데이터 거버넌스란 무엇인가
비개발자를 위한 데이터 거버넌스 안내. 데이터의 정의, 책임자, 접근 권한, 보관 기준을 정하는 방법과 작은 조직에서 오늘 시작할 수 있는 최소 거버넌스 다섯 가지를 정리합니다.
데이터에도 주인과 사용 규칙이 필요하다
"비개발자가 알아야 할 데이터베이스 이야기" 12부작 중 7편입니다. 6편에서 본 데이터 품질 문제를 '우연'이 아니라 '체계'로 관리하는 방법 — 데이터 거버넌스를 다룹니다.
회의에서 매출 숫자가 서로 다르다. 영업팀은 CRM을, 재무팀은 회계 시스템을, 제품팀은 앱의 분석 화면을 보고 있다. 누군가 "어느 숫자가 맞습니까?"라고 묻지만 답할 책임자가 없다.
이 문제는 데이터베이스 성능을 높인다고 해결되지 않는다. 데이터의 뜻, 책임, 사용 규칙을 정해야 한다. 이것이 데이터 거버넌스(data governance)의 영역이다.
거버넌스는 통제 부서가 아니다
데이터 거버넌스는 조직이 데이터를 가치 있게, 안전하게, 책임 있게 쓰기 위해 의사결정 권한과 규칙을 정하는 체계다. 쉽게 말하면 다음 질문에 조직 차원의 답을 만드는 일이다.
- 어떤 데이터를 왜 모으는가?
- 각 데이터의 뜻과 기준은 무엇인가?
- 누가 품질과 사용을 결정하는가?
- 누가 보고 바꿀 수 있는가?
- 얼마나 오래 보관하고 언제 지우는가?
- 문제가 생기면 누가 책임지고 고치는가?
회의를 많이 만들거나 모든 사용을 막는 것이 목적이 아니다. 필요한 사람이 믿을 수 있는 데이터를 적절한 조건에서 사용할 수 있게 하는 것이 목적이다. 거버넌스가 잘 작동하는 조직은 데이터를 덜 쓰는 조직이 아니라, 더 자신 있게 쓰는 조직이다.
데이터 관리와 데이터 거버넌스의 차이
| 구분 | 핵심 질문 | 예 |
|---|---|---|
| 데이터 거버넌스 | 누가 무엇을 결정하며 어떤 원칙을 따르는가? | 고객의 정의, 보관 정책, 승인 권한 |
| 데이터 관리 | 정한 원칙을 실제로 어떻게 실행하는가? | 데이터 입력, 품질 검사, 백업, 목록 관리 |
거버넌스가 교통법규라면 데이터 관리는 도로를 유지하고 신호등을 운영하는 일에 가깝다. 둘 중 하나만으로는 안전하게 이동하기 어렵다. 법규가 없으면 도로는 혼란스럽고, 도로 관리가 안 되면 법규는 글자일 뿐이다.
세 가지 역할을 구분한다
조직마다 이름은 다르지만 보통 다음 역할이 필요하다.
데이터 책임자(data owner)
업무 관점에서 데이터의 목적, 사용, 품질 기준을 결정한다. 고객 데이터라면 고객 업무를 책임지는 리더가 맡을 수 있다. '소유자'라는 말이 개인적으로 마음대로 쓴다는 뜻은 아니다. 결정과 책임을 맡는다는 뜻이다.
데이터 스튜어드(data steward)
정의와 품질 기준이 일상 업무에서 지켜지도록 돕는다. 중복, 누락, 용어 충돌을 찾아 관련 부서와 조정한다. '데이터 살림을 맡는 사람'에 가깝다.
데이터 관리자(data custodian)
접근 권한, 저장, 백업, 기술적 보호처럼 시스템 운영을 담당한다. 데이터베이스 관리자, 보안팀, 클라우드 운영팀 등이 역할을 나누어 맡을 수 있다.
작은 조직에서는 한 사람이 여러 역할을 맡을 수 있다. 중요한 것은 직함보다 결정권과 책임을 분명히 하는 것이다. 그리고 한 가지 인식 전환이 필요하다: 데이터의 내용과 정의에 대한 책임은 IT가 아니라 비즈니스 부서에 있다. IT는 창고 관리인이지 창고 안 물건의 주인이 아니다.
데이터 목록부터 만든다
가지고 있는 데이터를 모르면 보호도 활용도 어렵다. 처음부터 거대한 관리 도구를 살 필요는 없다. 중요한 데이터부터 다음 항목을 적은 목록을 만들 수 있다.
- 데이터 이름과 쉬운 설명
- 어디에서 만들어지고 어디에 저장되는지
- 업무 책임자와 기술 담당자
- 개인정보나 민감정보 포함 여부
- 누가 사용할 수 있는지
- 얼마나 오래 보관하는지
- 다른 시스템으로 어디에 전달되는지
- 마지막 품질·권한 검토일
데이터에 대한 이런 설명을 메타데이터(metadata) — '데이터를 설명하는 데이터'라고 부른다. 사진 파일의 촬영일·위치 정보처럼, 데이터에도 "이게 무엇이고 어디서 왔는지"를 설명하는 정보가 필요하다. 메타데이터 없이 쌓인 데이터는, 이름표 없는 창고의 상자와 같다.
등급을 나누면 보호 기준이 선명해진다
모든 데이터를 같은 방식으로 보호하면 비용이 지나치게 커지거나, 정말 중요한 데이터의 보호가 약해질 수 있다. 조직은 예를 들어 다음처럼 분류할 수 있다.
- 공개: 누구나 보아도 되는 자료
- 내부용: 직원 업무에 필요하지만 외부 공개는 곤란한 자료
- 기밀: 제한된 사람만 보아야 하는 사업·고객 정보
- 고도 민감: 유출 시 개인이나 조직에 큰 피해를 줄 수 있는 건강, 금융, 인증 정보 등
분류 이름보다 각 등급에 어떤 저장, 전송, 공유, 보관 규칙이 적용되는지가 더 중요하다.
작은 조직의 최소 거버넌스
작은 조직도 다섯 가지는 정할 수 있다.
- 중요한 데이터 목록을 만든다
- 항목마다 업무 책임자를 한 명 정한다
- 핵심 용어와 지표의 정의를 한곳에 적는다
- 접근 권한과 보관 기간을 정기적으로 검토한다
- 품질·보안 문제를 보고하고 고치는 담당과 절차를 정한다
미국 국립표준기술연구소(NIST)의 사이버보안 프레임워크 2.0도 보안을 기술팀만의 일이 아니라 조직의 위험 관리와 의사결정 문제로 보고 '거버넌스'를 핵심 기능에 포함한다.
거버넌스 도입이 자주 실패하는 이유도 알아두자. 규제 통과용 문서만 만들고 실제 업무에 적용하지 않거나, IT가 단독으로 추진해 현실과 동떨어지거나, 처음부터 전사 완벽 추진을 하다 지쳐 좌초하는 경우다. 가장 아픈 데이터 하나(보통 '고객 데이터')를 골라 정의 통일 → 책임자 지정 → 품질 측정을 해 보는 파일럿부터 시작하는 편이 성공 확률이 높다.
핵심 정리 데이터 거버넌스는 데이터를 막는 규제가 아니라 믿고 사용할 수 있게 만드는 의사결정 체계다. 정의, 책임자, 접근 권한, 품질, 보관과 삭제 기준을 분명히 한다. 큰 위원회보다 중요한 데이터 목록과 한 명의 책임자에서 시작할 수 있다.
생각해 볼 질문
- '고객'과 '매출'의 최종 정의를 결정할 사람은 누구인가?
- 중요한 데이터가 어디로 복사되고 전달되는지 알고 있는가?
- 퇴사하거나 업무가 바뀐 사람의 권한을 언제 회수하는가?
- 6편의 품질 기준(정확성·완전성·일관성…)을 누가 측정하고 보고하는가?
다음 글: 개인정보를 많이 모으는 것이 왜 자산이 아니라 부담이 될 수도 있는지 살펴본다. 수집부터 삭제까지, 개인정보의 전체 생애주기다.
참고: NIST Cybersecurity Framework 2.0, NIST Privacy Framework
시리즈 목차
- 데이터베이스란 무엇인가 — 엑셀 파일과 무엇이 다를까?
- 데이터베이스는 어떻게 정확성을 지킬까
- 데이터베이스에는 어떤 종류가 있을까
- 데이터베이스, 데이터 웨어하우스, 데이터 레이크
- 올바른 데이터베이스 선택이 중요한 이유
- 데이터 모델과 데이터 품질
- 데이터 거버넌스란 무엇인가 ← 현재 글
- 개인정보는 적게, 필요한 만큼만
- 데이터 보안의 기본
- 데이터 침해는 왜 일어나며, 발생하면 무엇을 해야 할까
- 클라우드와 서버리스 데이터베이스
- AI 시대의 데이터베이스
