보존 정책과 데이터 손실 방지(DLP)는 언제 필요한가요?
Microsoft 365의 보존 정책은 콘텐츠를 일정 조건에 따라 유지하거나 삭제하는 수명 주기 규칙이고, 데이터 손실 방지(DLP) 정책은 민감한 정보가 부적절하게 공유·전송되는 것을 감지하고 제한하는 규칙입니다. 둘 다 데이터를 보호하지만 해결하는 문제가 다릅니다. “오래 남겨야 하는가”와 “어디로 나가도 되는가”를 따로 질문하세요.
보존과 DLP의 차이
| 기준 | 보존 정책·레이블 | DLP 정책 |
|---|---|---|
| 핵심 질문 | 콘텐츠를 얼마나 오래 유지하거나 언제 삭제할까? | 민감한 정보가 어떤 경로로 공유·전송되는가? |
| 대표 동작 | 지정 기간 유지, 이후 삭제 또는 검토 | 민감 정보 탐지, 사용자 경고, 공유 차단 또는 감사 |
| 주요 기준 | 데이터 유형·위치·법적 보존 요구 | 민감 정보 유형·대상·이동 경로 |
| 주의점 | 삭제와 보존이 동시에 걸린 경우 우선순위 검토 | 오탐과 업무 중단 가능성 검토 |
Microsoft의 보존 정책·레이블 안내와 DLP 개요를 기준으로 기능을 구분했습니다. 실제 지원 위치와 조건은 라이선스와 정책 유형에 따라 달라집니다.
언제 보존 정책이 필요한가요?
계약 문서나 업무 기록을 정해진 기간 유지해야 하거나, 불필요한 데이터를 기간이 지나면 삭제해야 할 때 검토합니다. 먼저 보존 목적과 적용할 위치(Exchange, SharePoint, OneDrive 등), 시작 시점, 예외, 법적 보존 요구를 정하세요. 보존 정책을 켜면 사용자가 화면에서 파일을 삭제하더라도 내부 보존 사본의 처리 방식이 달라질 수 있습니다. “휴지통을 길게 쓰는 기능”으로 이해하면 안 됩니다.
언제 DLP가 필요한가요?
주민등록번호, 결제 정보, 내부 기밀과 같은 민감 정보가 메일·파일 공유 등으로 조직 밖에 나갈 위험을 줄이고 싶을 때 검토합니다. 탐지 조건이 실제 데이터를 정확히 구분하는지 시험해야 합니다. 너무 넓은 조건은 정상 업무를 막고, 너무 좁은 조건은 중요한 유출을 놓칠 수 있습니다. 정책 팁과 경고, 예외 승인 절차까지 설계해야 운영할 수 있습니다.
도입 전 의사결정 순서
- 보호하려는 데이터와 적용 법규·계약을 확인합니다. 법률상 보존 기간은 이 글에서 임의로 정하지 않습니다.
- 보존과 DLP 중 해결하려는 질문이 무엇인지 구분합니다. 둘 다 필요한 경우에는 상호 작용을 검토합니다.
- 사용 가능한 라이선스와 Microsoft Purview의 현재 지원 위치를 확인합니다.
- 소수 사용자나 테스트 범위에서 정책 결과와 오탐을 확인하고, 업무 담당자와 보안·법무 담당자의 의견을 받습니다.
- 전면 적용 전 변경 기록, 알림, 예외, 롤백 절차를 마련합니다.
보존 정책이나 DLP 정책을 제거한다고 이미 수행된 삭제·차단 작업이 모두 자동으로 되돌아오지는 않습니다. 운영 중인 데이터에 적용하기 전에 정책의 우선순위와 복구 가능성을 별도로 확인하세요.
