많은 기업이 규정 교육이나 서약서만으로 컴플라이언스를 다 했다고 믿으시더라고요. 하지만 막상 감사나 소송 단계에 들어가면 '입증할 데이터'가 없어서 당황하는 경우가 많거든요. Corporate Compliance Insights의 'The Compliance Confidence Gap' 보고서를 봐도, 기업의 자가 진단 결과와 실제 규제 준수 수준 사이에는 꽤 큰 간극이 존재한다고 합니다.
왜 '잘 지키고 있다'는 확신이 위험할까요?
관리자 입장에서 직원들에게 주기적으로 교육하고 보안 서약서를 받는 건 기본이죠. 그런데 규제 기관이나 법원은 '노력했다'는 주장보다 '어떤 기록이 남아 있는가'를 훨씬 더 신뢰합니다. 이른바 '컴플라이언스 신뢰 간극(Confidence Gap)'이 발생하는 지점이죠.
솔직히, 기록이 없으면 안 한 거나 마찬가지니까요.
예를 들어 내부 통제가 잘 되고 있다고 믿었는데, 정작 사고가 터졌을 때 당시의 이메일이나 메신저 기록이 삭제됐거나 수정되었다면? 이건 바로 규정 준수 실패로 간주됩니다. 그래서 단순한 신뢰를 넘어, 수정 불가능한 형태로 데이터를 보존하고 즉시 추출할 수 있는 체계를 갖추는 게 실무적인 정답이에요.
입증 책임의 전환: 말보다 기록이 우선인 이유
최근 글로벌 규제 트렌드는 기업이 직접 무결성을 입증하도록 요구하는 방향으로 가고 있어요. 이때 법정에서도 실제로 먹히는 방어 수단이 바로 WORM(Write Once Read Many) 스토리지 기반의 아카이빙입니다. Enterprise Vault(EV)는 데이터를 캡처해서 WORM 스토리지에 보관하기 때문에, 사후에 데이터가 조작되지 않았음을 기술적으로 증명할 수 있거든요.
데이터가 수만 건이면 필요한 증거만 찾아내는 것도 일이죠. Discovery Accelerator(DA)를 활용하면 아카이브된 데이터 내에서 키워드나 날짜, 참여자별로 정밀하게 검색하고 케이스별로 관리해 법적 증거로 내보낼 수 있어요. 대응 시간이 훨씬 단축되죠. 구체적인 대응 전략은 휴미즈 공식 홈페이지에서 확인하실 수 있습니다.
파편화된 커뮤니케이션 채널, 어떻게 한곳에 모을까요?
요즘은 이메일뿐만 아니라 협업 툴 사용이 일상이죠. 그런데 데이터가 여기저기 흩어져 있으면 감사 대응 때 누락되는 데이터가 생기기 마련이에요. 특히 Microsoft Teams, SharePoint Online, OneDrive 같은 클라우드 기반 데이터는 수집 방법이 꽤 까다롭거든요.
이런 파편화된 데이터를 통합 관리하려면 Merge1 같은 수집 엔진이 효율적입니다. Teams와 SharePoint Online 등 120개 이상의 기업용 소스에서 데이터를 긁어모아 EV로 전달해주거든요. 관리자가 여러 플랫폼을 일일이 뒤질 필요 없이 하나의 통합 아카이브에서 모든 기록을 관리하면 되니까요.
실패 없는 컴플라이언스 솔루션 도입을 위한 POC 전략
Global Relay의 POC 가이드에서는 단순히 기능의 유무를 확인하는 게 아니라, 실제 업무 워크플로우에 어떻게 녹아드는지를 검증하라고 조언합니다.
실무적으로는 몇 가지 시나리오를 꼼꼼히 확인해 보세요. 일단 Surveillance로 커뮤니케이션 일부를 랜덤하게 샘플링해서, ML 기반 스코어링으로 이상 징후를 빠르게 찾아낼 수 있는지 확인하는 게 중요합니다. 그리고 위반 의심 항목이 발견됐을 때 상위 관리자에게 보고되는 워크플로가 매끄럽게 작동하는지도 봐야 하고요. 마지막으로 수집된 데이터가 보존 정책에 따라 자동 태깅되고, 설정한 보존 기간 동안 안전하게 보관되는지 무결성까지 체크하면 완벽하겠죠.
자주 묻는 질문
Q. 백업(Backup)과 아카이빙(Archiving)은 다른 건가요?
A. 네, 완전히 다릅니다. 백업은 시스템 장애 시 '복구'가 목적이지만, 아카이빙은 규제 준수와 법적 증거 확보를 위해 데이터를 '보존'하고 '검색'하는 게 목적이거든요. 백업 데이터만으로는 eDiscovery 대응이 거의 불가능합니다.
Q. 카카오톡이나 라인 같은 개인 메신저 기록도 수집할 수 있나요?
A. Merge1은 Microsoft Teams, Slack 등 기업용 커뮤니케이션 소스를 타겟으로 합니다. 개인용 메신저나 SNS는 수집 대상이 아니니, 기업용 협업 툴 도입과 병행해서 내부 정책을 수립하시는 걸 추천드려요.
Q. 리걸홀드(Legal Hold)가 정확히 무엇인가요?
A. 소송이 예상될 때 보존 기간이 끝났더라도 관련 데이터를 파기하지 않고 강제로 보존하는 조치예요. EV와 DA는 이 리걸홀드 기능을 지원해서, 실수로 증거를 파기해 발생하는 '스포일리에이션(Spoliation)' 리스크를 방지해 줍니다.
컴플라이언스는 '믿음'의 영역이 아니라 '입증'의 영역이에요. 흩어진 협업 툴 데이터를 Merge1로 수집하고, EV로 무결하게 보존하며, DA와 Surveillance로 효율적으로 리뷰하는 체계를 갖추는 것. 이 정도는 되어야 제대로 된 리스크 관리라고 할 수 있겠죠?
더 자세한 기업 데이터 관리 방안이 궁금하시다면 휴미즈 블로그를 참고하세요.
댓글
댓글 쓰기