GDPR과 CCPA 제정 등으로 인해 갑자기 부각된 프라이버시 보호
아직 갈피 못 잡는 기업들 다수...자발적 참여 원한다면 프레임워크 참조해야

[보안뉴스 문가용 기자] 미국의 국립표준기술원(NIST)이 ‘프라이버시 프레임워크(Privacy Framework)’ 1.0을 발표했다. 프라이버시와 관련된 리스크를 각 조직이 관리하는 데에 있어 유용한 도구가 될 것으로 보인다.


[이미지 = iclickart]

프라이버시 프레임워크의 초안이 발표된 건 2019년 9월의 일이었다. 당시 NIST는 “초안에 대한 피드백을 2019년 말까지 제공해달라”고 요청했었다. 프라이버시 프레임워크가 개발된 건 프라이버시와 관련하여 조직들이 다음의 3가지를 강화할 수 있도록 돕기 위함이었다.
1) 제품이나 서비스 개발 시 프라이버시 고려하기
2) 프라이버시 보호와 관련된 소통법
3) 프라이버시 보호를 위한 조직 간 협업

프레임워크는 크게 1) 핵심, 2) 프로파일, 3) 구축 단계의 세 가지 부분으로 구성되어 있다.
1) 핵심(core) : 단계별 실천 사항과 결과를 제시한다. 내부 소통을 돕는 것이 궁극적 목적이다.
2) 프로파일(profiles) : 위 ‘핵심’에서 다뤄진 내용을 기능, 항목, 하위 항목으로 나눈 것으로, 조직들이 우선순위에 따라 참고할 수 있다.
3) 구축 단계(implementation tier) : 위 ‘프로파일’에서 목표로 설정한 것을 이루기 위해 자원을 효율적으로 배포할 수 있게 해준다.

NIST의 프라이버시 프레임워크는 법이나 규정이 아니다. 사용자 기업 혹은 조직들이 자발적으로 활용하도록 만들어진 ‘도구’다. 하지만 GDPR과 CCPA 등 프라이버시 관련 규정이 엄중해져가는 때에 반드시 필요한 기준이 될 것으로 전문가들은 예상하고 있다.

NIST의 수석 프라이버시 정책 고문인 나오미 레프코비츠(Naomi Lefkovitz)는 “프라이버시 보호 문화를 형성하는 데에 반드시 필요한 구성 요소들을 이 프레임워크를 통해 찾을 수 있을 것”이라고 설명한다. “프라이버시 보호가 저변에 깔린 제품과 서비스를 통해 조직들은 소비자와 고객의 신뢰를 얻을 수 있게 됩니다. 이번 프레임워크를 통해 그 신뢰를 구축할 수 있기를 희망합니다.”

레프코비츠에 의하면 이번 프레임워크를 통해 NIST는 프라이버시에 대한 개념적 설명만 풀어낸 것이 아니라 각종 기술적 발전 사항들과 데이터의 활용 방법에 관한 것도 최대한 담아내려 노력했다고 한다.

“개인정보라는 항목 내에도 여러 가지 데이터가 있고, 지금은 가치가 낮다고 여겨지는 것들이라도 앞으로는 새로운 가치를 부여받을 것입니다. 또한 따로 떼놓고 보면 큰 가치가 없거나 그리 민감하지 않은 정보라도, 합쳐놓고 보면 굉장히 민감해지는 경우도 있습니다. 그러한 점이 프라이버시 보호의 가장 까다로운 부분이고, 그 어려움을 해소하기 위해 프레임워크가 준비되었습니다. 다만 이를 체크리스트로 활용한다면, 한계에 부딪힐 것입니다. 끊임없이 평가하고 위험을 완화시키는 도구로서 이 프레임워크를 활용할 것을 권장합니다.”

이번 NIST의 프라이버시 프레임워크는 NIST 웹사이트에서 PDF 형태(https://www.nist.gov/system/files/documents/2020/01/16/NIST%20Privacy%20Framework_V1.0.pdf)로 제공되고 있다. NIST는 이 프레임워크도 꾸준히 업데이트 될 예정이라고 덧붙였다.

3줄 요약
1. 까다로운 프라이버시 보호, NIST가 답을 제시.
2. NIST 프라이버시 프레임워크 1.0, 각 기관들이 고객 신뢰 잃지 않도록 돕기 위해 만들어짐.
3. 현재 NIST 웹사이트에서 PDF 형태로 배포 중.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>