A.5.13
정보 레이블링
조직적 통제확인사항 5증적 6사례 6
통제 목적
정보 레이블링은 조직이 채택한 정보 분류 체계에 따라 정보와 관련 자산에 분류 등급을 나타내는 표시(레이블)를 부착하고, 이를 일관되게 적용/유지하기 위한 통제입니다. 분류만 하고 그 결과가 자산에 표시되지 않으면, 자산을 다루는 사람이 해당 정보의 민감도를 인지하지 못해 부적절한 취급, 유출, 오배포가 발생할 수 있습니다. 따라서 이 통제는 레이블링 절차를 수립하고, 레이블 부착 방법과 대상을 정의하며, 물리적/전자적 형태 전반에 걸쳐 일관되게 표시하도록 요구합니다. 분류 결과가 실제 취급 통제로 이어지도록 하는 것이 목적입니다.
주요 확인사항
- 정보 분류 체계와 연계된 레이블링 절차가 수립되어 있으며, 레이블 표기 방식과 부착 대상 자산 유형이 정의되어 있는가?
- 문서, 전자파일, 이메일, 저장매체, 시스템 화면/출력물 등 형태별로 레이블을 부착하는 방법과 위치가 규정되어 있는가?
- 분류 등급에 따라 실제 자산에 레이블이 일관되게 부착되어 있으며, 미분류/무표시 자산에 대한 처리 기준이 있는가?
- 임직원 및 외부자가 레이블의 의미와 등급별 취급 규칙을 이해하도록 교육/안내가 이루어지는가?
- 레이블링의 적정성을 주기적으로 점검하고, 분류가 바뀌면 레이블도 함께 갱신하는가?
이행 지침
- 조직의 정보 분류 체계(예: 공개/내부용/대외비/기밀 등)와 1:1로 대응하는 레이블 표기 규칙을 정의하고, 각 등급의 명칭과 표시 형식(색상, 머리말/꼬리말, 워터마크, 메타데이터 태그 등)을 표준화합니다.
- 레이블 부착 대상을 유형별로 명확히 합니다: 종이 문서(표지/머리말/꼬리말), 전자문서/파일(파일명 규칙, 문서 속성, 워터마크), 이메일(제목/본문 표기, 분류 태그), 저장매체(외장 레이블), 시스템 화면 및 출력물, 데이터베이스/데이터셋(분류 메타데이터).
- 정보 생성/취득 시점에 분류와 레이블링이 함께 수행되도록 절차에 반영하고, 문서 템플릿과 메일 시스템에 기본 레이블 기능을 내장하여 수작업 누락을 줄입니다.
- 자동 레이블링/분류 도구(DLP, 문서보안, 메일 분류 솔루션 등)를 활용하여 대량의 자산에서도 일관성과 정확성을 확보하고, 자동 부착 결과를 검증합니다.
- 등급별 취급 규칙(열람/복제/전송/저장/파기)을 레이블과 연계하여 안내하고, 임직원 및 외부자를 대상으로 교육하여 레이블의 의미와 준수 사항을 인식하도록 합니다.
- 분류 등급이 변경되거나 정보의 민감도가 바뀔 경우 레이블도 함께 갱신하며, 레이블 부착 현황과 정확성을 주기적으로 점검하여 누락/오표기를 조치합니다.
증적자료
- 정보 분류 체계와 연계된 레이블링 절차서(표기 방식, 부착 대상, 형태별 방법 포함)
- 등급별 레이블 표준(색상/머리말/워터마크/메타데이터 태그 등) 및 문서/메일 템플릿
- 실제 자산의 레이블 부착 예시(문서, 이메일, 저장매체, 화면/출력물 캡처 등)
- 자동 레이블링/분류 도구 설정 및 적용 결과 기록
- 레이블링 관련 임직원/외부자 교육 자료 및 이수 내역
- 레이블링 현황 점검/실사 결과 및 오표기/누락 조치 내역
부적합 사례
- 정보 분류 체계는 있으나 레이블링 절차/기준이 없어 자산에 등급 표시가 이루어지지 않는 경우
- 대외비/기밀 문서에 분류 등급이 표시되지 않아 취급자가 민감도를 인지하지 못하고 일반 문서처럼 다루는 경우
- 종이 문서에는 레이블을 부착하나 전자파일/이메일/저장매체 등 다른 형태에는 표기 규칙이 없어 일관성이 결여된 경우
- 분류 등급이 상향되었음에도 기존 레이블이 갱신되지 않아 실제 민감도와 표시가 불일치하는 경우
- 레이블의 의미와 등급별 취급 규칙에 대한 교육이 없어 임직원이 레이블을 인지/준수하지 못하는 경우
- 레이블링 현황을 점검하지 않아 다수 자산이 무표기/오표기 상태로 방치되는 경우