한국저작권위원회

4. DLP와 DRM, 국내기업의 해외 진출

□ 배경

○ DRM (Digital Rights Management)은 다양한 음원, 영상 파일, 기업 내부 자료 파일 유출 문제 등으로 인해 최근 몇 년간 많은 관심을 받고 있는 저작권 보호 기술 중의 하나이다. 또한 많은 회사들이 여러 보안 사고를 겪으면서 서둘러 적용하여 시행착오를 통해 발전해 나가고 있는 기술이다.

○ 이러한 DRM의 목적은 간단하다. 권한이 허락하는 한도 내에서 사용자들이 자료 혹은 데이터를 읽고 쓸 수 있도록 관리하는 것이다. 대부분 회사나 조직 내부로 그 범위는 한정되며, 음원이나 영상의 경우 그 구매자에게만 권리를 부여하는 것이 DRM의 근본적인 목적이다.

○ DRM의 목적은 간단하지만 실제 구축과 적용에는 많은 어려움이 따른다. 기업의 경우, 내부 혹은 외부 인원과의 협업이 자주 발생하고 이러한 경우 공유해야할 데이터나 자료가 생기기 마련인데 이런 경우의 권한 관리는 쉬운 문제가 아니다. 직급에 따른 권한 부서에 따른 권한 등 다양한 형태의 권한이 존재하고 이러한 권한들이 서로 상충되는 상황도 발생할 수 있다.

○ 사용자들이 가장 원하는 DRM의 기능을 생각해 보면, 권한에 따른 데이터가 자동으로 보여지는 것이라 할 수 있을 것이다. 복잡한 확인 절차 없이 볼 수 있는 데이터만 볼 수 있는 환경이 베스트인 것이다.

○ 지금까지 DRM의 주요 관심사는 권한과 그에 맞는 키 값을 활용한 암호화에 있었다. 그러나 암호화는 근본적으로 암호가 풀렸을 때에 대한 대비책이 약하다는 단점이 존재 한다.

○ 이러한 관점에서 그 중요성이 강조되는 솔루션이 DLP (Data Loss Prevention) 솔루션이다. 미국이나 유럽의 경우, DLP 중심의 DRM을 실현하고 있는데 이는 개인이 법적인 유출 방지 서약을 하고 유출원을 찾는데 용이한 DLP 중심의 관리를 함으로써 DRM을 실현하고자 하는 것이다. 흔히들 DLP를 DRM의 전 단계라고 말하기도 한다.

○ 그러나 최근 미국과 유럽에서도 DLP와 함께 강력한 DRM에 대한 준비가 있어야한다는 목소리가 나오고 있다.

□ 주요 내용

○ 지난 7월 13일 국내 DRM 분야 시장 선두 업체인 파수닷컴의 미국 시장 진출 관련 기사가 게재 되었다. 미국 시장에서는 DRM 관련 솔루션 보다는 주로 DLP 관련 솔루션이 시장의 주류를 이루고 있기 때문에 국내 DRM 관련 솔루션 업체의 진출이 경쟁이 있다는 평가를 받고 있다.

○ 미국에서 주로 DLP 관련 솔루션이 시장의 주류를 차지하고 있는 이유는 DLP 기술의 특징에 기인한다고 할 수 있다. DLP 관련 기술의 특징은 아래와 같다.

► DLP는 내부의 모든 문서와 데이터를 “중요”와 그 외의 자료로 분류하여 “중요 자료”를 관리한다. 관리는 아래와 같이 크게 세 가지에 대해 이루어지는데, 이 세 가지 관리의 공통된 특징은 유출의 경로를 파악하는데 중점을 둔다는데 있다.

► 첫째, Data-in-motion: 인터넷과 내부 네트워크 사이에서 외부와의 통신내역을 감시 관리하는 기능이다. 감시 관리시 “중요 자료”외에도 기타 자료에 대한 이동내역을 이메일 / FTP / 파일공유 / 메신저 전송을 감시한다. 기존의 firewall / IPS / IDS의 경우 미리 정해진 문제점이 발견될 경우에 대한 경보가 주요 임무 이지만, DLP 장비의 경우 모든 통신내역 및 전송된 자료의 사본을 기록 관리하여 forensic 기능을 제공한다. 자체 암호화 관련 기능은 없으나, 필요시 DRM 솔루션과의 연동을 제공하기도 한다.

► 둘째, Data-at-rest: 내부파일 / 문서 관리 서버 (SharePoints, FTP, Novell, Documentum 등)에 생성되는 자료에 대해서 “중요 자료” 분류와 함께 해당 자료의 이동 경로 및 접근자 감시한다. “중요 자료”에서 파생되는 새로운 자료에 대한 “중요 자료” 판단 및 이동 감시를 수행한다. 모든 자료에 대한 인덱스 기능을 통해 분류하여 쉽게 검색이 가능한 기능을 제공한다.

► 마지막으로, Data-in-use: 사용자들의 컴퓨터에서의 외부 유출 (시스템의 I/O – 블루투스 / USB 메모리 / 저장기기 / IrDA / 무선랜 / 유선랜 등) 감시기능이다.

□ 평가

○ DRM 솔루션 기술 수준이 해외에 비해 국내에서 더 발전한 이유는 국내의 기업 문화와도 관련이 있다. 실질적으로 국내에서는 기업이 개인의 역할을 중시하기 보다는 조직의 문화를 중시하기 때문에 탑-다운 (Top-Down) 방식의 데이터 권한 관리가 가능했다. 이는 DLP 보다는 DRM 중심의 데이터 관리기술이 발전할 수 있는 원동력이 되었다.

○ 반면, 해외에서는 개인의 책임을 중요시하기 때문에 문제가 되는 경우에 누가 문제를 일으켰는지를 확인 할 수 있도록 DLP 중심의 시장이 형성된 것이다. DLP 시장과 DRM 관련 시장을 분리한다고 했을 때, 글로벌 시장에서는 DRM보다는 DLP 중심의 관리가 이루어지고 있다고 할 수 있다.

○ 하지만 최근 몇 년 전부터 미국시장에서도 DLP 위에 DRM 기능이 강력하게 추가 되어야 한다는 논의가 확대되고 있다. 소니(SONY)에서 발생한 내부정보 유출 사건 등 글로벌 시장에서도 내부 직원에 의한 정보 유출사고가 큰 문제로 대두되고 있기 때문이다. 2014년 11월 소니에서는 미공개 영화정보, 직원 개인정보(연봉, 성과평가), 회사 관계자간의 이메일, 협력업체와의 계약 내용 등이 외부로 유출되는 사건이 발생했었다.

○ 이에 대해 소니측은 “미국의 정보보호 패러다임이 변화하고 있다며, 글로벌 시장에서도 ‘21세기인데 20세기의 무기로 보안을 하고 있다’는 자성의 목소리가 높다”는 발표를 했었다.

○ 이러한 의미에서 국내 DRM 관련 기술을 확보한 기업의 미국 SW시장 진출은 눈여겨 볼만하다. 국내 SW 기업의 미국 진출 성공사례가 많지 않음을 고려했을 때 DRM 관련 기술의 진출과 성패여부는 관심을 끄는 대목이다.

□ 참고자료

○ http://view.asiae.co.kr/news/view.htm?idxno=2015071014183223435