법무팀은 모르고 IT팀만 아는 M365 데이터 리스크, 3가지 징후로 진단하기

최근 해외 기업들이 데이터를 제대로 삭제하지 않아 거액의 과징금을 물었다는 뉴스가 심심치 않게 들려오네요. 법무팀에서는 분명히 삭제 요청을 보냈다고 믿는데, 정작 IT팀이 확인해 보면 복구 폴더에 데이터가 그대로 남아 있어 당황하는 상황이 많거든요. 아마 지금 이 글을 읽는 분도 갑작스러운 증거 제출 요구나 감사 대응 때문에 식은땀을 흘리고 계실 것 같습니다.

왜 법무팀과 IT팀의 생각이 다를까요?

법무팀은 보통 사용자가 삭제 버튼을 누르면 데이터가 완전히 사라진다고 생각해요. 그런데 M365(마이크로소프트 365) 환경은 그렇게 단순하게 돌아가지 않더라고요. 삭제된 메일이나 파일이 복구 가능한 항목이라는 숨겨진 저장소에 일정 기간 머물거든요.

이게 왜 문제냐면요. 법적으로 반드시 지워야 할 개인정보가 서버 어딘가에 계속 남아 있어 컴플라이언스(법규 준수) 위반이 될 수 있기 때문이죠. 반대로 꼭 보관해야 할 증거가 설정 실수로 영구 삭제되는 사고도 빈번해요. 현장에서 보면 두 부서 사이의 기술적 이해도 차이가 가장 큰 원인인 셈이죠.

데이터 리스크를 잡는 실무 해결책

가장 먼저 보존 정책(Retention Policy)을 점검해 보세요. 이는 데이터의 생성부터 삭제까지의 생애 주기를 미리 정해두는 설정인데요. 무조건 오래 보관하는 게 정답은 아니에요. 법적 근거가 없는 데이터는 정해진 기간이 지나면 자동으로 영구 삭제되도록 설계해야 하거든요.

둘째로 이디스커버리(eDiscovery, 전자 증거 개시) 기능을 제대로 활용하세요. 소송이나 감사 때 필요한 전자적 기록을 효율적으로 찾아내고 보존하는 도구예요. 일일이 사용자에게 메일을 보내달라고 요청하는 대신, 관리자가 텐넌트 전체에서 키워드로 검색해 증거를 확보하는 방식이죠. 이렇게 해야 데이터 조작 가능성을 차단하고 법적 신뢰성을 높일 수 있더라고요.

실무자가 놓치기 쉬운 OneDrive의 함정

솔직히 많은 기업이 OneDrive(원드라이브, 개인용 클라우드 저장소) 관리를 방치하곤 해요. 직원들이 개인 저장소에 회사 기밀을 쌓아두는데, 퇴사 처리 시 이 계정을 어떻게 처리하느냐가 핵심이거든요. 계정을 바로 삭제하면 데이터가 증발하고, 너무 오래 두면 라이선스 비용이 낭비되죠.

여기서 팁을 드리자면, 퇴사자 계정의 소유권을 팀장이나 매니저에게 자동으로 이전하는 워크플로우를 만드세요. 데이터의 연속성을 유지하면서도 관리 권한을 명확히 하는 유일한 방법입니다. 이걸 놓치면 나중에 감사 때 전임자 파일이 어디 갔느냐는 질문에 답하기 정말 어렵거든요. 결국 데이터 관리는 기술보다 프로세스의 문제라고 생각합니다.

M365 리스크 관리는 결국 법무팀과 IT팀이 같은 언어로 대화하는 것에서 시작돼요. 지금 바로 우리 회사의 보존 정책 설정 화면을 한 번 열어보시는 건 어떨까요?