규제 대상인 데이터는 항상 민감 정보로 분류됩니다. 하지만 규제 대상이 아닌 대부분의 데이터는 공개적인 정보를 포함하므로 민감 정보가 아닙니다.

기업의 GRC 담당 부서 또는 공인 기관에서 어떤 데이터가 민감한 데이터인지를 결정합니다. 내부 및 외부적인 의무 사항, 데이터의 특성, 사용 방법, 유출 가능성, 재정적인 측면과 평판 측면에서 기업에 미치는 전반적인 영향을 모두 고려합니다. 다행히도 정책은 위험을 최소화하는 “템플릿과 툴킷”을 활용하며 산업 전반에 걸쳐 표준화되었고, 사용자는 합리적인 노력을 기울이면 이를 구현할 수 있게 되었습니다.

모범 사례는 3단계 분류 (예 : 극비, 대외비, 일반)이며, 최대 4단계를 권장합니다. 단계가 더 많은 경우에는 구분이 모호해져 직원들이 일관성 없이 주관적인 적용을 하는 결과를 보였습니다.

정책 템플릿을 적용한 후에 유의미한 실행을 끌어내기 위해서는 GRC 부서가 기업 내 보안 및 IT 전문가들을 지원해서 민감 비정형데이터 관련 업무의 우선순위를 정하는 것이 중요합니다. 이때 다음의 요소들에 주의를 기울여야 합니다.

• 데이터 유출이 모두 같은 것은 아닙니다. 비즈니스에 미치는 영향은 데이터의 민감한 정도와 유출 범위에 따라 달라집니다. 어떤 민감한 데이터가 유출되었을 때 회사의 재정이나 기업 편판에 가장 큰 타격을 주는지 알아야 합니다.

• 기업의 민감 정보가 어떻게 공유되고 저장되는지 확인하십시오. 유출될 확률이 가장 높은 데이터는 무엇입니까? 모든 위협이 외부에서 오는 것은 아닙니다. 가장 피해 규모가 큰 데이터 침해가 내부에서 발생하는 경우도 있습니다.

• 직원을 주목하십시오. 버라이즌이 발표한 2020년 데이터 침해 조사 보고서에 따르면 “직원 실수는 적극적인 공격을 가하는 외부 세력과 거의 비슷한 횟수의 정보 유출을 일으킵니다.” 따라서 직원 교육, 자동화, 중앙 집중 제어 시스템은 필수적입니다.