학교 홈페이지에서의 개인정보 보호 실태 분석 : 경상남도 내 고등학교를 중심으로

국문 초록 (Abstract)

최근, 개인정보가 사회적 이슈로 대두되고 개인정보 보호의 중요성이 무엇보다 강조되고 있다. 하지만, 공공기관 중에서도 교육기관의 개인정보 관련 침해사고가 아주 큰 비중을 차지하며 그 발생 건 수 또한 점점 늘어나고 있는 것으로 나타나고 있다. 이러한 문제점을 해결하기 위해서는 정확한 실태 조사가 선행되어야 한다고 보고, 본 연구에서는 교육기관 홈페이지의 개인정보 보호 실태를 구체적으로 파악하기 위하여 경상남도 내 고등학교의 홈페이지를 중심으로 조사·분석하였다. 교육기관의 개인정보 보호의 중요성에 대한 인식의 수준을 판단하기 위하여 개인정보 보호정책의 수준, 게시판 관리 수준, 기술적 보안 수준, 현 상황에서의 개인정보 노출 수준을 살펴보았다. 이를 통해 나타난 문제점을 요약하면 다음과 같다.
개인정보 노출 실태 부분에서는, 조사 대상 중 72%에 이르는 학교에서 개인정보 노출이 나타났으며, 개인정보 유형별 노출 실태를 조사한 결과, 상대적으로 중요한 교육개인정보(학적, 성적)의 노출 비율을 낮았지만, 직·간접식별정보(사진, 주소, 나이 등)의 노출 비율은 50%이상 높게 나타났다. 학생이나 교사보다는 임원들에 대한 개인정보가 62.7%의 비율로 노출된 것으로 조사되었다. 이것은 전체적으로는 개인정보 보호의 중요성에 대한 인식이 부족하며, 개인정보의 노출 유형과 노출 대상에 따라 그 중요도에 대한 인식의 수준이 다르다는 것을 알 수 있다.
개인정보 보호정책 부분에서는 32.3%만이 게재와 내용에 있어 적절하다고 나타났다. 부적절하다고 판단된 사례 중, 게재가 되었더라도 그 내용이 적절하지 않은 경우도 20% 이상을 차지하였다. 이는 현재 학교의 개인정보 보호정책의 수준이 행정적 업무로서 다분히 형식적으로 받아들여지고 있을 뿐, 실제 개인정보 보호의 중요성에 대한 인식의 수준을 반영하고 있지 못하다는 것을 알 수 있다.
게시판 관리 부분에서는 접근 권한을 적절히 설정한 학교가 13.8%에 미치지 않는 것으로 나타났다. 그 중 상대적으로 중요하게 판단되는 교사게시판의 관리 수준은 높게 나타났으나, 학생이나 학부모/동문 게시판의 관리 수준은 이에 미치지 못하는 것으로 나타났다. 또, 게시판 관리 수준이 높다고 하더라도 개인정보 노출 수준에는 별 차이가 없는 것으로 나타났는데, 이러한 사실을 통해 개인정보 노출을 방지하기 위한 관리자의 노력이 홈페이지 전반에 걸쳐 이루어지지 않고 특정 부분에 치우쳐 있다는 것과, 게시판 접근 권한을 적절히 설정하였다 하더라도 형식적인 관리에 지나지 않는다는 것을 알 수 있다.
보안 수준 부분에서는 70%가 넘는 학교가 하나 이상의 보안 취약점을 가지고 있는 것으로 나타났다. 이는 대부분 학교 홈페이지가 전문 지식이 없는 일선 교사에 의해 관리되고 있기 때문에 기술적인 보안 취약점으로 인한 피해의 심각성을 인지하지 못하기 때문인 것으로 파악된다.
즉, 각 학교의 개인정보 보호정책이나 게시판 관리가 형식적으로 이루어지고 있으며, 대부분의 학교에서 개인정보가 노출되고 있는 것으로 나타나, 현재 학교 홈페이지 관리자 및 사용자의 개인정보 보호의 중요성에 대한 인식의 수준이 아직 미흡하다는 것을 알 수 있었다.
현재 교육기관의 홈페이지에서 나타나는 개인정보 보호 실태 분석을 통해 드러나는 결론을 하나로 종합해보면, 개인정보 보호의 중요성에 대한 인식의 부재(不在)이다.
효과적인 정보보호를 위해서는 정보를 생성하고 사용하는 내부 사용자들에 대한 교육 및 훈련을 통한 책임과 권한을 명확히 인지시키고, 철저한 정보보안 의식을 고취시키는 것이 가장 중요하다(이정훈, 2002)고 하였다. 기술적 인프라와 제도적 대응 장치가 마련되어 있다 하더라도 정보를 취급하는 사용자의 정보보호 인식이 갖추어지지 않는다면 사용자의 실수나 부주의, 무관심으로 인한 개인정보 유출을 막지 못할 것이다.
개인정보가 노출되는 원인 중 담당자 부주의로 인한 노출이 74% 이상을 차지하는 것을 보더라도 개인정보 보호의 중요성에 대한 인식 제고를 위한 노력이 절실함을 알 수 있다.
개인정보와 관련한 피해를 줄이기 위해서 행정안전부에서 내놓은 대책을 살펴보면, 사안의 경중에 따른 징계조치, 담당자 지정을 통한 책임 강화, 취약기관 집중점검 및 기관별 정보화 평가에 반영하는 등의 제도적 제재(制裁)를 강조하거나, 주민번호 대체수단(G-PIN) Government Personal Identification Number, 행정안전부에서 제공하는 인터넷상의 개인식별번호 보급, 개인정보 노출 사전차단 필터링 시스템 도입 등의 기술적 보안 조치를 강화하고 있다. 물론, 제도적 제재(制裁)와 기술적 보안도 중요하지만, 무엇보다 강조되어야 할 것은 개인정보를 취급하는 모든 사용자들의 개인정보 보호의 중요성에 대한 인식의 제고일 것이다.
이러한 결론을 통해서 향후 진행되어야 할 연구에 대하여 제언하면 다음과 같다.
첫째, 현재 교육기관 조직 구성원의 개인정보 보호의 중요성에 대한 인식의 수준을 측정할 수 있는 객관적 지표를 마련하고, 이를 통한 실태 분석이 이루어져야 할 것이다.
둘째, 개인정보 보호의 중요성에 대한 인식의 제고를 위해 현재 국가적·사회적 차원에서 진행되고 있는 대책들을 분석하고 그 효과성에 대하여 검증하는 연구가 필요할 것이다.
셋째, 교육기관의 특수성을 고려하여 보다 현실적이고 구체적인 대안들을 모색하는 연구들이 진행되어야 할 것이다.

다국어 초록 (Multilingual Abstract)

Recently, the importance of personal information protection has been stressed more and more as it has been highlighted as a social issue. However, among public organizations, the violation of personal information by educational organizations makes up the highest proportion and the number of violations is shown to have grown gradually. In order to understand the reason for this problem and to seek solutions, it is imperative to conduct research into the accurate reality.
Therefore, this study investigated and analyzed the level of the exposure of personal information, personal information protection policies, board management, and technical security on each school web site of 65 high schools in Gyeongsangnam-do in order to identify the level of perception concerning the importance of personal information protection as well as the state of personal information protection on the educational organization web sites in detail.
As a result, 73% of the schools were found to expose personal information at school, and 67.7% of them had inappropriate personal information protection policies. In addition, 64.6% of them demonstrated a lower level of board management and 76.9% of them furnished an improper level of technical security. This implies that personal information protection policies, board management, and technical security of each school have failed to reflect the perception concerning the importance of personal information protection and have been fairly formally made. Namely, it indicates that the level of the perception concerning the importance of personal information protection among school web site managers and users is still poor.
The results shown from the analysis on the status of personal information protection on educational organization web sites may be summarized as a lack of perception concerning the importance of personal information. No matter how fully prepared we are with technical infrastructure and institutional devices, we are unable to prevent the leakage of personal information done by mistake, through carelessness, or due to the indifference of users who are not prepared with a proper perception concerning information protection. Accordingly, it is necessary to underline the enhancement of the perception concerning the importance of personal information protection of all users who cope with personal information, foremost.
In order for educational organizations to remove the dishonor that they are most vulnerable to the violation incidents regarding personal information, it would be necessary to pursue follow-up research into more realistic and detailed alternatives given the specific status of educational organizations based on such a critical awareness.

목차 (Table of Contents)

• I. 서론 = 1
• 1. 연구의 목적 = 1
• 2. 연구의 필요성 = 2
• 3. 연구 문제 = 3
• 4. 연구의 제한점 = 3
• II. 이론적 배경 = 4
• 1. 개인정보의 개념 = 4
• 1.1 개인정보 = 4
• 1.2 개인정보의 분류 = 6
• 2. 개인정보 노출 = 7
• 2.1 개인정보 노출 유형 = 8
• 3. 개인정보 보호정책 = 9
• 4. 보안 취약점 = 10
• 4.1 디렉토리 리스팅 취약점 = 10
• 4.2 파일 다운로드 취약점 = 11
• 4.3 크로스 사이트 스크립트(XSS) 취약점 = 11
• 4.4 파일 업로드 취약점 = 11
• 4.5 WebDAV 취약점 = 12
• 4.6 테크노트(Technote) 취약점 = 12
• 4.7 제로보드(Zeroboard) 취약점 = 12
• 4.8 SQL Injection 취약점 = 13
• III. 연구 방법 = 14
• 1. 연구 대상 및 범위 = 14
• 2. 연구 절차 = 15
• 2.1 조사 대상 학교 선정 = 15
• 2.2 조사 항목 설정 = 16
• 2.3 실태 조사 및 분석 기준 설정 = 20
• Ⅳ. 실태 분석 및 연구 결과 = 23
• 1. 실태 분석 = 23
• 1.1 개인정보 노출 실태 = 23
• 1.2 개인정보 보호정책 수립 실태 = 29
• 1.3 게시판 관리 수준의 실태 = 30
• 1.4 보안 수준의 실태 = 33
• 2. 연구 결과 = 35
• Ⅴ. 요약 및 결론 = 37