GDPR 준수: 저항은 무의미하고 회사 보호 방법은?

2018년 5월 25일 일반 데이터 보호 규정(GDPR)이 공식 발효되어 많은 조직이 엄격한 요구사항을 충족하기 위해 분주합니다. 4년의 사전 통지에도 IT 리더들은 여전히 강력한 데이터 보호 조치를 복원력 계획에 통합하는 방법을 고민합니다. Syncsort의 2018 복원력 현황 보고서는 클라우드 도입이 데이터 수집, 저장, 분석을 가속화함에 따라 보안과 프라이버시가 IT 부서의 최우선 순위로 남아 있음을 보여줍니다.

법의 긴 팔

GDPR 설계자들은 "개인 데이터 처리는 인류에 봉사하도록 설계되어야 한다"고 명시했습니다. 이 규정은 지침 95/46/EC를 대체해 EU 전반의 프라이버시 규칙을 표준화하고 유럽 및 비유럽 기업 모두에 EU 고객과 거래 시 더 높은 기준을 설정합니다.

결론: 위치와 관계없이 모든 조직은 데이터 처리 관행을 재평가해야 합니다. 어떤 개인 데이터를 보유하고 있는지, 누구의 것인지, 어떻게 사용·공유되는지, 적절히 보호되는지 아십니까? 거의 6,000명의 글로벌 응답자 설문조사에서 대부분의 기업이 여전히 이 질문들과 씨름하고 있음이 드러났습니다.

개인을 다시 책임자로

GDPR은 개인에게 자신의 데이터를 보유한 조직을 알 권리, 접근·수정 권리, 가장 중요하게는 삭제 요청 권리(잊힐 권리)를 부여합니다. 규정의 동의 프레임워크는 기업이 개인 데이터를 수집하거나 처리하기 전 명시적 승인을 얻도록 강제해 데이터를 자산이자 부채로 만듭니다.

효과적인 준수는 명확한 개인 데이터 인벤토리, 이기종 시스템 전반의 통합 신원 뷰, 엄격한 동의 관리에서 시작합니다. 데이터를 탐지, 중복 제거, 무결성 유지가 필수적이며, 개인 정보에 대한 모든 접근을 기록하는 감사 추적도 필요합니다. 이는 빅데이터와 실시간 스트리밍 환경에서 더욱 증폭되는 과제입니다.

개인 데이터란 무엇이며 어떻게 안전하게 사용할 수 있는가?

디지털 시대의 개인화된 데이터 관행은 혁신을 촉진하지만 프라이버시 우려도 높여 GDPR의 엄격한 보호 장치를 촉발했습니다. 제4조(1)는 개인식별정보(PII)를 개인을 식별, 설명, 고유 참조할 수 있는 모든 데이터로 정의합니다. 이름, 나이, 사회보장번호, IP 주소, 기기 ID, 심지어 누군가를 식별하는 데 쓰이면 해시되거나 암호화된 필드도 포함됩니다.

GDPR은 보안 침해 영향을 완화하기 위해 가능한 한 직접 식별자 제거를 권장합니다. 이는 가명화(pseudonymization)로 알려진 기술입니다. 레거시 솔루션을 개조하기보다 처음부터 준수 시스템을 구축하는 것이 더 효과적이고 비용 효율적입니다. 익명화, 마스킹, 난독화 도구는 새롭고 기존 데이터 아키텍처 모두에 필수적입니다. 특히 데이터가 실시간 분석을 위해 여러 데이터베이스 간 공유될 때 그렇습니다.

미래는 당신이 생각하는 것보다 빨리 온다

시간은 종종 IT 팀을 방심시킵니다. 미준수는 최대 2,000만 유로 또는 글로벌 매출의 4% 벌금을 초래할 수 있으며 평판 손상은 돌이킬 수 없습니다. 5월 마감일이 지났으므로 완전한 준수를 달성하지 못한 기업은 임박한 집행 조치에 직면합니다.

David Hodgson, Syncsort 최고 제품 책임자