[논문]개인정보보호 대책의 효과 및 인과관계: 기업 및 개인의 개인정보보호 행동에 대한 실증분석 및 그 시사점

신일순

doi:10.13089/jkiisc.2016.26.2.523

개인정보보호 대책의 효과 및 인과관계: 기업 및 개인의 개인정보보호 행동에 대한 실증분석 및 그 시사점
Effects and Causality of Measures for Personal Information: Empirical Studies on Firm and Individual Behaviors and their Implications 원문보기

情報保護學會論文誌 = Journal of the Korea Institute of Information Security and Cryptology, v.26 no.2, 2016년, pp.523 - 531

초록
AI-Helper

본 연구에서는 갈수록 심각해지는 개인정보 유 노출 문제에 대해 기업 및 개인의 개인정보와 관련한 행동 및 그 결과를 기존의 연구에 비해 보다 충실하고 풍부하며 이질적인 데이터를 이용하여 실증적으로 살펴봄으로써 개인정보 문제를 좀 더 미시적인 차원에서 이해하고 이를 기초로 해결책을 논의하는 시도를 하였다. 선택편이(selection bias)의 문제를 해결할 수 있는 성향점수 매칭(PSM) 방법을 통한 실증분석의 결과, 우리의 직관과는 달리 기업이 기술적 대책을 적극적으로 수립하고 정보보호를 위한 투자를 많이 할수록 오히려 개인정보 침해사고를 경험할 가능성이 높아지며, 개인들 역시 바이러스 검사를 더 자주할수록 침해사고를 경험할 가능성이 높아지는 것으로 나타났다. 또한 개인정보 침해를 경험한 기업이 개인정보보호 투자를 늘리는 경향이 있으며, 개인정보 침해를 경험한 사람들이 바이러스 검사를 더 적극적으로 할 가능성이 높아지는 역의 인과관계(reverse causality)의 결과가 도출되었다. 이러한 결과를 바탕으로 개인정보보호 대책에 대한 시사점을 논의하였다.

Abstract ▼ AI-Helper

This paper studies the empirical relationship between various privacy protection measures and personal information invasion experience of firms and individuals using rich and heterogeneous survey data. By analyzing PSM models. we get the following results: first, the treatment group which have more technical measures and/or IS investment tends to experience more privacy invasion than the control group which have less of them. second, the reverse causality, that is firms and individuals with more experience of privacy invasion tends to take more measure for personal information protection, is found to exist. From these result, we discuss proper privacy policies implications in respects of attackers benefits and individual irrationality.

주제어

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

본 연구는 성향점수 매칭법(PSM)을 이용하여 기업/개인의 개인정보보호 대책이 정보보호 침해 사고에 미치는 순효과, 즉 ATT(Average treatment effect on The treated)를 추정하는 것을 목적으로 하고 있다. 이를 위한 실증 모형은 다음과 같다.
최근의 여러 실증경제학 연구들은 이러한 문제를 비교적 간단하게 해결하는 방법들을 제시하고 있다. 본 연구에서는 이러한 방법 중에서 PSM 방법을 이용하여 선택편의 및 이에 따른 기존 방법의 내생성의 문제를 해결하고자 하였다. 즉 PSM 방법을 사용하면 선택 편이의 문제를 해소하여 서로 다른두 집단의 효과를 분석할 수 있다는 점에서 집단을 구분하는 요인으로부터 효과가 발생하는 인과관계를 추정할 수 있게 된다.
이에 본 연구에서는 기업과 개인을 구분하여 개인정보보호 대책이 정보보호 침해 사고에 미치는 효과를 추정하고자 하였다. 먼저 전통적인 실증분석 방법을 이용하여 효과를 추정하였으며, 다음으로 선택 편이(selection bias) 및 내생성(endogeneity) 문제를 해결하기 위해 성향점수 매칭(propensity score matching; PSM) 방법을 사용하여 분석하였다.
먼저 전통적인 실증분석 방법을 이용하여 효과를 추정하였으며, 다음으로 선택 편이(selection bias) 및 내생성(endogeneity) 문제를 해결하기 위해 성향점수 매칭(propensity score matching; PSM) 방법을 사용하여 분석하였다. 특히 정보보호 대책이 침해사고에 미치는 효과뿐 아니라 침해사고가 정보보호 대책 수립에 미치는 역의 인과관계(reverse causality)기 존재하는 지를 분석하고자 하였다. 최종적으로 실증분석의 결과를 활용하여 개인정보보호 대책에 대한 몇 가지 시사점을 논의하였다.

제안 방법

먼저 성향점수 매칭법에 앞서 로짓(logit) 모형을 이용한 실증분석을 실시하였다. 여기서 로짓 분석을 수행한 이유는 종속변수가 침해경험을 나타내는 것으로 이항분포를 가지기 때문이다.
본 연구는 기업 및 개인 분석으로 구성된다. 먼저 기업 분석에서 사용한 데이터는 [3]의 원자료이다.
마지막으로 세 번째 단계에서는 처방의 순효과인 ATT(Average treatment on the treated)를 추정한다. 본 연구의 주목적인 정보보호 대책에 따른 침해사건 감소 효과는 PSM을 통해서 정보보호 대책 기업의 실제 침해사건과 만일 이 기업이 정보보호 대책을 수립하지 않았다면 나타났을 침해사건과의 차이를 통해 분석된다. ATT는 다음과 같이 정의된다.
앞서와 같이 역의 인과관계, 즉 개인의 개인정보보호 노력이 침해를 줄이는 방향이 아니라 반대로 침해를 경험한 사람들이 노력을 강화하는 방향의 영향을 살펴보기 위하여 역시 PSM 방법을 이용하여 실증분석을 하였다. 그 결과는 [표 6]과 같다.
이러한 결과가 위에서 설명한 것처럼 다소간의 편향성을 가지도 있을 가능성을 고려하여 다음으로는 PSM 방법을 이용하여 기업의 개인정보보호 대책의 효과를 추정하였다.⁴⁾
이에 따라 역의 인과관계, 즉 기업의 개인정보보호 대책이 침해를 줄이는 방향이 아니라 반대로 침해를 경험한 기업이 개인정보보호 대책을 마련하는 방향의 효과를 살펴보기 위하여 역시 PSM 방법을 이용하여 역방향의 실증분석을 하였다. 그 결과는 [표 3]과 같다.
조사 내용은 정보보호 및 개인정보보호의 중요성및 역기능에 대한 인식, 정보보호 제품 이용 현황 및 정보보호 대책 수립 여부, 인터넷 침해사고 대응 현황, 데이터 보안 관련 대응 현황, 이메일 및 휴대전화 스팸 방지를 위한 대응 현황, 인터넷 역기능 피해 및 신고 현황, 신규서비스에 대한 정보보호 인식 및 활동 등으로 이루어져 있다.
특히 정보보호 대책이 침해사고에 미치는 효과뿐 아니라 침해사고가 정보보호 대책 수립에 미치는 역의 인과관계(reverse causality)기 존재하는 지를 분석하고자 하였다. 최종적으로 실증분석의 결과를 활용하여 개인정보보호 대책에 대한 몇 가지 시사점을 논의하였다.

대상 데이터

본 연구는 기업 및 개인 분석으로 구성된다. 먼저 기업 분석에서 사용한 데이터는 [3]의 원자료이다. 한국인터넷진흥원은 민간부문의 정보보호 인식 제고를 위한 각종 정책 활동의 성과지표 산출, 국내 정보보호 수준 측정을 위한 각종 지수 산출, 민간부문의 정보보호 통계자료 제공 등을 목적으로 2001년부터 (2005년 이후에는 매년) 기업부문의 정보보호에 대한 조사를 실시하고 있다.
그런데 이러한 개인정보 문제에 대한 실증 분석의 어려움과 특이성에도 불구하고, 국내의 경우 상당 기간에 걸쳐 한국인터넷진흥원에서 『개인/기업의 정보보호 실태조사』를 수행하여 왔다[3, 4]. 이 조사는 정보보호에 대한 여러 가지 내용을 설문 방법을 통해 다수의 기업(2010년의 경우 6,000개 이상) 및 개인 (2010년의 경우 인터넷 이용자 5,422명)을 대상으로 체계적으로 수집한 데이터로 다른 나라에서는 유사 조사를 쉽게 발견할 수 없다. 따라서 실태조사의 원자료를 활용하면 기업 및 개인 수준에서 개인정보와 관련한 행동 및 그 효과에 대한 실증적인 연구가 가능하며, 특히 기존의 연구와 비교할 때 본 연구의 차별성은 분석을 위해 사용하는 데이터의 풍부함과 충실성에 있을 것으로 판단된다.
한편 개인 분석을 위해 사용한 데이터는 [4]의 원자료이다. 한국인터넷진흥원은 기업 데이터와 함께 인터넷 이용자의 정보보호 현황 및 관련 정책 수립의 기초 자료의 수집을 위해, 1998년부터(2006년 이후에는 매년) 조사를 실시하여 왔는데, 2010년 조사의 경우 지역별, 성별, 연령별로 층화변수화 하여 비례할당한 표본을 이용하여 전국 만 12~59세의 인터넷 이용자 5,422명을 대상으로 2010년 10월에 온라인 조사를 수행한 결과로 만들어진 자료이다.

데이터처리

성향점수는 처방집단과 통제집단을 구분하는 이항변수인 D를 종속변수로, 개별 특성들(X)을 독립변수로 하는 성향점수 회귀분석식을 구성하고, 이에 대해 프로빗(probit) 또는 로짓(logit) 회귀분석을 실시한다. 회귀분석의 결과 추정치의 예측 확률값 (predicted probability value)을 성향점수로 부여한다.

이론/모형

다음으로 두 번째 단계에서는 부여된 성향점수를 이용하여 처방집단과 통제집단간의 매칭을 실시한다. 매칭은 다양한 방식으로 가능한데, 본 연구에서는 처방집단과 통제집단간의 성향점수를 비교하여 가장 가까운 성향점수군끼리 매칭을 하는 Nearest Neighbor Matching을 사용하였다.²⁾
이에 본 연구에서는 기업과 개인을 구분하여 개인정보보호 대책이 정보보호 침해 사고에 미치는 효과를 추정하고자 하였다. 먼저 전통적인 실증분석 방법을 이용하여 효과를 추정하였으며, 다음으로 선택 편이(selection bias) 및 내생성(endogeneity) 문제를 해결하기 위해 성향점수 매칭(propensity score matching; PSM) 방법을 사용하여 분석하였다. 특히 정보보호 대책이 침해사고에 미치는 효과뿐 아니라 침해사고가 정보보호 대책 수립에 미치는 역의 인과관계(reverse causality)기 존재하는 지를 분석하고자 하였다.

성능/효과

5) 그런데 흥미로운 점은 여전히 우리의 직관과는 반대로 기술적 대책을 더 수행하고 정보보호 투자를 증가시킬수록 유의미하게 개인정보 침해의 경험이 늘어난다는 결과가 나타났다는 점이다.
이를 위해서는 기업/개인들을 그냥 비교하는 것이 아니라 이 고유한 속성이 유사한 기업들을 매칭하여 비교함으로써 고유한 속성에 의한 영향을 차단한 채 개인정보보호 대책의 영향만을 추출해 내는 것이 필요한 바, 성향점수매칭 (PSM) 방법은 가능한 한 유사한 기업들을 매칭하여 비교함으로써 표본선택편의로 인해 발생하는 내생성 문제를 최소화하는 방법이다. PSM 방법을 이용 하여 기업/개인의 개인정보보호 노력의 순효과를 추정하면, 우리의 직관과는 달리 기업이 기술적 대책을 적극적으로 수립하고 정보보호를 위한 투자를 더 많이 할수록 오히려 침해사고를 경험할 가능성이 높아지며, 개인들이 바이러스 검사를 더 자주할수록 오히려 침해사고를 경험할 가능성이 높아지는 결과가 도출되었다.
통제변수를 제외하고, 유의미한 추정계수를 보이는 결과를 해석하면 다음과 같다. 기업의 경우와 유사하게, 개인의 경우에도 주 1회 이상 바이러스 검사하는 사람 및 파일 다운로드 시 바이러스 검사를 실시하는 사람이 더 높은 확률로 개인정보 침해를 경험하는 것으로 나타났다. 이 역시 편향성을 내포하고 있을 가능성이 있기 때문에 PSM 방법을 이용하여 분석하면 다음과 같다.
둘째, 침해 경험을 한 그룹의 개인정보보호 대책이 증가한다는 결과로부터 우리는 개인정보보호에 대하 노력이 사전적·예비적 행동이라기보다 사후적 보완책으로 이루어지는 것으로 이해할 수 있다.
셋째, 역의 인과관계(reverse causality)의 가능성을 추정하기 위해 개인정보 침해 사고 경험을 기준으로 개인 및 기업을 매칭하여 분석하면, 개인정보침해를 경험한 기업이 개인정보보호 투자를 늘릴 가능성이 높으며, 개인정보 침해를 경험한 사람들이 바이러스 검사를 더 적극적으로 할 가능성이 높아지는 결과가 도출되었다.
그 결과는 [표 6]과 같다. 유의미한 추정계수만으로 표현하면 침해 경험이 높은 개인이 주 1회 이상 바이러스 검사를 할 가능성이 1% 유의수준에서 높아진다는 것으로 나타나다. 이 결과는 앞서서 살펴본 결과와 함께 매우 흥미로운 해석을 가능하게 한다.
첫째, 개인정보보호 대책의 강도가 높아짐에도 불구하고 침해가 줄어드는 것이 아니라 상식과는 다르게 더 늘어난다는 결과로부터 우리는 잠재변수(latent variable)의 가능성을 추론해 볼 수 있다. 개인정보보호와 관련하여 생각할 수 있는 잠재변수로는 개인정보를 획득을 목적으로 하는 소위 공격자(attacker)의 상황이다.
첫째, 종속변수를 개인정보 침해 경험 여부를 나타내는 이항변수(binary variable)로 하고, 설명변수를 다양한 기업/개인의 개인정보보호 대책으로, 기타 통제변수를 포함하여 로짓(logit) 분석을 하면 대부분의 개인정보보호 대책이 개인정보 침해 사고를 낮추기 보다는 오히려 이를 높이는 것으로 나타난다.

후속연구

둘째, 기업/개인들에 미관측되는 고유한 속성이 존재하고 이 고유한 속성에 의하여 개인정보 침해가 영향을 받는다면, 이 결과가 개인정보 노력 및 대책에 것인지 혹은 기업/개인에 고유한 속성에 의한 것인지 구분할 필요가 있다. 이를 위해서는 기업/개인들을 그냥 비교하는 것이 아니라 이 고유한 속성이 유사한 기업들을 매칭하여 비교함으로써 고유한 속성에 의한 영향을 차단한 채 개인정보보호 대책의 영향만을 추출해 내는 것이 필요한 바, 성향점수매칭 (PSM) 방법은 가능한 한 유사한 기업들을 매칭하여 비교함으로써 표본선택편의로 인해 발생하는 내생성 문제를 최소화하는 방법이다.
그런데 현재까지 개인정보보호에 대한 대책은 주로 공격자의 입장에서 공격 성공의 확률을 낮추는 방법에만 집중하였고, 공격 성공에 따른 이득을 줄이는 방법에 대해서는 그다지 신중한 고려를 하지 않은 것으로 판단된다. 따라서 본 연구의 실증분석으로부터 얻을 수 있는 하나의 시사점은 개인정보보호의 문제를 해결하기 위해서는 개인 및 기업의 시스템을 보호하는 여러 가지 대책이 필요하지만, 이와 더불어 비록 침해사고가 발생하더라도 침해의 공격자가 그다지 많은 이득을 취하지 못하게 하는 방안을 고려해야 한다는 것이다. 하나의 예를 들면, 개인의 주민번호를 공격자가 가지더라도 이 번호가 영속적이지 않다면 이를 통해 취할 수 있는 이득은 현저히 줄어들 것으로 예상할 수 있다.
이 조사는 정보보호에 대한 여러 가지 내용을 설문 방법을 통해 다수의 기업(2010년의 경우 6,000개 이상) 및 개인 (2010년의 경우 인터넷 이용자 5,422명)을 대상으로 체계적으로 수집한 데이터로 다른 나라에서는 유사 조사를 쉽게 발견할 수 없다. 따라서 실태조사의 원자료를 활용하면 기업 및 개인 수준에서 개인정보와 관련한 행동 및 그 효과에 대한 실증적인 연구가 가능하며, 특히 기존의 연구와 비교할 때 본 연구의 차별성은 분석을 위해 사용하는 데이터의 풍부함과 충실성에 있을 것으로 판단된다.

질의응답

핵심어	질문	논문에서 추출한 답변
	기존의 개인정보보호에 대한 대책의 특징은 무엇인가?	그런데 기존의 개인정보보호에 대한 대책을 살펴보면 대부분 사후적·대증적이어서, 개인정보 유출 사고가 발생한 이후에 제도적으로 이를 보완하는 방식으로 문제를 해결하고 있는 것으로 판단된다. 개인정보 유출의 문제를 보다 근본적으로 해결하기 위해서는, 개인정보를 다루는 기업들과 이로 인해 피해를 입는 개인들이 개인정보와 관련해서 어떠한 유인 구조(incentive structure)를 가지고 어떻게 행동 (behavior)하며, 만일 불합리한 행동을 하고 있다면 그 이유는 무엇이고, 이를 변화시키기 위해 어떠한 대책이 필요한지에 대한 논의가 요구된다.
	PSM 방법은 무엇인가?	즉 PSM 방법을 사용하면 선택 편이의 문제를 해소하여 서로 다른두 집단의 효과를 분석할 수 있다는 점에서 집단을 구분하는 요인으로부터 효과가 발생하는 인과관계를 추정할 수 있게 된다. PSM 방법은 금융경제학에서 신규 상장기업의 효과를 분석하거나 노동경제학에서 임금효과를 분석하는 등 최근 들어 활발히 응용되고 있는 방법론이다.
	PSM 방법을 통한 추정은 어떠한 단계로 이루어지는가?	PSM 방법을 통한 추정은 통상적으로 세 가지 단계를 통해 이루어진다. 첫 번째 단계에서 성향점수를 추정하고, 두 번째 단계에서는 성향점수를 이용하여 처방집단과 통제집단을 대응(매칭)시키며, 마지막으로 세 번째 단계에서 처방집단과 통제집단 간의 결과 변수의 차이를 구하고 이를 통해 분석하고자 하는 효과를 추정한다.

참고문헌 (10)

Trustwave, 2012 Global Security Report, Trustwave, 2012.
A. G. Kotulic and J. G. Clark, "Why there aren't more information security research studies," Information & Management, Vol. 41, Issue 5, pp. 597-607, May, 2004.

상세보기
KISA, 2010 Information Security Survey: Firm-level, KISA, Seoul, 2011.
KISA, 2010 Information Security Survey: Individual-level, KISA, Seoul, 2011.
P. Rosenbaum and D. Rubin, "Reducing bias in observational studies using subclassification on the propensity score," Journal of the American Statistical Association, Vol. 79, No. 387, pp.516-524, Sep, 1984.

상세보기
H. Park and I. Shin, "Estimating the Effect on firm's productivity of Enterprise Software using PSM," Journal of Economics and Commerce, Vol. 28, No. 1-2. pp.1-28, Dec, 2014.
P. C. Austin, "Some Methods of Propensity-Score Matching had Superior Performance to Others: Results of an Empirical Investigation and Monte Carlo simulations," Biometrical Journal, Vol. 51, No. 1. pp.171-184, Feb, 2008.
R. H. Dehejia and S. Wahba, "Propensity score matching methods for non-experimental causal studies," Review of Economics and Statistics, Vol. 84, No. 1. pp.151-161, Feb, 2002.

상세보기
R. B. d'Agostino, Jr, "Tutorial in Biostatistics Propensity score methods for bias reduction in the comparison of a treatment to a non-randomized control group," Stat Med, Vol. 17, No. 19, pp.2265-2281, Oct, 1998.
W. Lee, "Propensity score matching and variations on the balancing test," Empirical Economics, Vol. 44, No. 1, pp.47-80, Feb, 2013.

상세보기

저자의 다른 논문 :

LOADING...

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증