개방성(Openness)이란 무엇인가?
정보 보안에서 개방성은 하나의 기술적 방법론입니다. 여기에는 누구나 동등한 지위로 참여할 수 있는 투명한 인터넷 표준 개발 과정과, 누구나 자유롭게 구현할 수 있는 비독점적(오픈) 프로토콜이 포함됩니다. 이러한 개방성은 다양한 관점과 아이디어가 공존할 수 있는 토양을 제공하며, 별도의 승인 절차 없이도 인터넷 애플리케이션과 서비스를 만들고 배포할 수 있는 자유를 의미합니다.
개방성은 개방형 표준, 개방형 데이터, 공개 API, 투명한 프로세스, 오픈 소스, 그리고 유연성·커스터마이징·확장성을 갖춘 개방형 아키텍처 등 다양한 형태로 구현됩니다. 특히 IoT(사물인터넷) 보안 마인드를 정립할 때는 인식(perception), 평가(assessment), 대응 과제(challenge)라는 3차원적 관점에서 보안 문제를 바라보아야 한다는 점이 강조됩니다.
오픈 소스 방식과 사이버 보안
오픈 소스 소프트웨어(OSS) 방법론을 사이버 보안 문제 해결에 적용하는 것은 개방성의 대표적인 실천 사례입니다. OSS 방식은 사용자가 소프트웨어를 어떤 목적으로든 활용하고, 연구하고, 수정하고, 재배포할 수 있도록 허용함으로써 애플리케이션과 문서 같은 지적 산출물을 공동으로 개발하고 지속적으로 유지보수합니다.
여기서 말하는 사이버 보안 문제란 컴퓨터 시스템과 그 시스템이 속한 네트워크에서 기밀성(confidentiality), 무결성(integrity), 가용성(availability)이라는 보안 3대 요소가 실제로 결여된 상태, 혹은 잠재적으로 결여될 가능성, 즉 취약점(vulnerability)이 존재하는 상태를 의미합니다.
IoT 보안에서 개방성의 양면성
IoT 시스템에서 개방성은 혁신과 상호운용성 등 수많은 이점을 가져다주지만, 개방적이라고 해서 보안이 자동으로 보장되는 것은 아닙니다. 업계 전반에서 보안과 프라이버시가 최우선 의제로 부상하고 있는 가운데, 특히 보안 역량을 핵심 역량으로 갖추지 못한 중소 IoT 벤더나 스타트업에게는 안전한 IoT 인프라를 구축하는 일이 큰 도전 과제로 다가옵니다.
개인정보 보호 정책의 원칙
조직은 개인정보 관리에 관한 정책을 명확하게 문서화하고, 요청하는 사람 누구에게나 이를 제공해야 합니다. 이 원칙은 다음과 같은 세부 지침을 포함합니다.
- 모든 기관은 명확한 개인정보 보호 정책을 수립하고, 요청이 있으면 누구에게나 제공해야 합니다.
- 이는 기관이 프라이버시 문제를 인식하고 정보 보안에 대한 의지를 갖추고 있음을 보여줍니다.
- 나아가 대중의 신뢰와 확신을 높이는 효과도 기대할 수 있습니다. 개인정보 보호 규칙은 IPP(Information Privacy Principles, 정보 프라이버시 원칙)를 기반으로 마련되어야 합니다.
- 개인정보 보호 정책은 눈에 잘 띄는 곳에 게시하고 쉽게 확인할 수 있어야 하며, 웹사이트에 게시하는 경우 다운로드가 가능하도록 하는 것이 좋습니다.
- 기관이 웹사이트를 통해 개인 데이터를 수집한다면, 개인정보가 수집되는 모든 지점에 개인정보 보호 정책으로 연결되는 링크를 포함해야 합니다.
- 개인정보 보호 정책은 긍정적인 의지 표명으로 시작해야 하며, 명확하고 누구나 쉽게 읽고 이해할 수 있는 평이한 문체로 작성되어야 합니다.
- 데이터 프라이버시 관련 추가 문의를 할 수 있도록 기관의 연락처 정보를 함께 제공해야 하며, 기관은 이러한 문의를 처리할 수 있는 체계를 갖추어야 합니다.
- 기관은 자신이 보유한 개인정보를 어떻게 관리하는지에 대한 정책을 명확히 담은 문서를 공개적으로 열람할 수 있도록 해야 합니다.
- 개인의 요청이 있을 경우, 기관은 해당 개인에게 어떤 종류의 개인정보를 보유하고 있는지, 왜 보유하는지, 그리고 그 정보를 어떻게 수집·보유·이용·공개하는지 알려주기 위한 합리적인 조치를 취해야 합니다.