[논문]개인정보의 안전성 확보조치 기준에서의 우선순위 정립에 관한 연구

김영희; 국광호

개인정보의 안전성 확보조치 기준에서의 우선순위 정립에 관한 연구
A Study on Priority Rankings of Actions Providing Personal Information Security 원문보기

융합보안논문지 = Convergence security journal, v.14 no.4, 2014년, pp.9 - 17

김영희 (서울과학기술대학교 IT정책전문대학원 산업정보시스템공학전공) , 국광호 (서울과학기술대학교 기술경영융합대학 글로벌융합산업공학과)

초록
AI-Helper

정보화 및 인터넷의 급속한 발전에 따라 개인정보를 취급하는 기업에서 개인정보의 안전한 취급 관리를 위한 조치를 취하지 않아 개인정보가 유출되고 오 남용되는 사례가 빈번히 발생하고 있다. 이에 국내에서는 개인정보주체의 프라이버시 보호와 피해를 줄이기 위해 개인정보보호 관련 법제를 강화하고 관련 법제를 바탕으로 개인정보처리자가 개인정보를 보호하기 위한 안전성 확보조치 기준을 마련하고 따르도록 하고 있다. 그러나 개인정보의 안전성 확보조치 기준항목의 경우 각 개인정보 처리 기업의 특성 및 항목별 중요도에 따른 우선 적용 기준 등이 고려되지 않아 이행에 어려움이 따르고 있다. 따라서 본 연구에서는 개인정보의 안전성 확보조치 기준들의 세부적인 사항들을 기존 문헌 연구와 관련 법률을 통해 평가 기준을 도출하고, 평가 기준의 정량화 및 계층화를 위해 KJ (Kawakita Jiro) 기법을 이용하여 유사기준 항목의 통합 및 그룹화를 하여 계층구조를 생성한다. 이렇게 생성된 계층 구조를 AHP (Analytical Hierarchy Process) 기법을 이용해 전문가 대상으로 가중치 산정하여 기업에서 보다 합리적이고 효율적인 개인정보보호를 위한 우선순위 제안을 목적으로 한다.

Abstract ▼ AI-Helper

With the rapid development of the Internet and information technology, a company that deals with personal information does not have proper action to protect personal privacy and not take measures for the safe handling and management of personal information. It generates the case to abuse of personal information occurring frequently. In order to focus the effort to reduce damage and protect the privacy of personal information entity and enhance privacy laws based on the connection method and the processing of personal information, Korea encourages a company to follow regulation by providing certain criteria. However, in the case of items of measures standard of safety of personal information such as priority applicable criteria in accordance with the importance of itemized characteristics and the company of each individual information processing is not taken into account, and there are some difficulties to execute. Therefore, we derive criteria by law and reviewing existing literature related, the details of the measures standard of safety of personal information in this study and generate a hierarchical structure by using the KJ method for layering and quantification of the evaluation in integration of the reference item similar and the grouping. Accordingly, the weights calculated experts subject using the AHP method hierarchical structures generated in this manner, it is an object of the proposed priority for privacy and efficient more rational enterprise.

주제어

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

따라서 이번 연구에서는 개인정보의 안전성 확보조치 기준고시 중 개인정보의 안전한 보호에 필요한 기술적·관리적 조치 기준인 3조에서 10조를 활용하여 관련 조와 각 세부 항에 대해, 개인정보보호전문가를 통한 개인정보의 안전성 확보조치 기준별 가중치를 측정해 상대적으로 중요한 항목을 도출하고, 이를 통해 기업에서 우선 적용되어야 하는 기준을 산정, 정량화 하고자 한다.
본 연구에서는 개인정보보호의 안전성 확보조치 기준별 가중치 산정을 위한 항목 도출을 위하여 「개인정보보호법」 및 동법 시행령에 따른 개인정보의 안전성 확보조치 기준을 조사하였으며 관련 기준을 토대로 전문가 집단을 통한 기준별 평가항목을 도출하고, APH 기법을 통해 개인정보의 안전성 확보조치 기준에 대한 가중치를 산정하여 평가한다.
본 연구에서는 기존에 동일하게 요구되는 개인정보의 안전성 확보조치 기준에 대해 전문가를 대상으로 실제 개인정보 처리 기업에서 개인정보보호를 위해 보다 시급하고 중점적으로 적용하고 관리되어야 할 조치 기준을 확인하고 도출하였다. 즉 개인정보를 보호하고 관리하기 위한 법률 및 시행령에서 제시한 개인정보의 안전성 확보에 필요한 관리적·기술적 보호기준의 경우 개인정보 처리 기업의 특성 및 중요도에 따른 우선 적용 기준이 고려되지 않아 조치기준 이행에 어려움이 따르고 있다.
본 연구의 의의는 일괄적으로 요구하고 있는 개인정보처리 기업 및 공공기관의 개인정보의 안전성 확보를 위한 조치 기준항목의 가중치를 평가하고 우선순위에 따라 선 조치되어야 될 최적의 모형을 제공하고 있다고 할 수 있다.

제안 방법

AHP 계층 모형을 토대로 전문가 평가를 위한 간격 척도 방식의 설문지를 작성 하여, 의견 취합 후 기하평균을 이용하여 여러 전문가가 집단으로 참여하여 의사결정한 개인적인 의견을 종합 하였다.
개인정보의 안전성 확보조치 기준 영역 내 1계층의 평가항목 8개 영역에 대해 10명의 전문가 응답한 설문을 쌍대비교한 결과를 이용하여 개인정보 안전성 확보 조치 기준항목에 대한 각각의 가중치를 산정하였으며, 다수의 전문가 판단을 취합하는 방법은 Satty의 연구에서 제시한 것처럼 동의를 구하여 단일의 중요도를 산출하는 방법과 개별적으로 중요도를 평가한 후 통합 하는 하는 2가지 방법 중 본 연구에서는 다수의 전문가 판단을 통합하기 위해 행렬의 역수성 유지에 적합한 기하평균(geometric mean)을 활용하여 10명의 전문가 집단의 가중치를 산정하였다[10].
개인정보의 안전한 보호를 위한 기준별 우선순위를 비교 분석해 보았다. 먼저 1계층을 비교해 본 결과 개인정보의 암호화(0.
먼저 기준별 평가항목 설정을 위해 개인정보의 안전성 확보조치 시행에 관한 법률·규제·규정에서 정의한 평가항목을 도출하였으며, 평가항목을 대상으로 개인정보보호 컨설팅 전문가 및 실무 보안 전문가 집단을 대상으로 KJ(Kawakita Jiro) 기법을 통해 평가항목을 정제화 하고 계층화·구조화 하였다. 마지막으로 AHP(Analytical Hierarchy Process) 기법을 통해 개인정보의 안전성 확보조치 기준 평가항목별 가중치를 산출한다.
먼저 AHP 의사 결정을 위한 목표(Goal)로 개인정보의 안전성 확보조치 기준으로 설정되었고 주 기준으로 개인정보보호 안전성 확보조치 기준에서 정의하는 필수의무사항 및 대표성을 띄면서 중복성이 존재하지 않는 8개 항목에 대해서 항목명을 간소화하여 내부관리 계획, 접근권한 관리, 비밀번호 관리, 접근통제 시스템 설치 및 운영, 개인정보의 암호화, 접속기록의 보관 및 위·변조방지, 보안프로그램 설치 및 운영, 물리적 접근 방지 항목과 각 주 기준에 대한 세부 항목으로 정제되어 정의 하였다.
먼저 개인정보의 안전성 확보조치 기준들의 세부적인 사항들을 기존 문헌 연구와 법률을 통해 평가 기준을 도출 하였고, 평가 기준의 정제화 및 계층화를 위해 브레인스토밍 기법 중의 하나인 KJ 기법을 이용하여 전문가의 창의성을 바탕으로 복잡한 현상을 객관적으로 분석하여 평가 기준들의 유사항목을 통합하고 그룹화 하여 계층구조를 생성하였다. 이와 함께 AHP 기법을 이용해 계층화된 평가 기준을 전문가를 통해 객관적이고 공정한 평가를 수행하여 가중치를 산정하고 우선순위를 도출하였다.
먼저 기준별 평가항목 설정을 위해 개인정보의 안전성 확보조치 시행에 관한 법률·규제·규정에서 정의한 평가항목을 도출하였으며, 평가항목을 대상으로 개인정보보호 컨설팅 전문가 및 실무 보안 전문가 집단을 대상으로 KJ(Kawakita Jiro) 기법을 통해 평가항목을 정제화 하고 계층화·구조화 하였다.
본 연구는 KJ 기법을 통해 정량화 되고 계층화된 계층도에 대해 AHP 평가 설문을 통해 평가항목에 대한 가중치와 우선순위를 도출 하였다.
본 연구에서는 평가항목을 정제화 하고 계층 모형을 만들기 위해 에서 도출한 1계층 8개, 2계층 25개의 주요 평가 기준을 대상으로 관련 전문가 집단을 대상으로, KJ 기법을 이용해 개인정보의 안전성 확보조치 기준 평가항목 중 표준 평가항목으로 사용가능한지 여부와 그룹화 등을 결정하였다.
요소 및 대안들을 쌍대 비교하는 방법은 A와 B중에 중요도를 가리는 질문하게 되는데 이때 사용되는 척도는 9점 척도를 기본형으로 이용하였다.
본 연구에서는 평가항목을 정제화 하고 계층 모형을 만들기 위해 <표 3>에서 도출한 1계층 8개, 2계층 25개의 주요 평가 기준을 대상으로 관련 전문가 집단을 대상으로, KJ 기법을 이용해 개인정보의 안전성 확보조치 기준 평가항목 중 표준 평가항목으로 사용가능한지 여부와 그룹화 등을 결정하였다. 이를 위해 개인정보보호 전문가 7명을 대상으로 KJ 기법을 활용하여 아이디어(평가항목)를 그룹화 하고 제목을 작성 하였다.
즉 개인정보를 보호하고 관리하기 위한 법률 및 시행령에서 제시한 개인정보의 안전성 확보에 필요한 관리적·기술적 보호기준의 경우 개인정보 처리 기업의 특성 및 중요도에 따른 우선 적용 기준이 고려되지 않아 조치기준 이행에 어려움이 따르고 있다. 이에 따라 「개인정보보호법」에서 제시한 개인정보의 안전한 보호를 위한 관리적 기술적 조치 기준에 대해서 전문가를 대상으로 AHP 기법을 이용하여 가중치를 산정하고 우선순위를 과학적으로 제시 하였다.
이에 따라 최종적으로 논리적인 오류가 없다고 판단되고 일관성 비율이 0.1 이하인 10개의 설문에 대해 가중치를 도출하고 평가 하였다.
먼저 개인정보의 안전성 확보조치 기준들의 세부적인 사항들을 기존 문헌 연구와 법률을 통해 평가 기준을 도출 하였고, 평가 기준의 정제화 및 계층화를 위해 브레인스토밍 기법 중의 하나인 KJ 기법을 이용하여 전문가의 창의성을 바탕으로 복잡한 현상을 객관적으로 분석하여 평가 기준들의 유사항목을 통합하고 그룹화 하여 계층구조를 생성하였다. 이와 함께 AHP 기법을 이용해 계층화된 평가 기준을 전문가를 통해 객관적이고 공정한 평가를 수행하여 가중치를 산정하고 우선순위를 도출하였다. 그 결과 개인정보의 암호화 항목이 접속기록의 보관 및 위·변조방지 항목 보다 개인정보보호를 위해 세배 더 중요하고 우선순위가 높은 항목이라고 전문가들은 판단하고 있다.

대상 데이터

본 연구에서는 개인정보보호전문가를 대상으로 30명 미만을 대상으로 설문을 실행하였다. 또한 AHP 설문에서 중요한 부분인 쌍대비교를 통해 도출된 가중치가 논리적인 오류가 없고 일관성이 있는지 확인하기 위해 일관성 비율 (CR.
산정된 일관성 비율이 0.1 미만인 설문은 논리적이고 합리적으로 평가되었다고 판단하여 분석 대상으로 선정하였고 일관성 비율이 0.1 이상인 경우는 논리적인 오류가 존재하는 비합리적이라 설문이라 판단하고 분석 대상에서 제외하였다.

데이터처리

본 연구에서는 개인정보보호전문가를 대상으로 30명 미만을 대상으로 설문을 실행하였다. 또한 AHP 설문에서 중요한 부분인 쌍대비교를 통해 도출된 가중치가 논리적인 오류가 없고 일관성이 있는지 확인하기 위해 일관성 비율 (CR. Consistency Ratio)을 계산하였다. 의사결정자의 판단이 논리적으로 일관성을 유지하고 있는지에 대한 여부를 확인하게 되는데, 이를 위해 T.

이론/모형

Consistency Ratio)을 계산하였다. 의사결정자의 판단이 논리적으로 일관성을 유지하고 있는지에 대한 여부를 확인하게 되는데, 이를 위해 T.L Satty 가 제안한 고유벡터를 이용하여 가중치의 추정한다. 계층 내 평가 요소간의 상대적인 중요도는 합이 1인 가중치로 일반적으로 나타내다.

성능/효과

066) 기준항목 보다 훨씬 더 우선순위가 높고 중요한 항목이라고 전문가들은 판단하고 있다. 다시 말해, 개인정보보호를 위한 관리적 기술적 조치 사항들 중 개인정보처리시스템에서의 고유식별 정보를 포함한 개인정보의 외부 유출에 대한 보안 조치 항목인 개인정보의 암호화에 대한 기준항목이 기록에 대한 로깅 및 관리에 관한 기준항목 보다는 개인정보 보호를 위해 선 조치되어야 할 중요한 기준항목이라고 전문가들은 판단하고 하고 있으며 이를 바탕으로 각각의 기준항목들 중에서도 시급하게 적용되어야 되는 기준 항목이 존재하는 것으로 판단된다.
종합하면 개인정보의 안전성 확보조치 기준별 상위 항목의 우선순위는 개인정보의 암호화(1위 0.181), 접근권한 관리(2위 0.174), 내부관리 계획(3위 0.145), 비밀번호 관리(4위 0.126), 접근통제시스템 설치 및 운영(5위 0.122), 보안프로그램 설치 및 운영(6위 0.090), 물리적 접근 방지(7위 0.097), 접속기록 보관 및 변조방지(8위 0.066)순으로 개인정보의 안전성 확보를 위해 기술적·관리적 조치 사항 별 우선순위가 제안 되었다.

후속연구

이에 따라 개인정보보호 활동에 대한 충분한 투자가 어려운 중소기업 및 개인정보보호 전문 인력을 갖추고 있지 않는 기업에서 개인정보의 보호를 위한 조치사항을 이행하는데 어려운 점이 존재하는데, 본 연구에서 제시한 계층구조 및 평가항목에 따른 가중치별 우선순위는 개인정보의 보호를 위한 우선 적용기준 및 모범 사례로 활용되는 계기가 될 것이다.
그 결과 개인정보의 암호화 항목이 접속기록의 보관 및 위·변조방지 항목 보다 개인정보보호를 위해 세배 더 중요하고 우선순위가 높은 항목이라고 전문가들은 판단하고 있다. 이처럼 전체 평가 기준에 대한 우선순위 도출을 통해 기업에서 개인정보의 안전성 확보조치 기준 적용을 위한 보다 합리적이고 효율적인 수단으로 활용 가능 할 것이다.
하지만 향후 연구에는 법률에서 요구한 개인정보의 안전성 확보조치 기준 이외 평가항목 산정을 위한 다양한 전문가의 참여와 각 전문가의 전문도에 따른 가중치를 부여하고 결과를 반영하여 좀 더 정교한 가중치 도출과 개인정보보호를 위한 추가 기준 도출을 하고, 이 연구의 결과를 바탕으로 기업에 적용하여 그 효용성과 적정성 평가를 통한 실효성 검증과 개인정보를 취급하는 공공, 민간, 통신 등 다양한 기관별 특화된 우선순위 산정 방안이 필요할 것으로 보인다.

질의응답

핵심어	질문	논문에서 추출한 답변
	현재 시행되고 있는 개인정보보호의 안전성 확보 조치 관련 사항은 어디에서 세부적으로 정의하고 있는가?	현재 시행되고 있는 개인정보보호의 안전성 확보 조치 관련 사항은 「개인정보보호법」및「정보통신망법」에서 세부적으로 정의 하고 있으며, 개인정보의안전한 보호를 위해 준수해야 할 관리적·기술적 조치사항을 공공, 민간 부분 등 개인정보 취급자 대상으로 지켜야할 세부적인 법률적 요건을 상세하게 정의 하고 있다.
	전문가들이 개인정보의 안전성 확보조치 기준들의 세부적인 사항들 중에서 가장 우선순위가 높은 항목으로 판단하는 항목은?	이와 함께 AHP 기법을 이용해 계층화된 평가 기준을 전문가를 통해 객관적이고 공정한 평가를 수행하여 가중치를 산정하고 우선순위를 도출하였다. 그 결과 개인정보의 암호화 항목이 접속기록의 보관 및 위·변조방지 항목 보다 개인정보보호를 위해 세배 더 중요하고 우선순위가 높은 항목이라고 전문가들은 판단하고 있다. 이처럼 전체 평가 기준에 대한 우선순위 도출을 통해 기업에서 개인정보의 안전성 확보조치 기준 적용을 위한 보다 합리적이고 효율적인 수단으로 활용 가능 할 것이다.
	개인정보보호 법률 및 규정의 목적은?	개인정보보호 법률 및 규정은 개인정보의 유출·남용으로부터 개인의 인격주체성을 보호함으로써 개인의 존엄성과 가치를 보호 하고 더 나아가 국민의 권리와 이익 증진을 위함에 있다[5]. 이에 따라 개인정보를 취급하는 기업에서는 개인정보의 생명주기 영역 등에 대한 보호 범위의 수립, 고유식별정보 처리의 제한, 개인정보 수집·이용 제공 기준 확립 및 안전한 처리를 위한 조치 및 관리·감독 등을 준수 하여야 한다.

참고문헌 (15)

김영섭, "개인정보보호 수준 평가지표 개발에 관한 연구", 석사학위논문, 전남대학교, 2008
행정안전부, "개인정보의 안전성 확보조치 기준", 행정안전부고시 제43호, pp. 1-48, 2011
방송통신위원회, 한국정보보호진흥원. "개인정보의 기술적 관리적 보호조치 기준 해설서", 한국정보보호진흥원, 2009
이동녁, "개인정보보호를 위한 정보시스템 보안감사 방법에 관한 연구", 석사학위논문, 명지대학교, 2010
김정덕, "개인정보보호 거버넌스의 목표와 프로세스에 관한 연구", 한국정보보호학회지, 제21권 제5호, pp. 7-11. 2011
정태명, "사업자 개인정보보호수준 향상방안 연구", 한국CPO포럼, pp. 3-6, 2008
Domingo R. Tan, Personal Privacy in the Information Age: Comparison of Internet Data Protection Regulations in the United Stats and European Union, 21 Loy. L.A. Int'l & Comp. L. Rev. 661, 1999
행정안전부, "개인정보보호법"법률 제 11690호, 2011
Saaty T.L, "Decision making for leaders (AHP series, Vol.2)", RWS, 1995
Saaty,T.L, "The Analytic Hierarchy Process", New York : McGraw - Hill. International, 1980
Saaty,T.L,"Decision Makingwith Dependenceand Feedback:The Analytic Network Process", Int. J. ServicesSciences, Vol. 1, No.1, pp.83-98, 2008
이정현, "개인정보보호 강화를 위한 인터넷 개인인증 프레임 워크 개선모델 연구", 박사학위논문, 고려대학교, 서울, 2012
이창효, "집단의 의사결정론", 세종출판사, 2000
행정안전부, "2012년 국가정보화백서", 한국정보화진흥원, pp. 407-408, 2012
Service Design Platform, http://www.servicedes ignplatform.com/

저자의 다른 논문 :

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증