 |
| IT 잡동사니 |
기타 IT 및 컴퓨터 기술 관련 잡동사니 자료들을 모아두었습니다. |
|
 |
|
|
P3P의 논의현황과 문제점 및 국내정책방향
윤재석 정책연구팀 연구원, jsyun@kisa.or.kr
I. 들어가며
현재 인터넷 상에서의 이용자 프라이버시에 대한 관심이 그 어느 때보다 높아져가고 있는 가운데, 최근 MS사가 이용자의 프라이버시 보호를 위해 P3P를 자사의 인터넷 브라우저의 다음 버전인 Internet Explorer 6.0에 구현할 것이라고 알려져 주목을 끌고 있다. 또한 법제도적 측면에서 이를 반영하려는 노력들이 미국 하원을 중심으로 이루어지고 있는 실정이다.
P3P는 W3C(the World Wide Web Consortium)에서 개발한 프라이버시보호 표준기술플랫폼으로써 웹사이트에서 이루어지는 데이터 처리에 관한 일련의 표준을 제시하고 있다. 구체적인 목표는 웹 브라우저나 다른 사용자 도구로 하여금 자동적으로 해당 웹사이트의 프라이버시에 관한 정보를 읽고 사용자가 이미 설정해 놓은 정보공개 수준과 비교하여 정보를 선별적으로 제공하는 것이다. 모든 개인정보의 전송을 원천적으로 막는 암호화 도구나 익명화 도구와는 달리 P3P는 이용자가 상황에 따라 어느 정도의 개인정보를 제공할 필요가 있을 것이라고 가정한다. 따라서 P3P의 기능은 어떠한 때에 개인정보를 제공해야 하는지 이용자가 선택과 결정을 하는데 도움을 주는 것이다.
그러나 구체적인 실행과정에서 문제점들이 드러나고 있는데, 대표적으로 유럽연합이 제시하고 있는 것과 같은 개인정보보호법이나 OECD 등에서 제시하고 있는 프라이버시 가이드라인과 같은 구체적이고 분명한 기준 없이 과연 이용자가 얼마나 효과적으로 온라인 상에서 자신의 프라이버시를 보호할 수 있을 것인가 하는 문제를 들 수 있다.
이 글에서는 P3P에 대한 이해를 위해 P3P 개발배경과 구현원리, 그리고 Internet Explorer 6.0에 적용된 사례에 대해 설명하고, 실행과정에서 나타날 수 있는 제반 문제점들을 짚어본다. 그리고 마지막으로 향후 국내 정책방향에 대해 논의한다.
II. P3P 개발 동향
1. 개발 배경
1990년대 중반이후를 기점으로 하여 정보통신기술(ICT)의 급속한 발전과 이에 따른 사업모델의 다양화는 개인정보의 수집과 이용이라는 불가피한 선택을 맞이하게 되었다. 인터넷을 통한 비즈니스모델(Business Model)의 개발과 수익 확보의 관건은 개인정보의 데이터베이스화, 데이터 마이닝(Data Mining), 전자적 고객관계관리(eCRM)와 같은 새로운 경영기법의 발전을 이끌게 되었다. 그러나 반면 온라인 상에서 주소와 이름, 신용카드 번호 등 민감한 개인정보가 오·남용되고 프라이버시 침해 사례가 급격히 증가하면서 이는 인터넷을 이용한 커뮤니케이션의 활성화와 정보화에 가장 큰 걸림돌로 작용해 오고 있는 것이 사실이다.
인터넷 이용자의 이러한 프라이버시보호에 대한 우려를 해결하기 위해 미국을 중심으로 형성된 조류 중 하나는 기술적 솔루션 즉, 프라이버시보호기술(PETs, Privacy Enhancing Technologies)을 개발하는 인터넷 기업이고, 다른 하나는 정부와 소비자 단체 등 온라인에서의 이용자 프라이버시를 보호하려는 전문가집단이다. 이 두 그룹간의 접점으로 탄생하게 된 것이 바로 OPS(Open Profiling Standard)라고 할 수 있다. Microsoft, Firefly로 이루어진 초기 OPS는 상업적 사이트가 협동 필터링(Collaborative Filtering)과 같은 시스템을 사용하도록 허용하고, 사용자들은 그들의 프라이버시를 보호할 수 있도록 한다. 이를테면 쇼핑몰을 방문한 이용자가 자신이 원하는 상품에 대해 검색하고 이에 대한 여러 가지 정보를 얻은 후 이를 구매하려 할 경우 사용자는 OPS 규정에 따라 자신의 개인정보를 협상을 통해 넘겨주고 대신 상품에 대한 일정양의 할인을 받을 수 있다. 즉, 이용자가 방문한 웹사이트에서 어느 정도의 개인정보를 제공할 것인가 하고 해당 사이트와 흥정하는 형태가 된다면, 데이터를 수집하는 행위가 더 이상 프라이버시 침해가 안 된다는 것이다. OPS의 기술은 Collaborative Filtering과 W3C(the World Wide Web Consortium)의 RDF(Resource Definition Framework) 애플리케이션에 의해 뒷받침된다. 1997년경 W3C는 eXtensible markup language(XML)를 어떻게 OPS에 사용할 것인지 고려하게 되었고, 결국 OPS는 P3P(Platform for Privacy Preferences)에 포함되게 되었다. 이로써 P3P 표준은 W3C에 의해 개발되어 인터넷상에서의 프라이버시 보호를 위한 기술적 해결방안의 하나로 등장하게 되었다.
2. P3P의 구현
P3P의 목표는 사용자에게 자신의 정보를 관리할 수 있도록 권한을 넘겨주는 것이며 사용자 정보가 잘못된 방법으로 사용되지 않도록 보호하기 위한 것이다. 이를 위한 P3P의 구현과정을 간략하게 설명하면 다음과 같다.
[그림 1]과 같이 P3P시스템에서 이용자가 사이트를 검색할 때, 사용자측 에이전트는 방문한 사이트의 P3P 정책 파일을 요구하고 이에 대응하여 해당 사이트에서는 프라이버시 정책파일을 보내게 된다. 이 과정에서 이용자가 설정한 프라이버시선호수준과 방문한 웹사이트간에 거래 흥정(transaction)이 발생하게 되고 만일 이용자가 설정한 기준에 맞게되면 요청된 웹 페이지가 전송되게 된다.
3. P3P 적용 사례(Internet Explorer 6.0)
올해 말 발표 예정인 Internet Explorer 6.0은 P3P를 탑재하여 기계적으로 읽을 수 있는 프라이버시 보호 정책 파일의 자동 비교 기능과 함께 이용자 스스로가 선별적으로 쿠키를 수용할 수 있게 하는 기능을 부가적으로 적용하여 인터넷 이용자가 스스로 자신의 프라이버시를 보호할 수 있도록 개발되었다. 자신의 개인정보 유출과 정보에 대한 제3자 공유 등 프라이버시에 대한 인터넷 이용자들의 우려가 높아져 감에 따라 Internet Explorer 6.0에 새롭게 쿠키 통제 기능이 추가된 것이다.
구체적으로 살펴보자면, 인터넷 이용자들은 P3P가 탑재된 Internet Explorer를 이용하여 자신이 방문하는 웹사이트의 프라이버시 정책에 대해 자신이 미리 설정한 프라이버시 보호 기준과 비교하고 이를 통해 추가적으로 쿠키를 받아들일 것인지 아닌지를 결정할 수 있다. 만일 방문하는 사이트에서 개인식별 가능한 정보(Personally Identifiable Information)를 수집하고 있으며 이를 위해 쿠키를 사용하고 있다면 사용자는 이를 상황별로 통제하여 보다 적극적인 프라이버시 보호대책을 강구할 수 있다.
이 기능은 아래 [그림 2]에서 보는 바와 같이 이용자들이 이용하기 편한 인터페이스와 구조로 이루어져, 자신의 선호에 따라 단계별로 프라이버시보호 수준을 결정할 수 있게 한다.
※ 자료출처 : http://msdn.microsoft.com/workshop/security/privacy/IE6PrivacyFeature.asp
Internet Explorer 6.0은 사용자가 각기 다른 상황에 따라 쿠키를 받을 것인지, 거부할 것인지, 혹은 그 수준을 낮출 것인지(downgrading), 제한할 것인지(leashing)에 대해 결정할 수 있게 한다. 수준이 낮추어진 쿠키는 그 기한이 만료되거나 검색 세션이 끝나게 되면 자동적으로 삭제된다. 쿠키를 제한하게 되는 경우(leashed cookies), 전송을 요청한 웹사이트와의 쿠키 거래는 허용되지만 제 3자 거래에 있어서는 거부된다.
사용자들은 또한 인터넷 옵션에 있는 프라이버시 탭을 이용하여 쿠키 설정 외에 자신의 프라이버시 보호를 위한 기능을 이용할 수 있다.
III. P3P의 문제점
1. 쿠키 설정의 번거로움
대다수의 인터넷 이용자들은 쿠키의 존재와 그 기능에 대해 잘 모르고 있으며, 또한 인터넷 기업이 이용자 자신의 온라인 활동을 모니터링하고 있다는 사실을 알고 있지 못하는 경우가 많다. 이 때문에 대다수의 인터넷 이용자들은 서비스 제공자가 표면적으로 제공하는 부가적인 기능들을 이용하기 위해 P3P의 보안 수준을 최저로 설정할 것으로 보인다. 왜냐하면 쿠키를 거부함으로써 사이트에 접속할 때마다 쿠키를 받을 것인지 아닌지를 경고하는 윈도우 팝업 메시지는 인터넷 이용자들에게 매우 짜증스러운 일이 될 수도 있기 때문이다.
2. 프라이버시 보호기준 설정의 어려움
공정한 정보처리 관행(Fair Information usage)을 위한 방법은 개인에게 개인정보의 수집과 이용에 대한 통제권을 확대시켜주는 것이며 이에 대한 접근을 보장하는 것이다. 그러나 P3P는 이러한 접근방법을 취하고 있지 않다. 즉, P3P는 프라이버시에 대하 고지와 선택이라는 접근방법을 취하고 있는데, 이를 통해서는 기업에서 이루어지고 있는 정보처리에 대한 투명성과 공정성을 담보할 수 없기 때문에 프라이버시 보호를 위해서는 극히 취약한 모델이라고 할 수 있다. 또한 P3P의 접근 방법은 프라이버시 보호를 위한 전통적인 접근방법과도 어긋난다고 할 수 있다. 기업의 자율규제를 중시하는 미국의 경우에도 서비스 이용자의 프라이버시 보호수준을 명확히 설정함으로써 최소한의 권리를 보장하는 접근 방법을 취하고 있다. 예를 들어 케이블 방송 가입자의 프라이버시를 보호할 수 있도록 제정된 케이블 법, 비디오 대여 기록에 대한 프라이버시를 보호할 수 있도록 만들어진 비디오 프라이버시 법, 그리고 전화기록을 보호할 수 있도록 제정된 일련의 법과 규제 등은 사업자들이 최소한 지켜야할 이용자 프라이버시 보호기준을 제시해주고 있다. 그러나 P3P는 기본적으로 사용자 개개인에 대한 통제권을 우선 시 하기 때문에 기본적인 보호 기준설정에 어려움이 있게 된다.
많은 사람들이 P3P를 통해 그 선택의 폭을 넓힘으로써 프라이버시 문제를 해결할 수 있다고 믿지만, 실상 제공되는 선택은 어떻게 자신의 프라이버시를 보호할 것인가가 아니라 얼마만큼 자신의 프라이버시를 포기해야 하는가 하는 것일 수도 있다.
3. P3P에 따르지 않는 사이트 배제
P3P가 요구하는 것보다 더 훌륭하게 프라이버시를 보호하고 있는 사이트라 할지라도 P3P 코드가 없다면 해당 사이트는 배제되게 된다. 만일 P3P를 지원하는 사이트가 많지 않을 경우 소비자들은 이 기술을 이용할 유인을 느끼지 못할 것이다. 그렇게 된다면 사업자들 또한 이 서비스를 선택할 이유를 찾지 못할 것이다.
4. 궁극적 집행력의 부재
P3P는 프라이버시 정책을 집행할 수 있는 수단이 부족하다. 비록 P3P가 사용자로 하여금 그들의 정보를 제공하기 이전에 웹사이트의 프라이버시 정책에 대해 알 수 있도록 하는 수단을 제공하기는 하지만, 반드시 이것이 개별적인 웹사이트가 그 정책에 따라 개인정보를 보호한다고 볼 수는 없다. 이러한 기능을 구현하는 제품들은 어떤 면에서 도움을 줄 수도 있지만 전체적으로 아직 부족한 것이 현실이다. 따라서 프라이버시를 보호하기 위한 구체적 법률이 없다면 이용자는 P3P 프로토콜에서 제시되는 정책이 궁극적으로 별 실효성과 집행력이 없음을 알게 되고 혼란을 겪게 될 것이다.
IV. 결론 및 국내 정책방향
인터넷 사용자가 자신의 개인정보를 보호하기 위해 이용할 수 있는 기술적 도구 및 그 이용방법은 온라인 상에서 쉽게 찾아 볼 수 있다. 예를 들어 익명으로 인터넷을 검색할 수 있는 도구, 쿠키를 막는 프로그램, HTML 필터 등 수많은 프로그램들이 개발되었거나 현재 개발 중에 있다. 이러한 기술들은 개인 식별 가능한 정보의 수집을 최소화하거나 불가능하게 함으로써 프라이버시에 대한 위협을 최소화할 수 있다. 이러한 면에서 P3P는 분명히 인터넷 사용자들의 프라이버시와 개인정보를 보호하는데 중요한 역할을 담당할 수 있을 것으로 보인다.
그러나 한편 아직까지 관련 논의의 활성화와 정책적 뒷받침이 마련되지 않는 상황에서 P3P를 프라이버시 보호를 위한 기술적 표준으로 정하는 데는 다소 무리가 있을 것으로 보인다. 오히려 복잡하고 혼란스러운 기준 설정으로 인해 인터넷 사용자들은 자신들의 프라이버시를 보호하는 데 이전보다 많은 어려움을 느끼게 될지도 모른다. P3P는 인터넷과 관련된 수많은 프라이버시 문제들에 대한 완벽한 해결책을 제시할 수 없다. P3P 개발자들은 P3P가 프라이버시 보호를 위해 제안된 기준으로써 가장 광범위하다고 주장하지만, 현재 P3P가 구현되고 있는 웹사이트는 아직까지 극소수에 불과하다.
특히 국내에서는 프라이버시 보호기술과 P3P의 개발 및 적용에 대한 논의가 그다지 많이 이루어지지 않은 상황이다. 따라서 관련 기술개발 동향과 국내 이용방안에 대한 논의가 좀더 적극적으로 이루어져야 할 것으로 보인다. 이를 위해 먼저 기술적 프라이버시 보호를 위한 기본 원칙을 수립한 후 P3P를 비롯한 다른 프라이버시 보호 기술의 적절한 활용이 요구된다. 온라인 상에서 프라이버시를 효율적으로 보호하기 위해 가장 좋은 기준은 공정한 정보처리 실행을 위한 기준확립과 기술의 도입, 그리고 이를 통해 개인식별 가능한 정보에 대한 수집을 최소화하는 것이다.
<참고문헌>
Cranor, L., et al. (2000, 10 May). The Platform for Privacy Preferences 1.0. W3C Working Draft. www.w3.org/TR/P3P
EPIC and JunkBusters, Pretty Poor Privacy: An Assessment of P3P and Internet Privacy. www.epic.org/reports/prettypoorprivacy.html
Federal Trade Commission. (2000, May). Privacy online: Fair information practices in the electronic marketplace. Report to Congress.
전자신문 3월 28일자 기사
Newsbytes.com June 8 기사 |
|
|
 |
 |
 |
|
|
iWiz ShareBase, ⓒCopyleft by iWiz.
For more information contact
.
|
|
본 웹사이트에 게시된 이메일 주소가 전자우편 수집 프로그램이나
그 밖의 기술적 장치를 이용하여 무단으로 수집되는 것을 거부하며,
이를 위반시에는 정보통신망법에 의해 형사처벌됨을 유념하시기 바랍니다.
[게시일 2004. 1. 31]
|
|
|
 |
|
 |
|
|
