 참조하세요. 사회공학 사례.
분류 퀴즈를 진행하는 방법 AhaSlides
20분 수업 한 번에 4단계를 모두 가르칠 수 있습니다. 학생들이 직접 대답하기 때문에 정책 PDF보다 규칙이 더 잘 기억됩니다. 위 예시들을 참고하여 각 슬라이드를 구성하세요.
- 답변 선택: "이 문서는 어떤 수준인가요?" 각 단계별 예시를 보여주고, 순위표를 추가하고, 정답을 맞춘 사람에게 점수를 부여하세요.
- 단어 구름: "귀사에서 다루는 가장 민감한 정보는 무엇입니까?" 이 질문에 대한 답변을 통해 귀사 팀 중 어떤 팀이 매일 기밀 또는 제한 데이터에 접근하는지 알 수 있습니다.
- 평가 척도: "파일에 라벨을 붙이는 데 얼마나 자신 있으십니까?" 1부터 5까지 점수를 매기고, 점수가 낮은 사람들에게 후속 조치를 취하십시오.
- 기한 제한 없음, 익명: "보안팀에 어떤 질문을 하고 싶으신가요?" 사람들은 차마 입 밖으로 꺼내지 못할 질문들을 하곤 합니다.
더 다양한 실행 방법을 찾고 계신가요? 다음을 참조하세요. 사이버 보안 인식 교육, IT 보안 및 피싱 현황 점검 Slack AI 문서화 및 개인정보 보호 교육데이터 분류 및 처리 과정 템플릿은 바로 수정하여 사용할 수 있는 슬라이드를 제공합니다.
자주하는 질문
데이터 분류의 4단계는 무엇인가요?
공개, 내부, 기밀 및 제한됨은 가장 일반적인 체계이지만, 각 조직은 자체적인 체계를 설정합니다. 공개는 누구와도 공유할 수 있고, 내부는 조직 내부에서만 사용되며, 기밀은 필요한 사람만 알 수 있고, 제한됨은 지정된 사람만 볼 수 있습니다.
데이터 분류 수준에 대한 표준적인 기준이 있나요?
아니요, 정해진 기준은 없습니다. FIPS 199는 미국 연방 시스템에 대해 세 가지 영향 수준(낮음, 중간, 높음)을 정의하고 있으며, 영국 정부는 자체적으로 OFFICIAL, SECRET, TOP SECRET의 세 가지 등급을 사용합니다. 민간 조직은 자체적인 등급 체계를 선택하며, 4단계 등급이 일반적인 패턴입니다.
기밀 데이터의 예는 무엇인가요?
고객 목록, 계약서, 재무 예측 및 성과 평가. 공급업체 가격 정보도 여기에 포함됩니다. 이러한 정보들은 잘못된 사람에게 유출될 경우 심각한 피해를 초래할 수 있으므로, 필요한 사람에게만 공유됩니다.
기밀 데이터와 제한 데이터의 차이점은 무엇인가요?
제한됨은 가장 엄격한 단계로, 지정된 담당자만 접근할 수 있으며 강력한 통제가 적용됩니다. 기밀 데이터는 업무상 필요한 사람과 공유됩니다. 비밀번호나 결제 카드 정보와 같은 제한됨 데이터는 훨씬 더 적은 수의 사람만 접근할 수 있으며, 접근 기록이 남습니다.
데이터 분류 방식을 누가 결정하는가?
데이터 소유자는 조직 정책에 따라 레이블을 지정합니다. 일반적으로 작성자가 먼저 레이블을 지정하고, 소유자가 이를 확인하거나 변경합니다. 직원은 레이블 등급을 임의로 낮춰서는 안 됩니다.
어디서 시작하나요
한 팀을 선택하고, 해당 팀에서 가장 많이 사용하는 파일 10개에 4단계 분류를 붙인 다음, 퀴즈를 실행하여 구성원들의 의견 차이를 파악하세요. 이러한 의견 차이를 통해 정책에 필요한 예시를 찾을 수 있습니다.
