$\require{mediawiki-texvc}$

연합인증

연합인증 가입 기관의 연구자들은 소속기관의 인증정보(ID와 암호)를 이용해 다른 대학, 연구기관, 서비스 공급자의 다양한 온라인 자원과 연구 데이터를 이용할 수 있습니다.

이는 여행자가 자국에서 발행 받은 여권으로 세계 각국을 자유롭게 여행할 수 있는 것과 같습니다.

연합인증으로 이용이 가능한 서비스는 NTIS, DataON, Edison, Kafe, Webinar 등이 있습니다.

한번의 인증절차만으로 연합인증 가입 서비스에 추가 로그인 없이 이용이 가능합니다.

다만, 연합인증을 위해서는 최초 1회만 인증 절차가 필요합니다. (회원이 아닐 경우 회원 가입이 필요합니다.)

연합인증 절차는 다음과 같습니다.

최초이용시에는
ScienceON에 로그인 → 연합인증 서비스 접속 → 로그인 (본인 확인 또는 회원가입) → 서비스 이용

그 이후에는
ScienceON 로그인 → 연합인증 서비스 접속 → 서비스 이용

연합인증을 활용하시면 KISTI가 제공하는 다양한 서비스를 편리하게 이용하실 수 있습니다.

개인정보 유.노출 사고로 인한 기업의 손실비용 추정
Estimating Direct Costs of Enterprises by Personal Information Security Breaches 원문보기

情報保護學會論文誌 = Journal of the Korea Institute of Information Security and Cryptology, v.19 no.4, 2009년, pp.63 - 75  

유진호 (한국인터넷진흥원) ,  지상호 (한국인터넷진흥원) ,  임종인 (고려대학교 정보경영공학전문대학원)

초록
AI-Helper 아이콘AI-Helper

해킹에 의한 개인정보의 유출 또는 기업의 관리 소홀로 인한 개인정보 유 노출 등의 침해사고가 다양한 형태로 발생하고 있으며, 이로 인한 피해범위도 확대되고 있다. 개인정보 유 노출 사고의 발생시 기업의 손실비용을 산출하는 일은 정보보호 투자에 대한 의사결정을 위해 필요하다. 본고는 개인정보 유 노출 사고로 인한 기업의 직접적이고 정량적인 손실비용 산출방안을 제시하고자 한다. 먼저 개인정보 침해사고에 의해 발생할 수 있는 손실비용을 범주에 따라 분류하고, 비용을 구성하는 요소들을 구체적으로 분석하였다. 또한 제시된 모형으로 2005${\sim}$2007년 동안 국내에서 발생한 개인정보 유 노출 사고의 손실을 추정하였고, 이를 일본의 사례와 비교 분석하여 시사점을 도출하였다.

Abstract AI-Helper 아이콘AI-Helper

Recently personal information security breaches by unauthorised access, mistakenly disclosure or stolen become more frequent and the scale of the economic loss of such incidents is growing. Assessing economic loss of personal information security breaches is needed for decision making of information...

주제어

AI 본문요약
AI-Helper 아이콘 AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

  • 국내 판례 결과를 활용하고자 한다.
  • 가 발생하는 시점부터 매출이익손실을 포함한 직원의 생산성에 직접적인 영향을 미치나, 개인정보 침해사고와 같은 비밀 성(Confidentiality)이 상실된 사고시점에는 직원들이 복구를 위해 투입되므로 업무생산성에는 영향을 미치나, 매출은 사고가 공지된 이후 고객들의 이탈에 의해 영향을 받으므로 이를 별도로 분리하여 관리할 필요가 있다. 따라서 본고에서는 '시간당 생산성'을 측정하는 변수로 직원의 시간당 인건비를 사용하고자 한다. 이와 같이 '시간당 생산성'을 측정하는 변수로 인건비를 사용할 것인지, 1 인당 GDP값을 사용할 것인지는 피해액을 측정하고자 하는 범위 또는 상황여건에 따라 결정되는 것이 필요하다.
  • 그러나 과태료나 과징금은 과실 여부에 대한 최종 결정에 따라 기업이 지불해야 하는 금액이고, 사고건당 지불하기 때문에 모든 피해자에게 지불해야 하는 손해배상금에 비해 상대적으로 미미하다. 따라서 본고에서는 손해배상금만을 잠재적인 법적 책임비용으로 추정하고자 한다.
  • 사용하고자 한다. 법원 판결은 시대적 상황에 따라 법의 해석이 달라질 수 있는 특성상, 가장 최근의 판례가 현실을 가장 잘 반영하는 것이라고 판단되기 때문에 최근에 나온 결과를 대푯값으로 사용하고자 한다. JNSA(2007)는 개인정보 유.
  • 본고는 개인정보 침해로 인한 손실비용을 산출하기 위해 Gordon & Loeb(2006)°] 정의한 것을 바탕으로, [그림 2〕와 같이 개인정보 침해사고에 의해 발생되는비용을 상세하게 구분하고자 한다. 유진호 외 (2008)의연 구에서도 이와 같은 방식에 의해 인터넷의 가용 성상 실로 인한 침해사고 손실비용을 산출하였다〔7〕.
  • 본고는 개인정보 침해사고가 발생하는 경우 조직 내에서 경제적 손실규모를 산출할 수 있는 모형을 수립하여, 개인정보보호의 중요성에 대한 기업의 인식 수준을 제고하고 국가 차원에서의 개인정보보호 수준을 높이기 위한 기초자료로 활용하고자 한다. 이를 통해 향후 유사한 상황이 발생할 시 그 경제적 손실을 측정하고 이를 예방하기 위한 대책 수립에 활용하는 것을 목적으로 하고 있다.
  • 본고는 이러한 비용 구조 파악을 위해 Gordon & Loeb(2006)이 개념적으로 정의한 침해사고 비용 구조를 활용하고자 한다〔6〕. Gordon & Loeb(2006)은[그림 1〕과 같이 침해사고 피해유형을 크게 비밀성, 가용성, 무결성이 상실된 것으로 나누고, 이에 따른 손실비용을 직접비용(Direct Costs)과 간접비용(Indirect Costs), 명시적 비용(Explicit Costs)과 잠재적 비용 (Implicit Costs)으로 구분하여 정의하였다〔6〕.
  • 본고에서는 손해배상금을 산출하기 위해서 새로운 계산식을 개발하는 것 보다는 법적 기준에 의해 결정된 최근 판례가 현실을 가장 적절히 반영하는 것이라 판단하여. 국내 판례 결과를 활용하고자 한다.
  • 본고에서는 최근 법원의 판결사례가 있는 경우에는 판결사례를 우선적으로 사용하고, 판결사례가 없는 경우에는 개인정보침해분쟁조정 위원회에서 조정한 사례를 사용하고자 한다. 법원 판결은 시대적 상황에 따라 법의 해석이 달라질 수 있는 특성상, 가장 최근의 판례가 현실을 가장 잘 반영하는 것이라고 판단되기 때문에 최근에 나온 결과를 대푯값으로 사용하고자 한다.
  • 위한 기초자료로 활용하고자 한다. 이를 통해 향후 유사한 상황이 발생할 시 그 경제적 손실을 측정하고 이를 예방하기 위한 대책 수립에 활용하는 것을 목적으로 하고 있다.
  • 따라서 향후에는 기업의 이미지 손상. 주가하락, 고객이탈에 의한 매출 하락 등과 같은 2차적인 손실에 대해서도 원단위 접근법을 통해 측정할 수 있는 방법론 연구를 통해 이를 보완하고자 한다.
  • 사례는 드물다. 특히 계량경제학적인 학술적인 접근 방식이 아닌 실무적인 관점에서 이해하기 쉽게 접근한 국내사례는 없기 때문에, 본고는 개인정보 침해사고에 의해 기업이 입게 되는 직접적인 손실 규모를 파악하는데 초점을 맞추어 , 이를 상세하게 계산하는 산출식과 적용사례를 제시하고자 한다.

가설 설정

  • 본고는 표면적으로는 나타나지 않는 잠재적인 위험에 대한 정량적 이해를 위해 피해자 전원에게 보상금을 지급하는 것을 가정하여 기업의 손실비용을 산출하였다. 기업에서 개인정보 유 .
  • 따라서 기업 입장에서는 최악의 상황을 고려해야 하기 때문에 피해자 전원에게 지급한다는 가정이 잠재적인 위험에 대한 손실의 총량을 산출하는 방법이다. 일본에서도 아직 집단소송제가 적용되고 있지는 않으나 JNSA(2007)의연구에서도 위험의 정량적인 총량을 파악하기 위해 피해자 전원에게 손해배상금을 지급하는 것을 가정하여 산출하였다.
본문요약 정보가 도움이 되었나요?

참고문헌 (26)

  1. 한국정보보호진흥원, 정보보호 포털 사이트, http://www.securenet.or.kr 

  2. 한국정보보호진흥원, '정보통신망 이용촉진 및 정보보호 등에 관한 법률.' 정보통신.정보보호 법령집 pp. 2-3 2006년 9월 

  3. 정부혁신지방분권위원회, '개인정보관리현황조사계획.' 2004년 1월 

  4. R. J. Weible, Privacy and Data, doctoral dissertation, Mississippi State Univ., 1993 

  5. 김여라, 이해춘, 유진호, '가상가치접근법(CVM)을 활용한 개인정보보호의 가치 산출 방법론 고찰.' 정보보호 이슈리포트, 한국정보보호진흥원 pp.1-22 2007년 2월 

  6. L.A. Gordon and M.P. Loeb, Managing Cybersecurity Resources: A Cost-Benefit Analysis, McGraw-Hill Companies, Inc., Sep. 2005 

  7. 유진호, 지상호, 송혜인, 정경호, 임종인. '인터넷 침해사고에 의한 피해손실 측정.' 정보화정책, 15(1), pp. 3-18. 2008년 

  8. 유진호, '개인정보 유출 회피를 위한 지불의사액 추정.' 한국정보보호진흥원 정보보호심포지움 발표자료. 2007년 6월 

  9. 유승훈, 곽승준, 신철오, '스펨메일의 불편 비용 추정.' 정보통신정책연구, 정보통신정책학회, 10(1), pp. 71-93. 2003년 6월 

  10. 이해춘, 안경애, 'CVM을 이용한 개인정보 유출의 손실 가치 분석.' 생산성 논문집, 22(2). pp. 1-24. 2008년 1월 

  11. 김상봉, 공공투자분석, 세창출판사, 2009년 3월 

  12. JNSA(일본네트워크시큐리티협회). '2006년 정보보안사고에 대한 조사보고서.' pp. 1-50. 2007년 10월 

  13. JNSA(일본네트워크시큐리티협회), '2006년 개인정보유출사고 조사결과.' pp. 1-15, 2007년 6월 

  14. JNSA( 일본네트워크시큐리티협회) , '2005 Information Security Incident Survey Report, Information Leakage: Projected Damages and Observations' pp. 4-50 , July 2006 

  15. PGP Corporation and Vontu, Inc. , 2007 Annual Study: Cost of a Data Breach, Nov. 2007 

  16. PGP Corporation and Vontu, Inc. , 2006 Annual Study: Cost of a Data Breach, Oct. 2006 

  17. Privacy Rights Clearinghouse, http://www.privacyrights.org 

  18. 서승우, 보안경제학, 서울대학교 출판부, 2008년 5월 

  19. 김정덕, 최광희, '정보보안사고 비용산정을 위한 개념적 모델.' 산업경영연구, 9(1), pp. 23-44. 2000년 

  20. K. Campbell. L. Gordon, M. Loeb , and L. Zhou, 'The Economic Cost of Publicly Announced Information Security Breaches:Empirical Evidence from the Stock Market,' Journal of Computer Security, vol. 11, no. 3, pp. 431-448 , 2003 

  21. H. Cavusoglu, B. Mishra , and S. Raghunathan, 'The effect of Internet security breach announcements on market value: capital market reactions for breached firms and Internet security developers,' International Journal of Electronic Commerce, vol. 9, no. 1, pp. 69-104, 2004 

  22. 남상훈,'기업 정보보호 투자효과 분석방법에서 보안 Event가 주식가격에 미치는 영향실증연구.' 박사학위논문, 고려대학교, 2005년 12월 

  23. 권영옥, 김병도, '정보보안 사고와 사고방지 관련투자가 기업가치에 미치는 영향.' Information System Review, 9(1), pp. 105-120, 2007년 4월 

  24. N. Weaver and V. Paxson, 'A Worst-Case Worm,' Third Annual Workshop on Economics and Information Security (WEIS) , pp. 1-12 , May 2004 

  25. 채승완, '일본의 개인정보보호체계와 개인정보의 경제적 가치.' 한일경상논문집 38권, pp. 1-25, 2007년 10월 

  26. 한국정보보호진흥원, '2008 정보보호 실태조사-기업편.' pp. 10-20, 2008년 12월 

저자의 다른 논문 :

LOADING...

관련 콘텐츠

오픈액세스(OA) 유형

FREE

Free Access. 출판사/학술단체 등이 허락한 무료 공개 사이트를 통해 자유로운 이용이 가능한 논문

이 논문과 함께 이용한 콘텐츠

저작권 관리 안내
섹션별 컨텐츠 바로가기

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

AI-Helper 아이콘
AI-Helper
안녕하세요, AI-Helper입니다. 좌측 "선택된 텍스트"에서 텍스트를 선택하여 요약, 번역, 용어설명을 실행하세요.
※ AI-Helper는 부적절한 답변을 할 수 있습니다.

선택된 텍스트

맨위로