안보 목적의 온라인 정보수집 활용을 위한 법·기술적 수행방안

김창섭 고려대학교 정보보호대학원 2022 국내박사

글로벌 인터넷, 스마트폰의 대중화 및 강력한 암호화 등과 같은 정보통신 기술의 급격한 발전으로 인해 국가안보를 위한 해외정보(foreign intelligence) 수집활동은 이제 패러다임의 전환을 맞게 된다. 과거에 접근이 곤란했던 역외(국외 소재) 해외정보는 인터넷의 초국경성으로 인해 수집이 가능해지는 기회를 포착한 반면에, 과거 가능했던 국내에서의 해외정보 수집은 현대 암호의 보편적 사용으로 인해 수집이 곤란해지는 위기를 맞는 새로운 양상을 보이고 있다. 현대 국가안보의 개념은 전통적인 군사안보뿐만 아니라 경제안보, 환경안보 및 인간안보 등을 포함하는 포괄적인 안보로 확대되고 이를 뒷받침하는 해외정보도 국외 정보, 국내 안보정보 및 우주 정보를 포함하고 있어 국가의 해외정보 수집역량은 날로 그 중요성을 더하고 있다. 그러나, 전통적인 유무선 전화에서 국경이 없는 인터넷 기반의 암호통신으로 정보통신 환경이 변화됨에 따라 정보수사기관들의 기존 해외정보 수집수단이 無力化되고 있다. 최근에 구글 웹트래픽의 95% 이상이 암호통신이고 모바일 메시징의 36%가 종단간 암호를 기본으로 사용하며 스마트폰 대부분이 디바이스 암호를 적용하고 있다. 이러한 암호의 일상적인 활용은 개인정보보호에 크게 이바지하고 있지만, 국가안보와 범죄수사를 위한 국가의 합법적인 감청(lawful interception)이 불가능해지는 ‘암흑화(going dark)’ 현상을 맞게 된다. 이에, 최근 미국, 영국, 독일 등의 주요국들은 이러한 암흑화 상황을 해결하는 방안으로 해킹 소프트웨어를 활용하는 ‘온라인 정보수집 기술(online information collecting technologies)’을 감청의 수단으로 허용하고 이를 제도화하고 있다. 인터넷과 연결된 대상자의 정보통신기기에 접근하여 암호가 풀린 평문 상태의 정보를 수집할 수 있는 온라인 정보수집 기술은 글로벌 인터넷과 암호통신에 대응할 수 있는 실효적인 수집방안이 될 수 있다. 일반적으로 정보수집 법제는 범죄수사 법제보다 완화된 기준을 적용하고 있어, 해외정보 수집활동에 온라인 정보수집 기술을 적용하는 것은 충분히 합리적인 방법이 될 수 있다. 또한, 온라인 정보수집은 그 효용성에도 불구하고 기본권 침해, IT보안 훼손 등의 우려도 있어, 주요국들은 명확한 법제도와 오남용 통제장치를 마련하여 대응하고 있다. 이처럼 주요국들은 2000년 이후부터 온라인 정보수집 제도를 도입하고 이를 허용하는 법제도를 마련하고 있으나, 우리나라는 온라인 정보수집이 허용되지 않아 소프트웨어는 국가안보 목적의 수집수단일지라도 합법적인 감청수단이 아니고 악성 프로그램에 해당하여 활용시에는 통신비밀보호법, 정보통신망법 등과 같은 국내 현행법에 위반된다. 특히, 우리나라는 최첨단의 정보통신 인프라를 구축하고 있음에도 1990년대 유선 전화망 위주의 낙후된 감청제도를 유지하고 있어, 최신 암호통신의 일상적인 활용은 감청의 종말을 예견하는 듯하다. 본 논문에서는 국가안보 목적의 해외정보 수집활동 위주로 역외 및 국내에서의 온라인 정보수집의 필요성을 중점적으로 검토하고, 우리나라 환경에 적합한 온라인 정보수집제도 도입을 위한 법제도 개선과 수행체계를 다음과 같이 제안한다. 첫째, 역외 소재한 안보위협 세력에 대한 해외정보 수집을 위해 무기의 평등 차원에서 통신비밀보호법의 관할권을 역외로 확대하고 소프트웨어를 감청수단으로 인정하고 저장 통신을 감청에 포함하는 역외 온라인 정보수집을 허용하고 이를 통신비밀보호법에 규정해야 한다. 둘째, 낙후된 국내 감청체계로 인해 달리 감청수단이 없는 국내 현실을 반영하여 국내 소재한 외국인 테러 용의자나 간첩 등의 정보수집을 위해 외국인에 한해서 국내 온라인 정보수집을 통신비밀보호법상 감청으로 인정해야 하고, 또한 추가적으로 휴대전화 감청체계도 구축할 필요가 있다. 셋째, 우리 환경에 적합한 온라인 정보수집제도 도입 및 활용을 위한 수행 방안으로 수집체계 구현원칙, 동작 절차 표준설계, 수행조직의 분리배치, 수집 도구의 투명한 관리체계, 수집자료 자동선별 및 무결성 확보방안 등을 제시하고, 법제도 프레임워크 구축과 오남용 통제장치 마련 등을 제안한다. 제안된 수행원칙과 절차는 우리 법체계에 온라인 정보수집제도를 수용하기 위한 법률 및 표준 제정에 적극 활용되어야 할 것이다. 국가안보 차원의 해외정보 수집은 정당한 활동임에도 법제도 미비로 불법 논란에 휩싸여 활동이 위축되는 현실을 고려하여 기술발전과 정보환경 변화를 유연하게 반영할 수 있는 합리적인 법제도와 지침을 마련하여야 한다. 효율적으로 해외정보를 수집할 수 있는 법제도와 기술을 구현함으로써 정부는 적법 절차를 준수하면서 국가의 해외정보 경쟁력을 보다 강화할 수 있을 것이다.

미국 사이버 위협정보 공유체계에서의 개인정보보호

강호영 고려대학교 정보보호대학원 2019 국내석사

사이버 위협의 고도화로 사이버 위협 인텔리전스 등을 통한 사이버 위협정보 수집 및 공유 기술이 점점 발전하고 있다. 특히, 침해사고 대응에 있어 기계학습 기술 활용, 침해지표(IOC) 분석, 공격자 프로파일링 등 능동적인 사이버 위협 대응 방식이 이루어지고 있다. 그러나 동시에 사이버 위협정보를 수집하고 공유하는 과정에서 개인정보가 포함될 수 있기 때문에 프라이버시 침해 위험성에 대한 고려가 필요하다. 이에 본 논문에서는 먼저 사이버 위협 인텔리전스 등의 사이버 위협정보 수집 및 분석 동향을 공공영역과 민간영역으로 구분하여 조사하고, 사이버 위협정보 공유에 사용되는 기술 및 표준들을 간략히 정리하였다. 다음으로 공공-민간 위협정보 공유의 법제도적 기반을 「사이버보안 정보공유법」과 국립표준기술연구원(NIST)의 「사이버 위협정보 공유 가이드」를 중심으로 살펴보고, 실제 사이버 위협정보 공유 시스템 운영 사례로 자동화 지표공유(AIS) 시스템을 분석하였다. 사이버 위협정보 공유체계에 대한 조사를 바탕으로 NIST의 「개인식별정보의 기밀성 보호를 위한 가이드」 등 개인정보보호를 위한 법제도를 검토하고, AIS시스템의 개인정보 영향평가를 참고하여 실제 위협정보 공유에서의 단계별 개인정보 보호조치를 확인하였다. 마지막으로는 개인정보보호 시사점을 종합하여 기술적∙관리적 개인정보 보호조치를 도출하였다. 결론에서는 국내 사이버 위협정보 공유체계 현황 및 개인정보보호 관련 쟁점을 간략히 언급하며, 개인정보를 보호함과 동시에 침해사고에 효과적으로 대응할 수 있는 사이버 위협정보 공유 법제도 마련의 필요성을 제시하였다.

바이오메트릭 데이터 활용 서비스에서 바이오정보 보호에 관한 연구

정부금 고려대학교 정보보호대학원 2019 국내박사

바이오메트릭 데이터 활용 서비스란 개인의 바이오정보를 측정하여 신원을 확인하고 신분을 인증하며 개인에게 필요한 정보를 제공해주는 지능정보 서비스로 정의할 수 있다. 바이오정보는 크게 생체인식정보, 유전정보, 건강정보의 범주로 분류할 수 있다. 지문과 홍채, 목소리, DNA와 같은 사람의 신체적, 행동적, 유전적 특성, 활동 패턴 및 건강 상태를 측정하여 디지털 데이터로 변환하여 ICT 시스템 상에서 그 사람임을 확인하며, 확인된 개인기반의 유용한 서비스를 제공하는 것이다. 바이오메트릭 데이터 활용 서비스는 대면으로 눈으로 보고 확인하는 것과 같이 비대면 온라인에서 비밀번호나 추가적인 보안수단 없이 간편하고 정확하게 개인을 인식하고, 인식된 개인에 대해 다양한 서비스를 제공할 수 있다는데 의의가 있다. 서비스 제공을 위한 세부 기술로는 IoT 센서 기술, 바이오인증 기술, 개인맞춤형 서비스 기술, 이벤트기반 서비스 기술 및 클라우드 기반 기술 등이 있으며, 이러한 서비스는 사람의 신체와 행동 데이터를 디지털화하고, 여러 데이터베이스를 연결하여 분석하고, 수동 및 자동으로 인식된 데이터를 활용한다는 특성을 갖는다. 이렇게 측정되는 DNA를 포함한 사람의 바이오정보는 데이터베이스에 보관되는데 이러한 데이터베이스가 항상 안전할 것이라고는 믿을 수 없다. 바이오정보가 유출되면 그 정보를 기반으로 일반 개인정보로는 알 수 없는 개인에 대한 내적인 분석이 가능하며, 유출된 바이오정보는 그 정보의 소유주가 알지 못하는 사이에 다른 곳에서 다른 목적으로 사용될 수 있는 위험이 있다. 그럼에도 불구하고 바이오정보는 편리성과 안전성 및 공익을 위한 필요로 인하여 식별·확인 기능, 인증·검증 기능 및 모니터링 기능으로 금융, 헬스케어, 음성인식 AI 서비스, 영상인식 서비스, 공공분야 등에서 그 사용이 지속적으로 확대되고 있다. 개인정보는 오늘날 중요한 자산으로 부각되고 있고, 일반적인 개인정보보다 더 많은 민감한 정보를 담고 있는 바이오정보의 가치는 더욱 큰 것으로 볼 수 있다. 개인정보는 공공에서의 활용 및 상업적 활용의 소재로 사용되고 있어 개인정보의 유출 가능성은 더욱 높아지고, 이는 법적, 사회적, 경제적으로 중대한 문제로 대두되고 있다. 또한, 개인의 사생활 측면에서도 심각한 문제이다. 국제 규범에서는 바이오정보의 프라이버시 원칙들을 정의하고 있으며, 유럽연합 및 각국에서는 신기술의 발전을 반영하여 바이오정보의 보호와 활용을 위한 규범들을 추가하고 있다. 특히, 2018년 5월부터 실시된 유럽연합의 일반개인정보보호규정(GDPR)에서는 생체인식정보, 유전정보, 건강정보 등 민감정보를 특별한 범주의 개인정보로 명시하여 이러한 정보는 정보주체의 명시적 동의, 법령에 따른 필요에 의해서만 처리할 수 있으며, 공공, 통계목적 등의 활용을 위해서는 비식별화 조치를 취하여야 하며, 프라이버시 중심 설계, 영향평가 실시 등의 일반 개인정보보다 더 높은 수준의 특별한 처리 규정을 신설하였다. 국내법에서는 개인정보 보호법과 정보통신망법에서 개인정보와 민감정보에 대해서 규정하고 있다. 정보통신망법에서는 민감한 정보로서 건강, 유전정보를 포함하고 있으며, 생체인식정보를 포함할 수 있는 법적 여지를 두고 있다. 개인정보보호법에서는 민감정보로 건강, 유전정보로 한정하고 있고 생체인식정보는 일반 개인정보로 규정하고 있다. 바이오정보를 포섭할 수 있는 민감정보의 판단 여부에 대해서 개인정보 보호법에서는 사생활 침해로 규정하고 있고 정보통신망법에서는 개인의 권리·이익의 침해 여부를 추가하여 포함하고 있다. 민감정보의 처리에 있어서는 개인정보보호법에서는 별도의 동의를 받도록 하고 있으며, 민감정보를 포함한 개인정보의 수집 동의 위반 시, 정보통신망법에서는 벌칙 규정으로 두고 있는 반면 개인정보보호법에서는 과태료 규정을 두고 있는 등 두 법은 바이오정보가 포섭되는 민감정보의 범위 및 처리에 있어 다소 상이한 규정을 두고 있다. 또한 바이오정보에 대한 규정은 법적인 구속력이 없고 자율적인 참조 지침으로 사용되는 바이오정보 보호 가이드라인으로 제시하고 있다는 문제점이 있다. 아울러 유럽과의 교역을 위하여 참조하여야 할 EU GDPR에서는 개인정보관리자와 개인정보처리자라는 용어를 사용하고 있는 반면 국내 개인정보 보호법에서는 개인정보관리자라는 용어 없이 개인정보처리자와 개인정보취급자라는 용어로 그 개념은 유사하지만 용어상에 다소 혼동을 가져올 수 있는 문제점이 있다. 본 논문에서는 바이오메트릭 데이터 활용 서비스에서 바이오정보 보호를 위하여 바이오정보에 대한 적절한 규정 및 효율적인 보호를 위한 방안으로 관련 법규에 대한 개정안을 다음과 같이 제시하였다. 개인정보 보호법 제2조 제5항에서 개인정보처리자의 개념에서 개인정보관리자의 역할을 수행하는 위탁자와 개인정보취급자의 역할을 수행하는 수탁자를 서로 대응되게 명시적으로 정의하여 EU GDPR과의 균형이 이루어지도록 한다. 제23조에서는 민감정보로서 생체인식정보, 건강정보, 유전정보를 명시하고, 정보주체의 자유와 권리를 현저히 침해할 우려가 있는 정보로 정의하고, 제1항에서는 민감정보의 처리를 위해서는 정보주체의 명시적 동의를 받도록 하여야 하며, 제3항에서는 정보주체의 동의와 법령에 의하여 처리할 경우에는 비식별화 조치를 하여야 함을 명시하여야 한다. 제71조 벌칙에 개인정보 및 민감정보의 미동의 수집을 추가하여야 하며, 제75조 과태료에서는 개인정보의 미동의 수집 항은 삭제하여 정보통신망법과의 일관성을 이루어야 한다. 바이오메트릭 서비스는 클라우드 서버를 기반으로 제공되고 있으며, 이에 따라 클라우드 서버가 국외에 위치하여 바이오정보가 국외로 제공될 가능성이 존재하므로 제17조에서는 유전자정보에 대해서는 국외제공을 금지하거나 제한하는 규정을 신설하여야 한다. 정보통신망법에서는 제23조 제1항 민감정보의 수집 제한에 대해서 개인정보보호법과 일치되게 명시적 사전 동의를 받도록 규정하여야 한다. 또한 제28조에서 개인정보의 보호 조치를 위하여 기존에 정의된 암호화 외에 비식별화 조치를 하여야 함을 규정하여야 한다. 추가적으로 국제적인 바이오정보 프라이버시 논점 분석을 통하여 국내 바이오정보 보호 가이드라인의 개선 방안으로 바이오정보 책임성 원칙, 정확성 유지 원칙, 프로파일링 금지 원칙을 추가로 제시하였고 기존의 기술적, 관리적 보호 조치 외에 활용을 위한 조치로 익명화, 가명화를 추가하여야 함을 제시하였다. 또한 본 논문에서는 기존의 개인정보보호 법제의 개선 방안에 대해 연구하였으나 여러 개별법에 규정되어 있는 바이오정보를 더욱 일관성 있게 규정하기 위해서는 이를 발전시켜 독립적인 자기 완결적 법률을 제정하는 방안에 대한 연구가 필요할 것이다.

보안성숙도 모델을 활용한 정보보호 관리수준 점검방법에 관한 연구

이상규 고려대학교 정보보호대학원 2019 국내석사

사람과 사물이 다각적으로 이어지는 초 연결 사회 환경이 형성되고 있고, 데이터 주도 시대가 도래하면서 경제적 활용가치가 높은 정보의 수집과 분석, 생산과 유통의 안정성을 확보하기 위한 정보보호 관리의 중요성이 날로 높아지고 있다. 반면 정보보안을 침해하는 공격의 수법은 점차 지능화, 고도화 되고 있어 기업의 입장에서는 중요 정보자산에 대한 악의적인 해킹공격과 불법적인 정보 유출로 인한 피해예방에 심혈을 기울여야 하는 상황이다. 이러한 환경에서 기업은 정보보호 관리체계 인증을 통해 정보보안에 대한 신뢰를 보장받고 있으나 관리체계를 구성하는 세부영역에 대한 수준 평가와 활용은 제한적이다. 이에 반해 보안 성숙도 모델은 기업의 정보보호 수준을 단계적으로 진단할 수 있고 시급히 개선해야 할 영역을 판단할 수 있음은 물론 기업의 특성과 수준에 맞는 목표 설정을 지원하는 도구가 된다. 본 논문에서는 성숙도 모델을 바탕으로 정보보호 분야에 특화되어 개발, 활용되고 있는 보안 성숙도 모델의 사례인 ISM3와 C2M2를 비교하여 특징을 소개하고 정보보호 관리체계 수준점검 목적에 부합하는 참조모델을 결정하였다. 또한 국내 정보보호 관리체계(ISMS) 인증과 이를 비교, 분석하여 정보보호 관리 수준을 점검하기 위한 모형으로의 참조 가능성을 검증하였고 참조모델에 기반한 수준점검 방법을 제안하기 위하여 정보보호 업무를 수행하는 기업 담당자를 대상으로 전문가 의견조사를 실시하였다. 이를 통해 ISMS인증의 정보보호대책 세부영역을 구성하는 점검항목 간 우선순위를 도출하여 단계적으로 정보보호 관리수준을 점검하고 구축을 지원할 수 있는 방법을 제시하였다. 마지막으로, 최근 정부산하 기관 및 산업계와 학계에서 연구 활용중인 정보보호 관리수준 평가모델과 비교를 통해 실효성을 검증하였다. 기업은 개선된 정보보호 관리수준 점검방법을 통해 정보보호 수준을 단계적으로 평가할 수 있으며 이를 통해 효과적으로 정보보호 대책을 수립하고 발전시켜 나갈 수 있을 것이라 기대한다.

협동조합형 금융회사의 중앙회를 위한 정보보호 인력 및 예산의 적정성에 관한 연구

임정환 고려대학교 정보보호대학원 2017 국내석사

협동조합형 금융회사란 협동조합 원칙에 따라 다수의 금융회사(일명 ‘조합’)와 이를 지도·감독하는 중앙 조직인 중앙회로 구성되어 있다. 조합은 일정 지역 내 조합원을 바탕으로 운영되고 그 규모가 영세하기 때문에, 정보기술업무 및 정보보호업무를 중앙회를 통해 위탁 구축·운영·관리하고 있다. 그러나 금융당국은 전자금융거래법 하위규정인 전자금융감독규정을 통해 IT 및 정보보호 기준을 제시함에 있어 주식회사형 금융회사인 상업은행의 현황을 주로 고려하여 제시하였기 때문에, 협동조합형 금융회사 중 중앙회에는 적절하지 않다. 본 논문에서는 조합의 정보기술업무 및 정보보호 업무를 위탁받아 수행하는 중앙회 관점에서 정보보호 측면에서의 현황 및 고려사항을 확인하고, 개선사항을 제시함으로써, 협동조합형 금융회사의 중앙회를 위한 효율적인 정보보호 인력 및 예산 수립기준을 제안하고자 한다.

금융기관의 정보보호 거버넌스 정립 방안 연구 : 실무적 관점에서 CIO와 CISO간 역할과 책임의 명확화

조병선 고려대학교 정보보호대학원 2017 국내석사

다중 다종 융합이 현실화하는 금융시대에 정보기술과 정보보호는 기업의 핵심 업무로 인식되고 있으며, 조직의 지속 성장과 안정을 위한 전략적 개념으로 이해되고 있다. 고객정보 유출이 금융기관이나 기업의 존망을 결정할 수도 있다는 점을 수차례의 사고를 통해 경험하게 되면서 이러한 인식은 경영자 층에도 뿌리를 내리게 되었다. 정부도 정책적 대안을 마련하지 않을 수 없는 환경이 되자 금융정보보호 거버넌스가 정책의 우선순위를 차지하게 되었고 이어 각 금융기관은 정보기술과 정보보호 최고 책임자를 임명하여 정보기술과 정보보호 거버넌스를 위한 조직을 만들었다. CIO와 CISO는 전략적 연계(Strategic Alignment), 가치 전달(Value Delivery), 위험관리(Risk Management), 자원관리(Resource Management), 성과관리(Performance Management)의 영역에서 고유의 역할을 수행하여 거버넌스 체계를 이행하고 있다. 그러나, 전자금융거래법에서 일정 규모 이상의 기업에 대해 CIO와 CISO 겸직을 금지함으로서 현실적으로 두 제도간의 역할과 책임이 애매한 상황이 있다. 또한, 정보기술과 정보보안의 몇몇 프로세스에서는 정보기술 거버넌스와 정보보안 거버넌스가 제안하고 있는 특정 프로세스에 대해서는 역할과 책임이 상충되는 부분이 존재하고 있다. 본 연구를 통해 CIO와 CISO간의 역할과 책임에 대한 가이드를 제시하고 자 한다. 금융기관의 정보기술과 정보보호 최고책임자간의 역할과 책임간의 충돌되는 주요 프로세스를 COBIT 5와 금융보안원 거버넌스 가이드북을 참조하여 도출하였다. 조사 항목은 4개 영역(위험관리, 운영관리, 보안서비스관리, 성과 및 준수 모니터링과 평가 및 진단)으로 각각의 프로세스별로 RACI 차트(수행책임: Responsible, 최종책임: Accountable, 협조: Consulted, 통보: Informed)를 적용하여 금융기관의 운영 실태와 COBIT 5와 정보보호 거버넌스의 가이드 수준을 비교 분석하였다. 이를 통해 금융기관의 이슈 프로세스에 대한 현황을 진단하고 성공적인 기업 경영을 지원하는 데, CIO와 CISO 간의 협치를 위한 역할과 책임의 가이드를 제안하고 자 한다. 조사 결과 ‘위험관리’ 와 ‘보안 서비스(접근통제 포함)’ 프로세스는 정보보안 거버넌스의 가이드를 준용하여 위험관리의 총괄책임을 CISO에 두어 금융기관이 수용 가능한 위험 수준을 관리하고 사고 대응 체계에 대한 자율책임을 강화해야 한다. CISO의 기본 역할 외에 정보보호 투자에 대한 성과 평가와 모니터링의 역할과 책임이 부여 되어 기업 비즈니스를 지원할 수 있는 경영적 정보보호 전략가로서 CFO(재무담당 최고 책임자) 마인드 요구하고 있다. 그럼으로 CIO는 정보기술 비즈니스 및 운영 관리 책임자로서, CISO는 기업 보안 책임자로서 역할과 책임이 분리 되어야 한다.

국내 금융분야 마이데이터 정책의 개인정보보호 강화방안 연구 : 유럽 PSD2 사례로 살펴본

송미정 고려대학교 정보보호대학원 2020 국내석사

데이터 기반 경제시대에서 데이터 활용능력이 경쟁력이 됨에 따라 개인정보의 보호와 더불어 개인정보의 활용을 통한 경제적 부가가치를 창출하려는 노력이 함께 강조되고 있다. 이 가운데 등장한 금융분야 마이데이터 정책은 정보 주체인 개인의 자기정보통제권을 강화하고, 혁신적인 상품과 서비스를 제공하는 핀테크 업체 등이 금융 시장에 진입하여 대형 은행들과 공평하게 경쟁함으로써 금융 산업의 효율성과 경쟁력을 크게 제고할 것으로 기대된다. 하지만 이러한 정책 시행으로 개인의 소중한 금융 데이터 및 관련 정보가 금융기관에서 제3자 회사로 이동함에 따른 데이터 프라이버시와 해 킹 등의 보안사고 위험이 커진 것도 사실이다. 본 연구에서는 전 세계 오픈뱅킹의 시초가 된 EU의 PSD2(the Second Payment Service Directive) 제도와 규제적 기술기준인 RTS(Regulatory Technical Standards)의 내용을 중심으로 국내 금융분야 마이데이터 정책들을 비교해보고, 금융분야 마이데이터 정책의 개인정보보호 및 보안 위험요소들을 개인정보 생명주기(Lifecycle)별로 나누어 분석해 보았다. 금융분야 마이데이터 정책의 개인정보 보호 및 보안 위험 요소는 크게 3가지로 나누어 볼 수 있다. 첫째 데이터 수집단계에서 정보 주체자의 동의와 관련된 위험, 둘째 데이터 제공 및 이용 단계에서데이터 전송 방식의 위험, 셋째 데이터 저장 및 파기 단계에서 정보처리자의 관리상의 위험이 존재한다. 이러한 위험들에 대해서 적절한 제도 및 기준을 설정할 필요가 있는 데, 첫째 데이터 수집단계에서는 ‘정보이동권’과 같은 정보주체의 권리 보장과 동의 제도의 합리화가 필요하고, 두 번째 데이터제공 및 이용 단계에서는 제공방식의 보안성 확보를 위한 API 방식의 의무화 및 강력한 본인인증 절차 이행 등 기술적 기준 마련과 실행이 필요하며, 세 번째 데이터 저장 및 파기 단계에서는 정보처리자의 책임 및 의무를 강화하는 규제 제도가 필요하다. 디지털 금융 시대의 빠른 기술변화에 맞추어 관련 정책과 제도들을 대응시키고 변경하는 것은 매우 어려운 일이다. 기존의 보호 위주의 개인정보보호 정책도 문제이지만 현재의 핀테크업 활성화 및 개방 중심의 규제 완화 정책 역시 위험부담이 크다. 개인정보 보호와 활용이 적절히 균형을 이루도록 국내 금융분야 마이데이터 정책들을 실효성 있게 정착시켜 국민적 신뢰를 얻고 금융 산업 경쟁력 제고를 이루어 나가야 하겠다. As the ability to use data becomes competitive power in the data-driven economy, the effort to create economic value by using personal data is emphasized as much as to protect personal data. EU’s PSD2(the second Payment Service directive) became the initiative of the Open Banking trends all over the world, as it is the Mydata policy which protects the data subject’s right by empowering the subject to control over the personal data with the right to data portability and promotes personal data usages and transfer. Since the MyData policy in financial sector is expected to greatly enhance the efficiency and competitiveness of the financial industry by empowering individuals with so much control over their own data and giving Fintech companies with innovative products and services an opportunities to compete fairly with large banks in the financial market, Korean government is now fast adopting EU’s PSD2 in financial sector and promoting various polices. However, there is growing concerns in personal data abuse and misuse, and data breach. The data privacy and security risks has increased due to the personal financial data and other personal data’s migration from banks to the third parties. This study analyzes domestic financial Mydata policy in comparison with EU’s PSD2 and focus on Personal information life-cycle risks of financial Mydata policy. Some suggestions on how to promote personal information and privacy in domestic financial Mydata Policy will be given.

사이버침해 사고가 정보보호 기업의 가치에 미치는 영향

도귀철 고려대학교 정보보호대학원 2019 국내석사

우리나라는 ICT 기술의 발달로 빠른 정보화 사회로의 변화와 정보 공유를 통해 편리한 생활을 누리고 있다. 하지만 우리의 생활을 윤택하게 해주는 ICT 기술을 바탕으로 지금까지 정보시스템 마비, 사이버 공격, 정보 유출 등 여러 건의 다양한 사이버침해 사고가 있었다. 이러한 사이버 공격에 대해 최근에는 개인정보 유출에 대한 사고 대상기업의 재무적 가치 하락과 관련된 연구가 많이 선행되었다. 사이버 침해 사고 발생 시 기업의 단기적인 기업가치 하락과 대내외 신뢰도 및 평판도 하락으로 인한 영업환경 악화 등을 감소시키기 위하여 사이버 공격에 대해 사전에 예방하고 침해 사고 발생 시 빠른 대응을 위하여 정보보호를 위한 솔루션과 정보보안 서비스를 정보보호 기업으로부터 제공받고 있다. 이에 본 연구에서는 지금까지의 개인정보 유출에 의한 피해기업 대상이 아닌 실제 사이버공격에 의한 사이버침해 사고 발생 시 반대급부를 얻을 수 있는 정보보호 기업에 대한 가치 변화 여부를 국내 정보보호 기업의 주가 변화에 대한 연구를 통하여 사건연구(Event Study) 방법과 가설 검증을 통해 연구하였다. 사이버침해 사고는 온라인 및 오프라인에 보도된 실제 사이버공격에 의한 침해사고를 대상으로 하였고, 대상 정보보호 기업은 주가변화를 통한 기업 가치변화를 확인, 검증할 수 있는 국내 주식시장에 상장된 29개 기업으로 선정하여 모집단에 대해 추정하였다. 사건연구방법에서 정보보호 기업의 가치변화 연구는 주가지수와 연동한 시장조정수익률모형을 사용하였고 가설검증은 통계패키지인 R-프로그램을 활용하여 95% 신뢰도로 검증하였다. 그 결과 사이버침해 사고는 침해사고에 대한 보도일(D일) 기준으로 D-1일에서 D+3일까지의 5거래일까지 정보보호 기업에 대한 누적평균수익률이 주가지수 대비 단기간 증가하였고 그 이후에는 유의미한 차별성이 없었다. 반면에 정보보호 기업과는 다르게 사이버 침해사고에 의한 IT 대표기업의 기업 가치에 미치는 영향은 통계적으로 유의미하게 없었다. 또한 정보보호 기업의 업종과 사이버침해 사고의 피해대상 개수, 현재 또는 과거에 발생한 사이버침해 사고 여부와 관계없이 침해 사고에 대한 보도 공지는 대상 정보보호 기업의 가치에 동일하게 영향을 주었다. 지금까지 사이버침해 사고와 사고대상 기업의 재정적 가치변화에 대한 연구와 개인정보의 중요성이 확대되면서 개인정보 유출 사고에 대한 정보유출 대상기업의 주가 변화를 통해 개인정보 유출 사고가 대상 기업에 미치는 영향을 연구하는 기존의 연구범위를 넓혀 다양한 사이버 공격으로 인한 사이버침해 사고에 대하여 정보보호 기업의 가치에 미치는 영향을 연구하였다는데 의의를 갖는다. 하지만 기업 가치를 주가와 비교하기 위해 국내 상장기업으로 한정하여 전체 정보보호 기업에 대해 통계 추정한 한계점이 있으며 상장 정보보호 기업의 주가에 대하여 사이버침해 사고 이외의 다른 호재나 악재를 본 연구에 반영하지 않았음을 밝힌다. Due to the development of ICT technology, we are enjoying convenient life through change to information society and sharing information. However, based on ICT technology that will enrich our lives, there have been a number of cyber infringement accidents, including paralysis of information system, cyber attacks, and leakages of information. Many studies have been conducted on such cyber attacks, those involving a falling financial value of an accident target company for personal information leaks lately. Protecting short-term company value reduction and worsening business environment due to a decrease in domestic and international credibility and reputation in the event of a cyber breach, solutions and information security services are provided to prevent cyber attacks and to respond swiftly in case of cyber infringement. In this study, the case study has been conducted by event-study methodology on domestic information security companies about changes in the company's share price that can be compensated for cyber attacks, not for victim companies of personal information leakage. Cyber-infringing accidents were targeted at actual cyber attacks reported online and offline, and estimated the population of information security firms value by selecting 29 companies that could identify changes in corporate value through stock price changes. In the event study method, the value change study of information protection companies used a Market Adjusted Return Model linked to the stock price index, and hypothesis testing was verified with 95% confidence using the statistical package R program. As a result, based on the day of reporting on cyber infringement accidents the cumulative average return on information Security companies was increased for a short period 5 days during D-1 to D+3 , and there was no significant difference afterwards. On the other hand, unlike information security companies, there was no impact on the company value of IT representative firms by cyber-infringing accidents. In addition, the reporting notice of an infringement accident, regardless of the industry of the information protection firm, the number of victims of cyber-infringement incidents, and whether they were currently or have occurred in the past, has equally affected the value of the target information security firms. This study is meaningful in that it has expanded the scope of research limited to changes in the value of victim firms of cyber-infringing accidents and personal information leaks and investigated the impact on information security companies regarding various cyber attacks. However, there are limitations on this study because it was conducted statistical estimation not all information security companies but selected companies. And regarding information security company stock price, it did not reflect any favorable or adverse factors other than cyber infringements.

직무분석을 통한 지방자치단체 정보보호 인력 적정성에 관한 연구

강찬우 고려대학교 정보보호대학원 2015 국내석사

2013년은 정보보호에 많은 사건이 일어난 해가 아닌가 싶다. 3.20 사이버테러부터 시작하여 청와대 홈페이지 해킹 등 국가적인 사이버 위협과 최근 발생한 사상 최대 카드 3사 개인정보 유출 사건은 많은 사회적 혼란과 불안감을 야기 하였다. 그에 대한 대안이 여러 가지 제시되고 있으나 근본적인 대안이 없는 것도 사실이다. 정부에서 정보보호 예산을 2013년 지난해보다 200억원 많은 2,600억원을 편성했다. 하지만 매년 정보보호 예산은 들쭉날쭉했다. 2009년 1,757억원에서 그 해 7.7 디도스 사건으로 이듬해 2010년은 2,695억원 그리고 2011년은 다시 2,035억원으로 줄었고 2011년 3.4디도스 공격과 농협 전산시스템 마비 사건이 터져 2012년 예산은 다시 2,633억원으로 증가됐다. 예산투입을 실례로 보듯 정보보안에 있어서 대형사고가 났을때만 원인을 살피고 대책을 마련하는 전형적인 사후약방문 모습이 나타난다. 정보보안은 99% 안전이란 없다. 단 1%에도 침입이 가능하기 때문이다. 하물며 예산 및 전문인력이 없는 지방자치단체의 경우는 이런 부분에서 더더욱 취약 할 수 밖에 없다. 국민이 느끼는 불안과 공포를 완전히 해소할 수 있는 방안이 무엇인가? 화두를 던진다. 왜 컴퓨터보안전문가는 매년 유망직업 중 선두로 조사되는지 한국직업능력개발원 2011. 11. 29일 발표 ? 왜 지방자치단체 정보보호 담당자들은 타업무에 비해 잦은 인사이동을 하는지? 지방자치단체 정보화의 추진주체로서 전담조직의 구조와 기능이 매우 중요하다. 그러나 국가와 민간영역을 제외한 지방의 정보화 조직은 구성이나 역할이 다소 미흡한 것으로 인식되고 있다. 지방자치단체 스스로 정보화를 추진할 조직과 인력이 부족하고 환경과 동력을 충분히 확보하지 못하고 있기 때문이다. 지역정보화 조직은 정보화 시대의 흐름에 맞지 않은 기구와 편제를 답습하고 있으며 행정수요의 변동에 대한 인력운영의 탄력성이 매우 낮다 행정안전부, 2008 는 지적이 대표적이다. 또한 국가․공공기관에서는 교육 및 훈련 부족 직원들의 인식부족 등의 문제는 과거 몇 년동안 정보보호 업무를 수행하는 데 애로사항으로 지적되어 왔다(박태형 외2, 한국지역정보화학회지, 2010). 본 연구는 기존 연구의 공기업 및 민간부문 정보보호 인력에 대한 육성방안 연구중심이었고, 연구대상자 또한 주로 일반인 또는 기업이 대상이었던 반면, 직무분석 기법을 통한 체계적‧효율적 정보보호을 중심으로 지방자치단체 정보보호 수준 향상에 중요한 역할을 하는 정보보호 담당자를 비롯한 정보화담당부서 공무원들을 대상으로 정보보호인력 강화 방안에 관해서 연구했다는 점에서 기존 연구와 다른 각도에서의 연구이며 지방자치단체의 정보보호 업무수행 실태파악과 효과적인 정보보호 정책수립에 있어서 참고자료로 의미를 갖게 될 것으로 기대된다.

AHP를 활용한 스마트워크 정보보호 요소의 중요도 분석 : 중소기업의 모바일 오피스를 중심으로

강경훈 고려대학교 정보보호대학원 2013 국내석사

1. 연구의 개요 스마트워크는 시간과 장소에 얽매이지 않고 언제 어디서나 편리하고 똑똑하게 근무함으로써 업무효율성을 향상시킬 수 있는 업무방식을 말하며, 과학기술 및 정보통신기술의 발달로 많이 이슈화되고 있다. 이에 본 연구에서는 중소기업이 스마트워크의 한 유형인 모바일 오피스를 도입할 때 고려해야할 정보보호 요소를 도출하고, 이들 간에 상대적 우선순위를 실증적으로 분석해봄으로써, 정보보호 측면에서의 스마트워크 정책 방향을 제시하는데 목적이 있다. 이를 위해서 본 연구에서는 이론적인 논의로써 모바일 오피스를 포함한 스마트워크의 개념 및 유형별 특성에 대해 알아보고, 모바일 오피스의 보안 위협 및 대응방안에 관한 선행연구 분석을 통해 모바일 오피스 도입시 고려해야 할 정보보호 요소에 대해 살펴보았다. 이상의 이론적인 논의를 바탕으로 정보보호 분야에서 AHP(Analytic Hierarchy Process)를 활용한 연구를 다양하게 검토함으로써, 연구의 프레임워크를 설정하였다. 이후, 중소기업 종사자를 대상으로 2012년 11월 12일부터 11월 23일까지 약 2주간 온라인 설문조사를 실시하여 136명의 표본을 추출하여 다양한 분석을 시도하였다. 즉, 본 연구에서는 AHP에 근거해 모바일 오피스 정보보호 요소 간의 우선순위에 대해서 분석하고, 추가적으로 모바일 오피스의 주요 특성과 정보보호 요소별 차이를 규명하기 위해서 교차분석(Cross Tab Analysis)과 평균비교분석(독립표본T-검정, 일원배치분산분석)을 실시하였다. 그리고 변수간의 상관관계를 규명하기 위해 이변량 상관관계분석(correlation analysis)을 실시하였다. 2. 주요 연구결과와 시사점 본 연구에서 검증하고자 하는 연구가설(research hypothesis)에 대응하여 다음과 같은 연구결과를 도출할 수 있었다. 1) 가설1에 대한 AHP 분석결과 및 시사점 본 연구에서는 가설1을 “모바일 오피스 정보보호 요소의 5개 영역(단말기, 응용프로그램 및 플랫폼, 네트워크, 서버, 사용자)과 세부 하위 요소에 대한 상대적인 가중치(우선순위)에는 차이가 존재할 것이다”로 설정하였으며, 이에 대한 구체적인 AHP 분석결과와 시사점은 다음과 같다. 첫째, 영역(Level1)에 대한 우선순위의 분석 결과, ‘사용자’가 24.810%로 상대적으로 가장 높은 비중을 차지하고 있어, 이와 관련된 다양한 세부 요소(교육훈련, 업무현황 모니터링, 정보유출 추적기술, 정보보안 관리 조직, 퇴사 시 단말 회수)에 대한 우선적인 고려가 필요한 것으로 나타났다. 둘째, 이를 각 영역별 세부 하위요소에 대해서 분석해보면, 첫째, ‘단말기’ 영역의 경우에는 ‘접속관리’가 22.137%로 가장 높은 가중치를 보이고 있어, PC와 스마트폰 사이의 데이터 전송 통제 및 P2P/웹하드 접속 금지 등에 대한 우선적 고려가 필요한 것을 알 수 있었다. 둘째, ‘응용 프로그램 및 플랫폼’ 영역의 경우, ‘시스템 언락(Unlock) 탐지·차단’이 24.708%로 가장 높은 가중치를 보이고 있어, 기본적으로 탑재되어 있는 펌웨어를 고의적으로 조작한 펌웨어로 교체하는 언락(Unlock) 탐지 및 차단이 우선적으로 고려되어야 하는 것으로 나타났다. 셋째, ‘네트워크’ 영역의 경우, ‘데이터 암호화’가 41.261%로 가장 높은 가중치를 보이고 있어, 데이터 및 음성의 도·감청 방지를 위해 송·수신 데이터의 암호화에 우선적으로 초점을 둘 필요가 있음을 잘 보여준다. 넷째, ‘서버’ 영역의 경우, ‘무선랜 침입탐지시스템’이 21.788%로 가장 높은 가중치를 보이고 있어, 무선랜을 통한 침입 탐지 및 차단 시스템 구축이 중요함을 알 수 있었다. 다섯째, ‘사용자’ 영역의 경우, ‘퇴사 시 단말 회수’가 24.931%로 가장 높은 가중치를 보이고 있어 모바일 오피스 사용자가 퇴사할 경우 사용하던 단말 회수 및 데이터 삭제가 우선적으로 고려되어야 함을 알 수 있었다. 셋째, 전술한 영역(Level1)과 세부 하위요소(Level2)의 상대적인 가중치를 종합적으로 고려하였을 경우에는 상대적으로 ‘네트워크’ 영역의 ‘데이터 암호화’가 8.473%로 1순위, ‘네트워크’ 영역의 ‘무선랜 통제’가 6.499%로 2순위, ‘사용자’ 영역의 ‘퇴사 시 단말 회수’가 6.185%로 3순위 등으로 상대적으로 높은 가중치를 보이는 것으로 나타났다. 따라서 ‘데이터 및 음성의 도·감청 방지를 위한 송·수신 데이터 암호화’, ‘보안이 취약한 무선랜(WiFi)을 통한 시스템 접속 통제’, ‘모바일 오피스 사용자가 퇴사할 경우 사용하던 단말 회수 및 데이터 삭제’ 등을 우선적으로 고려하여 모바일 오피스를 구현할 필요가 있음을 알 수 있다. 2) 가설2에 대한 교차분석 및 평균비교분석 결과 및 시사점 본 연구에서는 가설2를 “다양한 특성(모바일 오피스 도입여부, 소속기관 규모, 직급, 직무분야, 성별, 실무경력, 전문지식 수준 등)에 따라서 모바일 오피스 정보보호 요소의 필요정도, 모바일 오피스를 도입하지 않은 이유 및 정부 지원사항 등에 대한 인식에 차이가 존재할 것이다”로 설정하였으며, 이에 대한 구체적인 교차분석 및 평균비교분석 결과와 시사점은 다음과 같다. 첫째, 모바일 오피스 도입과 관련한 사항(소속기관 모바일 오피스 도입여부, 도입하지 않은 이유, 문제 해결을 위한 정부의 지원사항 등)에 대해 분석한 결과, 모바일 오피스를 도입한 곳은 약 21.3% 정도로 도입하지 않은 곳(78.7%)에 비해서 상대적으로 그 비중이 낮은 것으로 나타났다. 이를 인적특성과 연계하여 살펴보면, 소속기관 직원규모가 큰 조직일수록 모바일 오피스 도입을 했을 가능성이 높은 것으로 나타났으며, 남자인 경우 소속기관에 모바일 오피스를 도입한 비중이 상대적으로 여자보다 높음을 알 수 있었다. 그리고 하위 직급이나 최상위 직급에 비해서 중간 직급에 해당되는 경우를 중심으로 모바일 오피스 도입 비중이 높았으며, 사무직이나 전산직에 비해서 기술직, 영업직, 기타에 해당되는 직무분야를 중심으로 모바일 오피스 도입 비중이 높음을 알 수 있었다. 모바일 오피스 정보보호에 대한 전문지식 수준이 높은 표본일수록, 소속기관의 모바일 오피스 도입 비중이 상대적으로 높게 나타났다. 둘째, 그리고 모바일 오피스를 도입하지 않은 이유는 주로 모바일 오피스 시스템 구축 등의 예산문제가 37.4%로 가장 높은 응답 비중을 차지하고 있으며, 그 다음으로는 기업 기밀정보 및 개인정보 유출 등 보안 문제가 22.4% 등으로 나타났다. 셋째, 위와 같이 모바일 오피스 도입을 주저하게 만드는 문제를 해결하기 위해서 정부가 지원해야 할 가장 중요한 사항은 최적의 모바일 오피스 솔루션 도입을 위한 컨설팅 제공(30.8%)이며, 그 다음으로는 모바일 오피스에 대한 인식 제고 및 활용 능력 향상을 위한 교육 제공(23.4%) 등으로 나타났다. 특히, 모바일 오피스 정보보호에 대한 전문지식 수준이 낮은 경우는 주로 컨설팅 제공과 같은 지원을 요구하고 있는 반면에, 전문지식 수준이 높은 경우는 그 외의 기술지원, 교육지원, 법제도 제정 등의 다른 지원사항을 요구하는 비중이 높음을 알 수 있다. 넷째, 표본들의 주요 특성(모바일 오피스 동비여부, 소속기관 직원규모, 직급, 직무분야, 실무경력, 전문지식 수준 등)에 따라서 모바일 오피스 정보보호 요소의 필요도에 대한 차이를 분석하였으며, 통계적으로 유의미한 결과를 토대로 다음과 같은 사항을 발견하였다. 모바일 오피스를 도입한 경우에 비해서 도입하지 않은 경우에서 모든 평균이 높아 각 영역 및 세부 하위요소에 대한 필요성을 더 많이 인식하고 있었다. 남자에 비해서 여자에 해당되는 표본이 모든 경우에서 평균이 높아 각 영역 및 세부 하위요소에 대한 필요성을 더 많이 인식하고 있는 것으로 해석할 수 있다. 소속기관 직원규모에 따라서는 제한적으로 ‘단말기’ 영역, 원격 잠금 삭제, 원격 데이터 관리, 모바일 전용백신의 경우에서만 통계적으로 유의미한 차이가 존재하였고, 대체로 직원규모가 작은 기관에 속해 있는 표본이 그렇지 않은 표본들에 비해 필요성을 더 많이 인식하고 있었다. 사무직과 기타에 해당되는 직무분야에서 각 영역 및 세부 하위요소에 대한 필요성을 더 많이 인식하고 있음을 알 수 있다. 실무경력과 전문지식 수준에 따라서 일부 지표에 차이가 존재하나, 비일관적인 패턴을 보였다. 3) 가설3에 대한 상관분석 결과 및 시사점 본 연구에서는 가설3을 “모바일 오피스 정보보호 영역 및 세부 하위요소 간에는 상관성이 존재할 것이며, 이에 따라 공동변화하는 정도에 차이가 있을 것이다”로 설정하였으며, 이변량 상관분석을 통해서 다음과 같은 분석결과와 시사점을 도출하였다. 첫째, 전체 5개 영역별 상관분석 결과, 각 변수간의 공동변화 정도는 (+)54.9%∼74.4% 정도로 높게 나타났으며, 특히, 모바일 오피스와 관련된 단말, 응용 프로그램 및 플랫폼, 네트워크, 서버, 사용자 등의 5개 영역별 필요도에 대한 관련성은 상당히 높은 편에 해당되며, 영역별로 유기적인 상관성이 있는 것을 알 수 있다. 둘째, 단말기 영역의 하위요소, 즉, 원격 잠금·삭제, 원격 데이터 관리, 사용자·단말기 인증, 모바일 전용 백신, 최신 운영체제, 접속관리 등 하위요소 간의 공동변화 정도가 (+)22.0%∼79.8% 정도로 높게 나타났다. 특히, 단말기 영역과 세부 하위요소의 상대적인 공동변화 정도는 모바일 전용백신(0.797), 최신 운영체제(0.771), 접속관리(0.766) 등의 순이며, 원격 잠금 삭제(0.666)의 공동변화 정도가 상대적으로 낮게 나타났다. 셋째, 응용 프로그램 및 플랫폼 영역의 하위요소, 즉, 애플리케이션 보안성 검증, 정보보호체계 확립, 응용프로그램 보안, 비정상적 사용패턴 탐지, 시스템 언락(Unlock) 탐지· 차단 등 하위요소 간의 공동변화 정도는 (+)54.6%∼88.7% 정도로 높게 나타났다. 그리고, 응용 프로그램 및 플랫폼 영역과 세부 하위요소의 상대적인 공동변화 정도는 애플리케이션 보안성 검증(0.887), 정보보호체계 확립(0.879), 비정상적 사용패턴 탐지(0.857) 등의 순이며, 상대적으로 시스템 언락(Unlock) 탐지 차단(0.802)의 공동변화 정도가 가장 낮은 편임을 알 수 있었다. 넷째, 네트워크 영역의 하위요소, 즉, VPN, 데이터 암호화, 무선랜(WiFi) 통제 등 하위요소 간의 공동변화 정도는 (+)48.0%∼84.8% 정도로 높게 나타났다. 그리고 네트워크 영역과 세부 하위요소의 상대적인 공동변화 정도는 VPN(0.848)이 가장 높으며, 상대적으로 데이터 암호화(0.818)의 공동변화 정도가 가장 낮은 편임을 알 수 있었다. 다섯째, 서버 영역의 하위요소, 즉, 침입차단 및 방지, 보안관제, 사용자 행위기록, 무선랜 침입 탐지 시스템, 릴레이 연계 서버 등 하위요소 간의 공동변화 정도는 (+)46.3%∼86.3% 정도로 높게 나타났다. 그리고 서버 영역과 세부 하위요소의 상대적인 공동변화 정도는 무선랜 침입 탐지 시스템(0.863)이 가장 높으며, 상대적으로 사용자 행위기록(0.783)의 공동변화 정도가 가장 낮은 편임을 알 수 있었다. 여섯째, 사용자 영역의 하위요소, 즉, 교육·훈련, 업무 현황 모니터링, 정보유출 추적기술(디지털 포렌식), 정보보안 관리조직, 퇴사 시 단말 회수 등 하위요소 간의 공동변화는 (+)39.8%∼86.8% 정도로 높게 나타났다. 그리고 사용자 종합과 세부 하위요소의 상대적인 공동변화 정도는 정보유출 추적기술(디지털 포렌식)(0.868)이 가장 높으며, 상대적으로 퇴사 시 단말 회수(0.781)의 공동변화 정도가 가장 낮은 편임을 알 수 있었다. 3. 연구의 한계와 후속 연구의 필요성 본 연구는 방법론상에서 다음과 같은 한계를 가질 수 있어 해석상의 주의와 향후 추가적인 보완 연구 등이 필요하다. 본 연구의 AHP 체계가 모바일 오피스에서 고려해야 하는 정보보호 요소를 모두 포함한 것인지, 그리고 각 계층별 하위항목간의 정렬이 타당하게 이루어진 것인지 등에 대한 방법론적 비판이 존재할 수 있다. 왜냐하면 의사결정 체계에 대한 자의성에 대한 비판은 AHP 방법론이 가지는 근원적인 한계이기 때문이다. 따라서 본 연구의 AHP 조사체계가 모바일 오피스와 관련된 세부 내용을 충분히 반영하고 있다고 주장하기 보다는 향후 다양한 외생적, 내생적 환경과 수요를 반영하여 해당 정책이 추가적으로 고려해야 할 요소가 무엇인지를 지속적으로 고민해보아야 할 것이다. 따라서 본 연구의 측정도구를 현실에 맞게 보다 정교화하여 다양한 분석단위를 대상으로 한 추가적인 실증분석도 이루어질 필요가 있을 것이다. 그리고 본 연구는 양적인 방법론을 활용한 연구결과이다. 이러한 연구결과는 일반적인 경향을 파악하는데 용이하나 각 표본들 간의 특수하고 개별적인 특성을 파악하는 데는 용이하지 못하다. 즉 이상의 양적인 방법이 가지는 기본적인 한계를 보완하기 위해서 해석학적 관점에서의 사례분석이나 인터뷰, 면접 등의 질적인 방법론을 활용한 보완적인 연구가 이루어질 필요가 있다.