Microsoft Purview DLP API 기반 오픈소스 Data Security Workbench, DLP 경보를 검증 가능한 탐지 품질 관리로 전환

마이크로소프트는 Microsoft Purview DLP API를 바탕으로, DLP 경보량 자체보다 탐지 품질과 대응 안전성을 측정 가능한 운영 통제로 바꾸는 오픈소스 Data Security Workbench를 공개했다. 핵심은 경보를 단순 처리 대상으로 보지 않고, 어떤 민감정보 유형(SIT)이 왜 탐지됐는지 설명하고, 튜닝안을 검토 가능한 형태로 만들며, 변경 이후 결과를 기준선과 비교해 효과를 입증하는 폐쇄 루프형 운영 절차를 제공하는 데 있다.

경보 증가와 운영 신뢰도 사이의 간극을 줄이려는 접근

원문은 Purview가 중요한 활동을 드러내더라도, 운영팀은 여전히 경보를 이벤트 근거와 연결하고, 어떤 SIT가 탐지됐는지 해석하고, 적절한 담당자를 찾고, 실제로 무엇을 바꿔야 하는지 판단하는 과정을 여러 도구에 나눠 수행한다고 설명한다. 이 때문에 경보량은 늘어도 튜닝 판단을 설명하기 어렵고, 조치 역시 지나치게 보수적이거나 반대로 과도하게 넓어질 수 있다는 문제의식을 제시했다.

이번 Workbench는 이런 운영 단절을 줄이기 위해 분류 정확도 검증과 실제 대응 절차를 연결하되, 동일한 근거 체계 위에서 관리하도록 설계됐다. 보안 운영 관점에서는 DLP 경보 수 자체보다 오탐 비율, 패턴별 잡음, 변경 후 개선 폭 같은 지표를 꾸준히 비교할 수 있는 구조가 중요하다는 메시지다.

Detection Assurance 4단계: 관찰, 설명, 개선, 입증

마이크로소프트는 Detection Assurance를 폐쇄 루프 제어 주기로 설명한다. 먼저 관찰 단계에서 SIT 경계와 튜닝 프로필, 제어 언어를 정의하고, 설명 단계에서 탐지를 분석해 실제 신호와 구조적 잡음을 구분한다. 이후 개선 단계에서 검토 가능한 Purview 구현 계획을 만들고, 마지막으로 변경 후 결과를 원래 기준선과 비교해 효과를 증명하는 흐름이다.

서버호스팅이나 코로케이션 환경에서 Purview를 직접 쓰는 조직이라면, 이 접근은 테넌트별 DLP 정책 변경 이력을 근거와 함께 남기고 표준 운영 변경으로 연결하는 데 의미가 있다. 다만 원문은 특정 IDC 환경 전용 기능을 말하는 것이 아니라 Purview 기반 일반 보안 운영 절차를 다루고 있으므로, 실제 적용 범위는 각 조직의 Purview 운영 체계에 달려 있다.

분류 효율 보고서가 제공하는 운영상 의미

각 평가는 범위 내 자산 전반의 탐지 결과를 자세히 기록하는 Classification Efficiency Report를 생성한다고 소개됐다. 이 보고서에는 총 탐지 수, 식별된 잡음의 양, 문맥 패턴, 기저 분류 체계, 오탐이 집중되는 위치 등이 포함된다.

이 정보는 보안팀이 단순히 '경보가 많다'는 수준을 넘어서, 어떤 규칙이나 패턴이 반복적으로 불필요한 탐지를 만들고 있는지 좁혀보는 데 유용하다. 네트워크나 서버 운영 조직과 협업할 때도, 특정 업무 시스템이나 워크로드에서 오탐이 집중되는지 파악하면 예외 처리나 정책 조정 논의를 더 구체적으로 진행할 수 있다.

Purview 구현 계획으로 이어지는 변경 절차

원문에 따르면 시스템은 수집된 근거를 바탕으로 Purview 구현 계획을 생성한다. 각 권고 단계에는 대상 SIT, 포털 경로, 현재 문제, 정확한 설정 절차가 포함되며, 왜 안전하게 적용할 수 있는지와 예상 오탐 감소 효과, 관련 위험도 함께 표시된다.

운영자는 이 구조를 활용해 영향 범위 확인, 대상 SIT 검토, 제시된 포털 경로 기준의 설정 변경, 변경 전 기준선 보관, 변경 후 동일 범위 재관찰 순서로 내부 체크리스트를 구성할 수 있다. 특히 표준 이미지나 공통 정책 템플릿을 쓰는 조직이라면, 한 번 조정한 SIT 설정이 다른 업무 범위에 그대로 확산되지 않도록 적용 범위를 분리해 점검하는 것이 필요하다.

핵심 포인트

• Data Security Workbench는 Microsoft Purview DLP API 기반의 오픈소스 도구로 소개됐다.
• 목표는 DLP 경보량 처리보다 탐지 품질과 대응 안전성을 측정 가능한 운영 통제로 바꾸는 것이다.
• Detection Assurance는 관찰-설명-개선-입증의 4단계 폐쇄 루프 방식으로 제시됐다.
• Classification Efficiency Report는 탐지 수, 잡음, 문맥 패턴, 오탐 집중 지점을 상세히 보여준다.
• 시스템은 대상 SIT와 포털 경로, 설정 절차, 기대 효과, 위험을 담은 Purview 구현 계획을 생성한다.