주요 콘텐츠로 건너뛰기

[오픈넷 포럼] 빅데이터와 사물인터넷 시대, 비식별화 정보는 개인정보인가?(2016.03.21.)

지역

[오픈넷 포럼] 빅데이터와 사물인터넷 시대, 비식별화 정보는 개인정보인가?(2016.03.21.)

익명 (미확인) | 수, 2016/03/16- 11:07

[오픈넷 포럼]

빅데이터와 사물인터넷 시대, 비식별화 정보는 개인정보인가?

 

빅데이터와 사물인터넷 시대에 개인정보는 어떻게 보호되어야 할까요?

방송통신위원회는 2016년 업무계획에서 빅데이터 시대를 대비하여 비식별화와 익명화 조치 근거를 만들어 선사용-후동의(opt-out) 방식의 개인정보 활용 산업을 활성화하겠다고 밝힌 바 있습니다. 이같은 움직임은 이익형량의 고려가 부족한 사전 동의(opt-in) 방식의 현행 개인정보보호 법령이 기업들의 개인정보를 활용한 서비스를 부당하게 제한하고 있다는 인식에 근거하고 있습니다.

그러나 비식별화 및 익명화 처리에 대한 이해와 방법론이 불분명한 상황에서 옵트아웃 제도의 도입은 개인정보 자기결정권을 사실상 무력화시킬 수 있다는 우려와 비판의 목소리가 큽니다. 논의의 전제인 사전동의 방식의 개인정보 보호 효과에서부터 비식별화와 익명화의 개념정의, 국내외 개인정보보호 법령의 해석 등 많은 부분에서 주장이 엇갈리고 있는 것도 사실입니다.

이번 3월 정기 오픈넷 포럼에서는 개인정보 분야의 전문가들을 모시고 개인정보 비식별화/익명화 및 옵트아웃 정책을 둘러싼 각 계의 주장을 정리해보고 개인정보 보호에 대한 합리적 정책 방향을 모색하고자 합니다.

개인정보 분야에 관심있는 여러분들의 많은 참석 부탁드립니다.

  • 참가비는 무료이며 링크를 통해 참가신청을 해주시면 행사준비에 많은 도움이 됩니다.
  • 주차는 스타트업 얼라이언스 건물(현대타워) 주차장 이용 가능하며, 주차 영수증을 지참하시면 무료 주차권 발급이 가능합니다.
  • 참석하신 분들께는 샌드위치가 제공됩니다.

 

참가신청하기

 

<행사 안내>

일 시 : 2016. 3. 21.(월) 저녁 7시 30분 ~ 9시 30분

장 소 : 스타트업얼라이언스 앤스페이스

(서울시 강남구 테헤란로 423, 현대타워 7층/선릉역 10번 출구에서 직진, 3분거리)

- 지도: http://startupall.kr/location/

 

발 제

심 우 민   국회입법조사처 입법조사관

 

토 론

박 경 신  고려대학교 법학전문대학원 교수, 오픈넷 이사

전 응 준  법무법인 유미 변호사

이 영 환  건국대학교 정보통신대학원 교수

 

문의: 오픈넷 사무국 02-581-1643, [email protected]

 

시민들의 의견

댓글 달기

Plain text

  • 웹 페이지 주소 및 이메일 주소는 자동으로 링크로 전환됩니다.
  • 줄과 단락은 자동으로 분리됩니다.
  • 사용할 수 있는 HTML 태그: <a href hreflang> <em> <strong> <cite> <blockquote cite> <code> <ul type> <ol start type> <li> <dl> <dt> <dd>
이미지
무제한 수의 파일을 이 필드에 업로드할 수 있습니다.
50 MB 한계입니다.
허용된 유형: png gif jpg jpeg.
Enter the YouTube URL. Valid URL formats include: http://www.youtube.com/watch?v=1SqBdS0XkV4 and http://youtu.be/1SqBdS0XkV4.
CAPTCHA
스펨 사용자 차단 질문

한국의 청소년들을 위험에 빠뜨리는 스마트보안관 서비스는 즉시 중단되어야

- 캐나다 시티즌랩, MOIBA의 스마트보안관 앱에 대한 보안 감사 보고서 발표

 

한국시간으로 오늘 새벽 4시, 캐나다 토론토 대학교의 시티즌랩은 새로운 보고서 “우리의 아이들은 안전한가? 청소년들을 디지털 위험에 노출시키는 한국의 스마트보안관 앱(Are the Kids Alright? Digital Risks to Minors from South Korea’s Smart Sheriff Application)”을 발표했다. 이 보고서는 방송통신위원회(이하“방통위”)의 지원으로 개발된 스마트보안관에 대해 행해진 두 건의 보안 감사 결과와 법·정책적 검토 결과를 담고 있으며 해당 앱 서비스를 즉시 중단할 것을 권고하였다.

이번 보고서는 지난 6월 24일부터 26일까지 3일 동안 진행된 2015 시티즌랩 여름 연구소(Citizen Lab Summer Institute)에 참여한 오픈넷의 협업 제안의 결과물이다. 오픈넷에서는 동시에 진행된 3개 세션 중 “조준된 공격의 위협 및 감시(Targeted Threats and Surveillance)” 세션에서 공동작업을 할 프로젝트로 스마트보안관의 보안 취약점 분석 및 이러한 감시앱의 법제화의 타당성에 대해 연구할 것을 제안한 바 있다.

지난 4월 16일부터 시행된 개정 전기통신사업법 제32조의7 및 전기통신사업법 시행령 제37조의8은 이통사가 청소년과 전기통신서비스 제공에 관한 계약을 체결하는 경우 유해정보에 대한 차단수단을 제공할 것을 강제하고 있다. 동 법령에 의하면 이통사는 계약체결시 단순히 차단수단에 대한 정보를 제공할 뿐만 아니라 강제로 설치를 해야 하며, 설치 후에는 차단수단이 삭제되지 않도록 지속적으로 모니터링을 해야 한다. 게다가 더 큰 문제는 부모의 거부권(opt-out)이 인정되지 않는다는 점이다. 오픈넷은  해당 법령의 청소년의 프라이버시와 부모의 교육권 침해 문제를 지속적으로 지적해왔다(http://opennet.or.kr/8853).

이번에 문제된 스마트보안관은 방통위가 개발 및 홍보예산을 지원해 한국무선인터넷산업연합회(MOIBA)에서 개발해 2012년부터 보급해오고 있었던 스마트폰용 애플리케이션이다. 무료일 뿐만 아니라 방통위가 권장하는 앱으로 차단수단 강제 설치가 시작된 이후 가장 널리 사용되고 있는 앱이다. MOIBA의 S-안심존 홈페이지에 의하면 스마트보안관을 “스마트폰 상에서의 음란, 폭력 등 불법·유해정보(앱, 인터넷사이트)를 차단하여 우리 자녀를 보호하고, 부모가 자녀의 올바른 스마트폰 이용을 지도하고 관리할 수 있는 서비스”라고 소개하고 있다.

하지만 시티즌랩 연구진에 의하면 스마트보안관은 “실제로는 아이들을 보호하는 것이 아니라 더 큰 위험에 노출시키고 있”으며, “프로그램의 토대부터 아이들의 안전을 고려하지 않았다는 것이 입증”되었다. 보안 감사에서 발견된 26건의 보안 취약점들을 보면 스마트보안관은 이용자 정보의 저장 및 전송시 제대로 암호화를 하지 않아 공격자가 청소년의 정보를 모니터링하거나, 서버와 프로그램으로 위장하여 청소년의 정보를 변조하는 것을 가능하게 한다고 하며, 계정의 등록과 관리가 적절한 확인절차나 암호 없이도 가능하여 이용자 계정이 쉽게 도용되거나 탈취되어 스마트보안관이 설치되어 있는 휴대폰의 다른 기능들을 원격으로 조작할 수 있다고 한다. 또 서버는 ‘무작위 대입 공격(brute force)’ 방식의 개인정보 수집 시도나 잘못된 요청을 추적하거나 거부하지 않고 있어 서비스와 이용자들을 심각한 위험에 노출시키고 있다고 한다. 시티즌랩은 이러한 문제 때문에 즉시 스마트보안관서비스를 중단할 것을 권고하였다. 또한 이러한 보안 취약점들은 개인정보보호법 및 정보통신망법상 요구되는 개인정보보호조치 위반일 뿐만 아니라, 스마트보안관의 약관과 개인정보보호정책에서 주장하는 보안 수준에도 미치지 못해 계약상의 의무의 위반인 것으로 판단된다.

물론 우리의 청소년들을 온라인에서 범람하는 유해매체물과 음란물로부터 보호해야 한다는 점에 대해서는 논란의 여지가 없다. 하지만 국가는 국민들의 가정의 영역을 존중해야 하며 부모의 역할을 대신하려고 해서는 안 된다. 특히 국가가 사회의 취약한 집단에게 특정의 보호조치를 강제하고자 할 때에는 그러한 보호조치가 진정으로 필요한 것인지 내지 안전한지에 대한 철저한 검증이 있어야 할 것이다. 하지만 스마트보안관은 “선한 의도가 어떻게 매우 잘못된 결과를 초래할 수 있는지 정확하게 보여”준다. 정부는 유해정보 차단에만 집중한 나머지 이러한 감시앱이 우리의 아이들을 얼마나 큰 다른 위험에 노출시키는지에 대해서는 전혀 고려하지 않았다.

지금이라도 방통위는 당장 스마트보안관 서비스를 중단하고, 스마트보안관뿐만 아니라 방통위가 권장하고 있는 다른 차단수단에 대한 철저한 보안 감사를 거쳐야 할 것이다.

뿐만 아니라 궁극적으로는 개인의 통신기기를 타인이 감시할 수 있는 소프트웨어를 설치하도록 국가가 법으로 강제하겠다는 발상 자체가 심각한 보안상의 위험을 발생시킨다는 사실을 겸허히 받아들이고, 과연 청소년들이 단지 성인물에 접근하는 것을 막기 위해 청소년들이 이와 같은 보안상의 위험 및 프라이버시 침해를 감수하도록 하고 학부모들의 교육권을 교란하는 것이 현명한 일인지를 판단해보아야 할 것이다. 특히 빠른 시일 내에 전 세계적으로 유래가 없는 감시앱 강제화법인 전기통신사업법 및 법 시행령의 관련 조항들을 폐기하거나 개정해야 할 것이다. 사단법인 오픈넷은 진보네트워크센터와 함께 관련 조항들에 대한 헌법소원을 준비 중이다.

 

문의: 오픈넷 사무국 02-581-1643, [email protected]

 

월, 2015/09/21- 13:10
553
0

▶ 국제앰네스티 한국지부는 인권운동에 기여하고 변화를 함께 만들어 나갈 인재를 공개 채용합니다. 인권이 침해 받는 곳에서 함께 공감하고, 열정적이고 창의적인 기획으로 캠페인을 펼칠 캠페인 코디네이터에 많은 지원 바랍니다.

 

♦  분야: 전략캠페인팀 캠페인 코디네이터 1명

 

♦  담당업무

  • 국내 집회시위의 자유와 경찰력 사용/ 양심에 따른 병역거부 캠페인

- 인권상황 모니터링

- 캠페인 기획 및 실행

- 법·제도 변화를 위한 정책활동

- 국제사무국과 소통 및 연대 사업

* 사업 계획에 따라 다루는 캠페인의 영역은 달라질 수 있습니다.

 

♦  우대사항

  • 국내외 인권기준 및 인권법에 대한 이해
  • NGO활동에 대한 이해가 있으신 분
  • 관련 분야 3년 이상 경력자
  • 영어 능통자

 

♦  채용일정

  1. 서류전형: 2015.12.10(목) – 2016.1.03(일)
  2. 서류합격 발표: 2016.01.04(월)-05(화)
  3. 면접일: 2016.01.06(수)-08(금)
  4. 최종합격 발표: 2016.01.11(월)-12(화)
  5. 근무시작(예정)일: 2016.01.18(월)

 

♦  제출서류

  1. 지원서 1부: (지정양식: application)
  2. 자기소개서 1부(국문, A4 두 장 이내), 별도 서식 없으나 MS-word로 작성 요망
  3. 인권에세이(영문, A4 두 장 이내): ‘집회시위의 자유와 경찰력 사용’ 또는 ‘양심에 따른 병역거부와 인권’ 중 하나의 주제를 택해서 작성

※ 자기소개서와 경력기술서는 별도 서식이 없습니다.

 

♦  근무조건

  • 수습 3개월 적용 (급여동일, 근속연수 포함)
  • 주5일 근무, 4대보험, 퇴직금 

 

♦  기타

  • 제출한 서류는 일체 반환하지 않으며, 전화 문의는 받지 않습니다.
  • 지원서의 경우 반드시 지정 양식을 사용해 주시기 바라며, 제출서류 중 누락되거나 지정 양식을 사용하지 않을 시 서류 심사 대상에서 제외 됩니다.
  • 이메일 접수시 [email protected] (메일제목과 파일명은 “전략캠페인팀 –지원자 성명”으로 작성, 예: 전략캠페인팀-김인권)
목, 2015/12/10- 14:49
546
0

형사사법공조조약(MLAT) 우회 법개정을 반대하는 이유 | 한국 수사기관이 지메일까지 압수수색 할 수 있게 되나?

글 | 박경신(오픈넷 이사, 고려대 법학전문대학원 교수)

 

최근 통신 감시와 관련해 미국 내에서 형사사법공조조약(MLAT, Mutual Legal Assistance Treaty) 절차를 우회하는 내용의 법개정 논의가 한창이다. 형사사법공조조약이란 형사 사건의 수사, 기소, 재판, 또는 형의 집행과 관련하여 증거 자료 수집 등에 있어 국가 간의 사법공조를 규정한 조약이다. MLAT 우회 개정 제안자들은 이러한 공조절차를 거칠 것 없이, 외국 정부가 일정 수준의 인권 기준을 준수하고 있다면 미국의 정보매개자들이 그 국가의 수사기관에게 통신 내용을 직접 제공할 수 있어야 한다고 주장한다.

현재 미국 기업이 외국 정부에 직접 넘길 수 있는 정보는 메타데이터나 이용자 신원정보뿐이며, 외국 수사기관이 미국 기업이 가지고 있는 통신 내용의 압수수색을 위해서는 MLAT에 따라 미국 법무부(Department of Justice, DOJ)에 정보제공 공조요청을 해야 한다. 그런데 절차 자체도 시간이 오래 걸릴 뿐만 아니라, 구글, 페이스북, 트위터와 같은 미국 기업들에 대한 요청이 전 세계에서 쏟아지고 있어 적체된 요청 건수가 어마어마한 상황이다. 이러다보니 외국 수사기관들의 불만이 극에 달했고, 이들 나라들 중 몇은 미국 기업들에게 서버를 자국 내에 둘 것을 강요하는 등 압력(소위 “데이터 국지화”)을 가하기 시작했다. 미국 기업들 서버에 직접 압수수색이나 검열을 할 수 있도록 하기 위해서이다. 이에 MLAT을 우회할 수 있도록 미국형사소송법 및 관련 국제협정을 개정해야 한다는 주장이 나오고 있는 것이다. 하지만 “MLAT 우회” 법개정의 득실을 따져볼 필요가 있다.

 

1. MLAT 공조요청의 처리가 얼마나 시급한가?

현재 적체된 공조요청 중 인권 기준을 준수한 요청이 얼마나 될지 의문이다. 절차상 하자가 없다고 하더라도, 예컨대 해당 국가의 형사법에 미국의 ‘범죄 발생의 개연성(probable cause)’과 비슷한 기준이 있고 이에 따라 공조요청을 했다고 하더라도, 그 요청 자체가 본질적으로 부당할 수 있다. 만약 공조요청이 국제 인권기준에 반하는 허위사실유포죄, 모욕죄, 신성모독죄, 집회시위법위반죄, 국가보안법위반죄와 같은 범죄와 관련된 것이라면 과연 정당한 것일까? 성급히 결론을 내리기 전에, 적체된 공조요청의 일부를 무작위로 조사해 적체량을 정말로 줄여야 할 필요가 있는지를 연구해 볼 필요가 있다.

물론 요청을 적체시키기보다는 아예 거부하더라도 판단을 내려주는 편이 바람직하지만, 어찌되었든 정보제공 요청의 유형 및 본질에 비추어 볼 때 적체량을 줄이는 게 얼마나 시급한지를 판단해봐야 한다는 것이다. 물론 그 중에는 중대한 범죄 수사를 위해 매우 시급히 처리되어야 할 적법한 요청들도 당연히 있을 것이다. 하지만 이런 경우라면 MLAT을 개정하기보다는 DOJ가 요청을 우선적으로 심사해서 처리하는 방안을 고려해볼 수 있다.

 

2. 어떤 감시 체제에서 통신을 할지에 대한 이용자 선택권을 없애는 것이 바람직한가?

극도로 분산된 국경초월적 통신네트워크인 인터넷은 독재정권 하의 시민들이 정부의 감시와 검열을 피해 자유롭게 통신을 할 수 있는 통로가 되어 왔다. 사실 독재정권뿐만 아니라 각 나라마다 고유한 감시 및 검열 체제를 두고 있기 때문에, 그 동안 사람들은 서버의 위치 등을 고려해 어떤 체제 하에서 통신을 할지 선택할 수 있었다. 한국에서도 이메일 압수수색을 덜 받고 싶은 사람은 지메일을 사용하는 식이다. 특히 미국은 통신 감시에 있어 매우 엄격한 ‘개연성’ 기준을 두고 있기 때문에 미국의 서버가 선호되어 왔다. 그런데 만약 MLAT 절차가 없어져 외국 수사기관이 미국에 있는 서버의 정보를 쉽게 압수할 수 있다면, 미국 서버를 통신 매개체로 적극 이용하고 있는 취약한 개개인의 가장 중요한 선택권을 빼앗는 것이나 마찬가지가 된다.

사람들은 다양한 윤리적 거버넌스 환경 안에서 소통할 수 있기를 원한다. 그 스펙트럼의 한 끝에는 트위터, 페이스북, 지메일 등이 유일하게 안전한 통신수단이기 때문에 이용하고 있는 독재국가나 분쟁지역의 시민들이 있는 것이다. 한국도 예외가 아니다.

참고로 MLAT 체제 개정이 현실화되면 상호적으로 진행될 것이다. 즉 미국정보매개자들이 외국 수사기관의 요청에 직접 응하게 될 뿐 아니라 네이버나 카카오도 미국 수사기관의 요청에 응하게 될 것이다.

 

3. 통신 감시에 관한 헌법적 대원칙에 비추어 적법한가?

경험칙상 국민의 프라이버시나 통신에 대한 국가적 침해는 해당 국민에 대해 책임을 지는 권한 당국에 의해 심사되어야 한다. 다시 말하면 법관들은 직간접적으로 감시 대상자와 일종의 상호책임성의 관계에 있을 때만 대상자의 프라이버시 침해 허용 여부를 결정할 권한이 있다. 한국에서 벌어지는 압수수색에 대해 유효한 영장을 발부하는 사람은 한국 사람들의 프라이버시 침해에 대해 관심과 배려를 가진 한국의 판사여야 하는 것이지 한국 사람들의 프라이버시 침해에 아무런 관계가 없는 외국 판사일 수는 없는 것이다. 따라서 한국인에 대한 감시·검열 요청은 한국 법원에서 심사해야 하며, 미국인에 대한 요청은 당연히 미국 법원에서 심사해야 한다. 예컨대 미국 서버에 저장된 한국인 이용자의 정보에 대한 감시·검열은 이용자와 서버운영자의 프라이버시를 모두 침해하므로 양쪽 다 영장을 받는 것이 옳고 MLAT은 이러한 정보의 제공요청이 한국과 미국의 사법체계를 모두 거치도록 한다는 점에서 이상적이다. 그런데 MLAT을 우회할 수 있게 되면, 한국 법원이 실리콘밸리에 있는 회사가 보관하고 있는 한국인 이용자의 정보를 한국 수사기관에게 제공할지 여부를 판단할 수 있게 된다(여기에는 다국적 정보매개자가 이용자를 국적에 의해 차별해도 되는지에 관련된 까다로운 의문점들이 산적해있다!). 이를 확대하면, 한국 법원이 애플에게 한국인 피의자가 미국 여행 중 분실한 아이폰의 잠금해제를 직접 명령하는 것이 가능해진다. 반대로는 미국 법원이 네이버가 보관하고 있는 미국인의 정보를 FBI에 넘기라고 직접 명령할 수 있는 것이다. 과연 자국 기업이 외국의 통신감시법을 직접 적용받도록 하는 게 적법하다고 볼 수 있을까?

 

4. 데이터 국지화 압력을 막을 수 있는가?

MLAT 개정의 가장 중요한 필요성은 외국 정부들의 미국 기업에 대한 데이터 국지화(data localization) 압력을 막는 데 있다고 한다. 하지만 데이터 국지화를 요구하는 국가들은 MLAT 공조요청의 적체현상에 대한 고려를 초월한 목적이 있기 때문에, 공조요청이 신속하게 처리된다고 해서 데이터 국지화를 포기하진 않을 것이다. 지난 2월만 해도 중국은 모든 디지털 콘텐츠의 온라인 출판에 적용되는 네트워크출판서비스관리규정(网络出版服务管理规定)을 공포했다. 출판서비스의 서버 등을 반드시 중국 국내에 설치·운영할 것을 규정한 이 법안의 도입 취지는 명백하게 중국인들이 접하는 콘텐츠에 대한 검열과 감시를 강화하기 위함이다. 그런데 만약 미국이 공조요청을 빨리 처리해줬다면 중국이 이런 법을 제정하지 않았을 것인가?

이런 맥락에서, 데이터 국지화의 흐름을 막기 위한 방안으로서의 MLAT 개정이 얼마나 실현가능성이 있는지 따져보아야 한다. 인권을 유린하는 정부라면 말 그대로 인권 기준 준수 따위에는 전혀 관심이 없을 것이다. 그리고 당연히 적법절차에 따라 증거를 수집해야 한다는 의식도 없을 것이다. 재판 받을 권리조차 제대로 보장하지 않는 나라가 미국 기업이 가지고 있는 증거를 적법하고 신속하게 제공받기 위해 형사법체계를 개선할 리가 없는 것이다. 이러한 이유에서 MLAT 개정을 지지한다면 너무 순진하다고 할 수밖에 없다.

 

5. MLAT 우회 개정에는 프라이버시 옹호자들을 위한 당근이 하나 있긴 하지만…

이 당근은 정보매개자들이 메타데이터를 외국 정부에 자유롭게 넘기지 못하도록 미국법 SCA 2702조를 개정하는 안이다(현재는 메타데이터를 자유롭게 넘기도록 되어 있지만 ‘MLAT 우회’개정이 이루어지면 정보매개자들은 해당 정부가 일정 수준의 국제 인권 기준을 준수하거나 일정한 절차를 거친 요청의 경우에만 메타데이터를 제공할 수 있게 된다. 현재 미국의 메타데이터 관련 규제는 미국 정부에만 적용되고 외국 정부에는 적용되지 않는다).

이 문제는 외국 정부와의 합의로 해결할 것이 아니라 미국 정부가 국내에서 알아서 하면 될 일이다. 참고로 한국의 통신비밀보호법에 의하면 한국의 정보매개자는 통신의 내용이든 메타데이터(통신사실확인자료)든, 한국 법원에서 발부한 영장 제시가 없으면 외국 정부를 포함해 누구에게도 제공해서는 안 된다.

결론적으로, 우리는 현재의 MLAT 제도가 가지고 있는 인권적 가치를 고려해야 한다. 예컨대 독재정권 하에서 고통받는 사람들과 같은 이용자들에게 감시·검열 환경의 선택권을 제공한다는 점, 또 인권 기준에 맞지 않는 요청 또는 범죄가 아닌 사안에 대한 요청을 사실상 저지하는 효과가 있는 점 등이다. 그리고 현재 MLAT이 가진 가치를 MLAT 우회 개정의 덕을 보기 위해 외국 정부가 자국의 실체적 또는 절차적 형사법을 개선할 가능성과 비교해야 할 것이다. 이렇게 따져본다면 MLAT 우회 개정은 잃을 것이 더 많다고 하지 않을 수 없다.

 

* 위 글은 허핑턴포스트코리아에 기고한 글입니다. (2016.05.12.)

 

목, 2016/05/12- 13:26
546
0

2015년 7월 24일(금) 국회의원 김동완, 김제남, 오영식 의원실 주최로 소프트웨어 특허 관련 국회 공청회가 열립니다. 이번 공청회는 온라인을 통한 소프트웨어의 공유 행위 그 자체를 특허권 침해로 만들려는 특허법 개정안을 다룹니다. 이 외에도 소프트웨어 특허의 문제점을 해결하기 위한 새로운 법안도 소개될 것입니다.

오픈넷은 그 동안 특허청이 주도해온 정책이 소프트웨어 생태계를 위협한다고 보고 폐기를 주장해 왔습니다. 특히 자유/오픈소스 방식의 혁신에 역행한다는 점을 지적하였습니다. 하지만 특허청은 법안 통과에 목을 매고 있습니다. 약 10년 가까이 되었습니다. 여론을 조작했다는 점이 드러나기도 하였지만, 편향된 설문을 통해 마치 소프트웨어 산업계가 법안을 지지하는 것처럼 포장하고 있습니다.

특허 제도에서 가장 중요한 행위자는 특허청이 아니라 발명가 입니다. 우리 헌법도 발명가의 권리를 법률로 보장한다고 하며, 특허법의 헌법적 근거도 바로 이 조항입니다. 소프트웨어 분야의 발명가인 개발자, 특히 자유/오픈소스 개발자의 목소리가 반영될 수 있는 공청회를 위해 많은 개발자 여러분의 참여를 기대합니다.

————————-

특허법 개정안 공청회 - 온라인 시대의 SW 특허 어떻게 할 것인가?

 

  • 일시 및 장소: 2015.7.24.(금) 14:00~17:30, 국회 의원회관 제2소회의실

  • 주제발표

  • 발제 1: 김관식 (한남대학교 교수)

    발제 2: 남희섭 ((사)오픈넷 이사)

    영상 발표: 리처드 스톨만 (자유소프트웨어재단 (Free Software Foundation) 설립자/대표

  • 토론

  • 특허청 특허심사제도과장

  • 정차호 (성균관대학교 교수)

  • SK 하이닉스

  • 문화체육관광부 저작권정책과장

  • 정진근 (강원대학교 교수)

  • 양수열 (스마트개발자협회 부회장, 자바챔피언)

관련 링크

금, 2015/07/17- 23:36
539
0

“공인” 인증 강박의 추억 떠올리는 정보보호관리체계(ISMS) 인증

- ‘NH농협’, ‘아시아나 항공’ 등 개인정보유출기업 다수가 ISMS 인증 받아 실효성도 의문

 

2015년 12월 개정되어 올해 6월 2일부터 시행중인 “개정 정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 ‘정보통신망법’)”은 ISMS 인증 의무 대상을 의료기관, 학교 등 비영리기관으로 확대하고 과태료 규정을 강화했다. 하지만 ISMS 인증은 전자금융거래법 개정으로 폐지된 공인인증서 강제 사례처럼 정부가 인증한다는 “공인”이라는 꼬리표를 달고 있어 이른바 관치 보안의 폐해를 반복할 우려가 크다. 공인인증서 사용 강제의 폐해를 반면교사로 삼아 정부가 주도하여 인증 자체에 직접 관여하는 정책을 전면 수정해야 한다.

2001년 도입되어 2013년 의무화된 정보보호 관리체계(ISMS, Information Security Management System) 인증 제도는 기업(조직)이 각종 위협으로부터 주요 정보자산을 보호하기 위해 수립ㆍ관리ㆍ운영하는 종합적인 체계의 적합성에 대해 인증을 부여하는 제도로서 한국인터넷진흥원(KISA)이 관리하고 있다. 그동안은 정보통신망서비스 제공사업자(ISP), 집적정보통신시설 사업자(IDC), 그리고 정보통신서비스 제공자 등 주로ICT 기업 중에서 일정 규모(전년도 매출액 100억원 이상 또는 3개월간 일일평균 이용자 수 100만명 이상) 이상의 기업이 의무 대상이었는데, 작년 12월 정보통신망법 개정으로 세입이 1,500억 이상인 의료법상 상급종합병원 및 고등교육법상 재학생수 1만명 이상인 학교로 ISMS 인증 의무 대상이 확대된 것이다. 또한 의무 대상자 중 미인증 사업자에 대한 과태료도 현행 1000만원에서 3000만원으로 상향되었다.

관치 보안의 문제는 이미 오픈넷이 오랫동안 비판해 온 공인인증서 사례에서 여실히 드러났다. 즉, 정부가 “공인”한다는 정부 주도 인증 문제의 핵심은 민간 전문가들이 주도하는 기술이나 인증 제도의 발전을 저해한다는 점이고, 이는 실제 인증되는 내용이나 실질과 무관하게 국가가 인증한다는 취지의 “공인”이라는 어휘 자체에서 그대로 드러난다.

우선 정부가 고도의 전문성이 요구되는 ISMS 인증 제도를 제대로 운영할 수 있는지부터 의문이다. 실제로 2014년 국정감사에서 ISMS 인증을 받은 254개의 기업 중 정보유출 사고가 무려 30개 기업에서 발생하였다는 점이 드러난 바 있고, 여기에는 사회적 파장이 큰 NH농협이나 KT 등 개인정보나 개인신용정보가 다수 집적된 기업이 포함되어 있다. 불과 며칠 전에는 ISMS 인증을 받은 아시아나 항공의 웹사이트에서 이용자들의 개인정보가 무방비로 노출될 수 있는 시스템 오류가 발견되기도 했다. 날로 발전하는 정보통신 환경에서 정보보호체계 내지 보안시스템의 구축은 그 어느 때보다도 중요하지만, ISMS 인증처럼 정부가 최종 인증 권한 자체를 보유하고 운용하는 제도는 부작용이 훨씬 크다. 급변하는 보안 시장과 하루가 다르게 발전하는 기술을 정부와 보수적인 규제가 따라가거나 앞서가기를 바랄 수 없기 때문이다.

한편 금융사가 이용자에게 공인인증서 등의 사용을 강제한 경우 금융사고 발생시 금융사 면책을 용이하게 하는 문제가 있었다. 이와 같이 ISMS 인증을 받았음에도 보안 사고가 발생한 경우, 반대로 정부의 “공인”된 인증을 받았다는 사실만으로 쉽게 면책을 받게 된다면 그 피해가 고스란히 이용자에게 전가될 우려가 있다. 또한 공인인증서 커넥션 처럼 ISMS인증이 ”공인” 인증 체제를 유지하는 이상 담당 부처와 심사기관을 중심으로 하는 카르텔이 형성되어 제도를 더욱 공고히 할 우려도 지우기 어렵다.

이처럼 정부가 최종 인증 권한을 보유하고 내용 심사를 주도하는 이른바 “공인” 인증의 강제는 우리나라에만 존재하는 갈라파고스 규제로, 스타트업이나 중소기업에게는 진입장벽이 될 뿐만 아니라 국내 기업에게만 이중, 삼중의 부담을 안겨 역차별을 초래한다. 미국, 캐나다 등 IT 선진국 중에 국가가 주도하여 보안 인증을 강제하는 나라는 찾기 어려우며, 이들 국가에서는 민간 전문가들이 참여하여 국제적으로 공신력을 획득한 ISO 27001, PCI-DSS 등의 인증을 이용한다. 물론 현 정보통신망법에서 ‘국제표준 정보보호 인증’, 즉 ISO 27001을 받은 경우에는 인증 심사의 “일부”를 생략할 수 있다고 하여 부담을 덜어준 것 같아 보이나, ISMS 인증의 대체를 인정한 게 아니기 때문에 결과적으론 달라진 게 없다. 정부가 주도하는 ISMS 인증이 ISO 27001 보다 특별히 더 우수하다는 점도 밝혀진 바 없으며, 오히려 인증의 품질에 대해 지적하는 목소리도 있다.

더욱이 ISMS 인증은 통상 준비부터 인증까지 약 6개월 이상이 소요되고, 인증 신청을 위해서도 최소 2개월 이상의 운영 기간이 필요하다. 게다가 ISMS 인증 비용만으로도 최소 수천만원에서 수억원이 들어간다. 그런데 해외진출을 꿈꾸는 ICT 기업들은 국내에서만 인정되는 ISMS 인증 보다는 국제적인 보안 인증을 선호할 수밖에 없고, 결국 중복적으로 인증을 받아야 하는 것이 현실이다.

정부 주도의 “공인” 인증 강박의 추억은 공인인증서 사례에서 이미 충분히 경험하지 않았는가? 정부는 인증 권한을 민간 전문가에게 양보하고 사후적 관리자의 역할만 수행하는 민간 주도의 보안 인증 제도로의 개선을 촉구한다.

 

2016년 7월 19일

 

사단법인 오픈넷

 * 관련 논평: 개정 전자금융거래법 국회 본회의 통과를 환영하며 금융당국의 기술중립, 사후규제 원칙 구현을 촉구한다.

 

문의: 오픈넷 사무국 02-581-1643, master@opennet.or.kr

화, 2016/07/19- 11:48
538
0