2026년 10월 27일 8:30 (JST)
【일본】
데이터 인벤토리 작성의 어려움
키 및 암호화폐의 재고 조사도 필요
데이터 인벤토리 작성은 실무상 어려움을 겪는 부분 중 하나라고 생각합니다. 당연히 결제에 관련된 데이터는 데이터베이스 등에서 적절히 관리되고 있을 것입니다. 하지만 기업이 파악하고 있는 시스템 내부에만 모든 데이터가 존재하는 것은 아닙니다.
예를 들어, 사업 부서가 독자적으로 계약한 클라우드 환경이나 SaaS, 외부 위탁처에 있는 데이터는 물론, 클라우드 서비스 이용 종료 후 등에 잔존하는 데이터, 조직의 관리 정책이나 IT 부서의 관리 대상에서 제외된 데이터도 있을 수 있습니다.이러한 데이터는 소유자나 접근 권한, 보존 기간, 보호 상태 등이 불분명해지기 쉽다고 알려져 있습니다. 그 결과, 과도한 접근 권한, 부적절한 공유, 불필요한 장기 보존, 암호화 누락 등으로 이어질 가능성이 있습니다.
중요한 것은 우선 중요한 데이터가 어디에 있는지 파악하고, 현황을 파악하는 것입니다. 또한, 한 번 현황을 파악하고 끝내는 것이 아니라, 관리 대상 외부에 새로운 데이터가 생성되지 않았는지도 포함하여 지속적으로 데이터를 발견·분류하고 관리해 나가는 것이 중요합니다.
다음으로 필요한 것은 암호자산의 인벤토리입니다. 대상이 되는 것은 암호 키뿐만이 아닙니다.SSH 키나 공개 키·비밀 키, 키 스토어, 암호화 라이브러리, 암호화 알고리즘 등도 포함됩니다. 또한, 이러한 암호화 자산이 외부 서비스나 사내 네트워크, IT 자산, 데이터베이스, 애플리케이션 코드 등 어디에 존재하며 어떻게 이용되고 있는지를 파악해야 합니다.
다만, 처음부터 모든 것을 포괄적으로 조사할 필요는 없습니다. 중요한 시스템이나 장기간에 걸쳐 보호해야 할 데이터, 비즈니스에 미치는 영향이 큰 데이터 등을 대상으로, 변경에 시간이 걸리는 시스템부터 우선적으로 파악해 나가는 것이 현실적인 진행 방식입니다.
목적은 단순히 장부를 작성하는 것이 아닙니다. 향후 암호화 방식 변경이 필요해졌을 때, 그 영향이 어디까지 미칠지 파악하고, 전환의 우선순위를 판단할 수 있는 상태를 갖추는 것이 중요합니다.
DSPM은 위험 가시화의 출발점으로
삼아 데이터 보호와 키 통제로 이어지게 한다
클라우드, SaaS, AI의 이용 확대에 따라 기업이 다루는 데이터는 다양한 곳에 분산되어 있습니다. 조사에 따라 차이는 있지만, 기업 데이터의 80~90%는 비정형 데이터라고도 합니다.게다가 AI의 보급으로 인해 데이터의 생성, 복제, 요약, 재사용이 가속화되고 있습니다. 그 결과, 이용자가 의도하지 않은 형태로 기밀 데이터가 AI 서비스에 입력되거나, 소재나 관리 주체가 충분히 파악되지 않은 API를 통해 외부로 전송될 가능성도 있습니다.
때로는 데이터뿐만 아니라 하드코딩된 암호화 키나 API 키, 서비스 계정의 인증 정보, 시크릿, 머신 간 통신에 사용되는 키 등도 환경 전체에 분산되어 있습니다. 데이터와 이를 보호·이용하기 위한 키 및 시크릿이 모두 다양한 곳에 존재함으로써, 그 관리는 점점 더 복잡해지고 있습니다.
가트너(Gartner)는 2027년까지 AI 관련 데이터 침해 사고의 40% 이상이 국경을 초월한 생성형 AI의 부적절한 이용에서 기인할 것으로 예측하고 있습니다. 즉, 생성형 AI의 이용이 국경을 넘어 확산되는 가운데, 해외 서비스를 포함하여 자사의 관리가 충분히 미치지 않는 환경에서 데이터가 이용됨으로써 데이터 침해로 이어질 위험이 높아지고 있다는 것입니다.이러한 상황을 고려할 때, 중요한 데이터가 어디에 있으며 누가 접근할 수 있는지, 또한 어떤 암호화 기술이나 키, 시크릿에 의해 보호되고 있는지를 지속적으로 파악해 나갈 필요가 있다고 생각합니다.
여기서 DSPM(Data Security Posture Management: 데이터 보안 포지션 관리)에 대해 설명드리겠습니다.DSPM은 클라우드, 온프레미스, SaaS 등 다양한 환경에 분산된 데이터를 지속적으로 탐지하고, 그 기밀성이나 규제 요건 등에 따라 분류한 뒤, 누가 접근할 수 있는지, 어떤 위험에 노출되어 있는지를 지속적으로 분석하고 관리해 나가는 개념입니다.
1년에 한 번 실시하는 감사를 위해 데이터 목록을 작성하는 것과는 본질적으로 접근 방식이 다릅니다.DSPM에서 중요한 것은 특정 시점의 현황 파악이 아니라, 데이터의 상태를 지속적으로 파악하는 것입니다. 예를 들어, 새로운 데이터가 생성되었거나, 접근 권한이 변경되었거나, 클라우드상에서 데이터가 복제되었거나, 공개 설정으로 변경되는 등의 변화를 지속적으로 포착하여 위험을 파악해 나갑니다.
주의해야 할 점은, DSPM을 통해 데이터를 발견하고 위험을 가시화하는 것과 실제로 데이터를 보호하는 것은 동일하지 않다는 점입니다. 우리는 DSPM을 출발점으로 삼아, 실제 데이터 보호 및 키 통제로 이어가는 것이 중요하다고 생각합니다.
AI와 PQC 시대에는 데이터의 위치나 접근 상황을 파악하는 것뿐만 아니라, 데이터를 어떻게 보호할지, 나아가 암호화, 키, API 키, 시크릿까지 포함하여 고려해야 합니다. 물론, 이 모든 것을 DSPM만으로 담당한다는 뜻은 아닙니다.DSPM을 통해 데이터를 지속적으로 발견·분류하고, 접근 현황 및 노출 위험을 분석합니다. 그 결과를 암호화, 마스킹, 토큰화, 키 관리, 시크릿 관리와 같은 구체적인 보호 조치로 연결함으로써, 기업 전체의 데이터 보안 체계로서 기능할 수 있을 것으로 생각합니다.즉, DSPM을 만능 제품 카테고리로 간주하기보다는 데이터 발견과 위험 가시화를 출발점으로 삼아, 실제 데이터 보호와 키 통제로 이어가는 것이 중요합니다.
지속적인 데이터 보안 관리
4단계로 진행하여 제3자에게도 설명할 수 있는 체제로
이번에 전해드리고 싶은 핵심은 데이터 보안을 4단계에 걸쳐 지속적으로 관리해 나간다는 사고방식입니다. 첫 번째는 ‘Discover(발견)’입니다. 중요한 데이터가 어디에 있으며, 어떻게 분류되어 있고, 누가 접근할 수 있는지를 지속적으로 파악해 나갑니다.
두 번째는 ‘Analyze(분석)’입니다. 데이터의 가치와 기밀성, 보존 기간, 접근 현황, 대외 노출, 규제 영향 등을 고려하여 위험을 분석하고 대응 우선순위를 결정합니다. 그 평가 결과에 따라 암호화, 토큰화, 마스킹 등 적절한 보호 조치로 이어갑니다.
세 번째는 ‘Protect(보호)’입니다. 분석한 위험과 우선순위에 따라 암호화, 토큰화, 마스킹, 접근 제어 등의 대책을 적용하여 중요한 데이터를 실효성 있게 보호합니다.
마지막은 ‘Control(통제)’입니다. 키, 인증서, API 키, 시크릿, 접근 권한, 정책 등을 일관된 관점 하에 관리하여 조직 전체적으로 통제해 나갑니다.
또 하나 중요한 점은 제3자에게 설명할 수 있는 상태를 마련하는 것입니다. 감사 로그를 확보하는 등, 어떤 통제를 수행하고 있으며 그것이 적절하게 기능하고 있는지를 제3자에게 설명할 수 있도록 해 두는 것이 중요하다고 생각합니다.
다시 한 번 총정리하자면, 암호화 제품만 도입하는 것만으로는 데이터가 실질적으로 보호되고, 키를 포함한 통제가 적절하게 기능하고 있음을 충분히 설명하기 어렵다고 생각합니다.
외부 환경을 살펴보면, RaaS나 HNDL(Harvest Now, Decrypt Later) 공격을 비롯해 PQC로의 전환까지 포함하여, ‘언제까지 대응해야 하는가’라는 시간 축이 중요한 지표가 됩니다. 이러한 변화를 임박한 위협으로만 인식하는 데 그치지 않고, 언제, 어떤 조치를 취해야 할지 고민해야 합니다.
이를 위해서는 우선 중요한 데이터가 어디에 있는지, 어느 정도 중요한지, 언제까지 기밀성을 유지해야 하는지를 파악해야 합니다. 그 후, 어떤 암호화 기술이나 키로 보호되고 있으며, 누가 관리하고 있는지를 점검합니다. 더욱 중요한 것은 시스템이나 제품의 수명 주기를 고려하여 전환 시기를 계획하는 것입니다.앞으로 PCI DSS가 개정되어 PQC 대응이 어떤 형태로든 요건에 포함되게 된 후에야 대응을 시작한다면, 시스템 조달이나 교체 시기를 놓칠 가능성도 있습니다. 그렇기 때문에 미래의 요건이 확정되기를 기다리기보다는, 지금부터 현황 파악과 우선순위 설정, 벤더의 로드맵 확인 등 필요한 준비를 미리 진행해 두는 것이 중요하다고 생각합니다.
또한, 지금까지의 PCI DSS 변천사를 되돌아보더라도 단순히 암호화를 구현하는 것뿐만 아니라, 그것이 실효성 있게 작동하기 위한 통제가 중시되는 경향이 있습니다. 데이터를 어떻게 보호하고, 키를 어떻게 관리·통제하고 있는지는 앞으로도 피할 수 없는 쟁점이라고 생각합니다.지금까지는 가능한 한 특정 제품에 의존하지 않는 형태로, 저희의 견해를 곁들여 설명해 드렸습니다. 마지막으로, 이러한 과제에 대한 탈레스의 솔루션을 소개해 드리겠습니다.
암호 키 관리를 선도하는 탈레스
핵심 플레이어와 생태계 구축
저희는 암호 키 관리를 탈레스의 큰 강점 중 하나로 생각합니다. 동시에, PQC로의 전환은 한 회사만으로는 완수할 수 있는 일이 아닙니다. 글로벌 차원에서는 암호 자산을 발굴하는 기술 벤더를 비롯해 컨설팅 기업, SIer, 다양한 기술 벤더와 파트너십을 맺고, PQC 전환을 지원하는 생태계를 구축하고 있습니다.
“PQC에 어떻게 대응해야 할지” 고민하고 계신다면, 꼭 탈레스에 문의해 주시기 바랍니다. 탈레스의 제품만으로 모든 것을 해결하는 것이 아니라, 이러한 파트너 생태계를 통해 고객의 PQC 전환을 포괄적으로 지원해 나가겠습니다.솔루션 측면에서도 Luna HSM, High Speed Encryptor(HSE), CipherTrust Data Security Platform 등 PQC 전환을 지원하는 제품과 기술을 제공하고 있습니다. 예를 들어, Luna HSM은 NIST에서 표준화된 ML-KEM 및 ML-DSA를 네이티브로 지원합니다.또한, 탈레스 CipherTrust 데이터 보안 포트폴리오(Thales CipherTrust Data Security Portfolio)는 기밀 데이터의 탐지 및 분류부터 암호화, 토큰화, 액세스 제어, 키 관리에 이르기까지 데이터 보호에 필요한 기능을 폭넓게 제공합니다.Data Security Fabric(DSF)와 결합함으로써 데이터 접근 현황의 가시화 및 지속적인 모니터링, 위험 분석에도 대응합니다. 이러한 기능을 결합하여 데이터 자체의 보호뿐만 아니라 키 및 시크릿을 포함한 통제까지 포괄적으로 지원합니다.
DSPM의 경우, 구조화·비구조화 여부와 관계없이 클라우드, SaaS, 온프레미스 등에 분산된 데이터를 탐지·분류하고 통합적으로 관리할 수 있는 플랫폼을 제공합니다.머신러닝 등을 활용하여 기밀 데이터를 자동으로 분류하고, 데이터의 위치나 접근 현황, 위험을 지속적으로 파악할 수 있도록 합니다. 또한, AI와 관련된 데이터 및 자산, 키·시크릿 등을 포함하여 보안 상태를 보다 포괄적으로 파악하고 관리할 수 있도록 기능을 확장하고 있습니다.
또한, PCI DSS 대응이라는 관점에서는 Imperva Cloud WAF 및 Client-Side Protection도 제공하고 있습니다.Cloud WAF를 통해 공개 웹 애플리케이션을 보호하는 한편, Client-Side Protection을 통해 결제 페이지상의 스크립트 탐지 및 인벤토리 작성, 변조 감시 등을 수행하여 PCI DSS 4.0의 요구사항 6.4.3 및 11.6.1 준수를 지원합니다.
관심이 있으시면 언제든지 문의해 주시기 바랍니다.
오늘 발표를 끝까지 경청해 주셔서 대단히 감사합니다.
■문의처
탈레스
DIS 재팬 주식회사 사이버
보안 제품 사업본부 URL: https://cpl.thalesgroup.com/ja
이메일: cpl.jpsales@thalesgroup.com
