데이터 자산, 소유권과 분류

자산 대장에 올릴 최소 단위는 독립적으로 책임·접근·보존을 결정할 수 있는 데이터셋이나 데이터 제품이다. 테이블을 무조건 한 항목씩 만들면 관리량만 늘어난다. 중요도는 기밀성, 무결성, 가용성, 개인정보·계약 의무, 사업 영향으로 정하고 이용 목적을 함께 적는다.

데이터 오너는 자산의 업무 정의와 허용 목적, 품질 기준, 접근 예외를 승인한다. 스튜어드는 대장과 분류를 최신 상태로 유지한다. 개인정보 담당자는 개인정보의 처리 근거와 가명처리·제공 조건을 검토하고 보안팀은 기술 통제를 설계한다. 시스템 오너는 저장 위치와 실제 파기 가능성을 확인한다.

대장에는 자산 ID, 이름, 업무 설명, 오너·스튜어드, 원천 시스템, 저장 위치, 분류, 개인정보 여부, 허용 목적, 금지 목적, 주요 소비자, 보존·파기 규칙, 계약 제한, 최종 검토일을 둔다. 등록 시 자동 탐지 결과를 제안으로 보여주되 최종 분류는 맥락을 아는 사람이 확정한다.

비정형 문서·이미지·음성도 같은 대장에 포함한다. 파일 저장소 경로만 적지 말고 문서군, 포함 가능 정보, OCR·전사 파생물, 검색 색인과 임베딩까지 연결한다. 마스킹은 원본을 바꾸는지, 조회 때 적용하는지와 재식별 위험을 구분한다.

필수 증적은 자산 대장, 분류 근거, 목적·계약 조건, 접근 승인, 마스킹 규칙, 분기 검토 기록이다. KPI는 핵심 자산 등록률, 오너 지정률, 분류 재검토 지연 건수, 목적 없는 접근 권한 수, 미등록 비정형 저장소 수를 본다.

• 핵심 자산의 오너와 스튜어드가 실명 역할로 지정됐다.
• 등급과 이용 목적을 별도 필드로 관리한다.
• 계약상 재이용·제공·보존 제한을 적을 수 있다.
• 비정형 원본과 OCR·임베딩 같은 파생 자산을 연결한다.
• 분류 변경이 접근·마스킹·보존 정책에 반영된다.

DB 스키마 목록을 자산 대장으로 부르는 경우가 많다. 기술 위치만 있고 목적과 오너가 없으면 공유와 폐기를 결정할 수 없다. 자동 분류를 확정값으로 믿는 것도 위험하다. 같은 주민등록번호 형태라도 처리 맥락과 법적 근거가 다를 수 있으므로 사람의 검토와 이의 제기 절차가 필요하다.