.jpg)
KAST 사이버보안연구센터 신강식 연구원, ‘[벤치마크] 비식별(가명) 보안솔루션 비교 분석’ 발표
국내 대표적인 가명처리 솔루션 5개 선정, 39개 선별된 평가항목 통해 공정한 평가 진행
[보안뉴스 김영명 기자] 국내 최대 개인정보보호 축제의 장인 ‘제12회 개인정보보호페어 & CPO워크숍(PIS FAIR 2023)’이 서울 코엑스 그랜드볼룸에서 6월 8~9일 양일간 진행되고 있는 가운데 행사 1일차인 6월 8일 키노트 세션에서는 KAIST 사이버보안연구센터(CSRC) 신강식 연구원이 ‘[벤치마크] 비식별(가명) 보안솔루션 비교 분석’ 결과에 대해 발표했다.
‘가명정보 처리 솔루션’은 개인정보보호위원회에서 마련한 ‘가명정보 처리 가이드라인’을 준수하는 가명정보 처리 절차로, 개인정보의 가명처리를 단계별 절차에 따라 처리하는 솔루션을 의미한다.
단계별 가명정보 처리 절차는 크게 5단계로 세분할 수 있는데, 1단계는 ‘가명정보 처리 목적을 명확히 설정하고 가명정보 처리 목적의 적합성 검토 및 필요 서류 작성’, 2단계는 ‘가명처리 대상 데이터의 식별 위험성 분석 및 평가’, 3단계는 ‘식별 위험성 검토 결과를 기반으로 가명정보마다 적절한 가명 처리 기술 적용’이다. 이어 4단계는 ‘1~3단계의 가명처리 결과에 대한 적정성 검토(검토위원 선정 등)’, 5단계는 ‘가명 처리된 데이터에 대한 기술적·관리적·물리적 안전조치 등 사후 관리 이행’ 등으로 설명할 수 있다.
이번에 선정된 평가 대상 가명처리 솔루션은 <보안뉴스> 설문을 통해 가장 인지도가 높은 제품, 그리고 제조사의 적극적인 평가 의지가 반영돼 5가지 제품을 선정했는데, △이지서티 ‘IDENTITY SHIELD’ △지란지교데이터 ‘IDFILTER’ △펜타시스템테크놀러지 ‘DataEye PIDI’ △엔텀네트웍스 ‘N-PIE’ △데이타스 ‘PAmaster’ 등이다.
신강식 연구원은 “이번 가명정보 처리 솔루션 비교 분석을 위한 평가 항목은 개인정보보호위원회에서 지난해 발행한 ‘가명정보 처리 가이드라인’을 분석, 외부 결합 및 반출 관련 평가는 항목에서 제외한 후 100여개의 평가항목을 수립했으며, 최종 39개로 간소화했다”고 말했다.
이번 평가를 위해 가명처리 데이터를 생성하는 과정은 성명과 주민등록번호 등 식별정보, 성별과 연령 등 식별가능정보의 일부 항목과 삭제, 범주화 등 가명처리 기술을 적용할 수 있는 항목을 선정했다. 또한, 보건의료, 교육, 공공분야 등 복합적인 분야에서 활용가능한 항목이 포함된 가상 데이터를 생성하는 가상 가명처리 데이터 생성도구를 개발하고, 1MB당 약 5,000건의 데이터가 포함된 100MB의 데이터와 1GB 데이터를 생성해 평가에 활용했다.
신강식 연구원은 “생성한 가명처리 데이터의 28개 컬럼 중 8개 컬럼을 대상으로 가명처리를 진행하고, 마스킹, 라운딩(올림), 컬럼삭제 등 3개의 가명처리 기술을 적용했다”며 “개인정보 100MB, 420만개, 1GB, 4,300만개에 대한 정확도 테스트를 진행해 선정된 5개의 가명처리 솔루션 모두 100% 정확도로 가명처리를 하는 것을 확인할 수 있었다”고 말했다.
신 연구원은 이번 평가 대상으로 진행한 5개 솔루션에 대한 특징도 설명했다. 먼저, 이지서티의 ‘IDENTITY SHIELD’는 4개 이상의 다양한 데이터베이스 접속을 통한 자동 가명처리 지원, 클라우드(Amazon, MSAzure) 환경 구축 가능, 최다 30개 이상의 가명·익명처리 기술 보유 등이 특징이다. 이어 지란지교데이터의 ‘IDFILTER’는 프로젝트별 데이터 주기 추적 가능, 프로젝트 단계별 수행 담당자 설정 및 관리자 승인·반려기능, SAS 의료 데이터 포맷 가명처리 및 결합 지원, 송수신 클라이언트를 통한 암호화 송수신 프로그램 등이 특징이다.
또한, 펜타시스템테크놀러지의 ‘DataEye PIDI’는 가명처리 업무 프로세스 통합 관리 기능(Portal 제공), 가명처리 프로세스별 결재 기능 제공, 클라우드(AWS S3,Google BigQuery) 기반 연계 가능(커넥터 지원), 대용량 데이터셋(TB) 이상 병렬처리 기술 보유 등이, 엔텀네트웍스의 ‘N-PIE’는 비정형 데이터 처리 기능, 한글파일(XML)에 대한 개인정보 가명처리 기능, 데이터별 가명처리 관리 기능 제공 등의 특징이 있으며, 데이타스의 ‘PAmaster’는 위험 지표 및 매트릭스 기반의 정량적 위험도 측정, 위험도 측정 결과에 따른 가명처리 기술 추천, 데이터별 가명처리 관리 기능 제공 등의 특징이 있다.
신 연구원은 평가를 진행하면서 각각의 솔루션에 대한 보완사항도 짚었다. 그는 “일부 솔루션은 1GB 이상의 데이터를 처리할 때 성능이 저하되거나 불안정한 서비스를 보이기도 했으며, 가명처리 기술에 대한 표준이 아직 만들어지지 않았기 때문에 회사별로 가명정보 처리 방식에서도 차이가 있었다”고 밝혔다.
이어 “기능 및 목적에 따라 솔루션이 나뉘어 있어 사용자가 실제 사용할 때는 복잡할 수 있으며, 가명처리 시 사용자의 개입이 필요한 경우가 많은 등 사용자 친화적이지 않은 것도 보완사항”이라며 “가명처리 순서가 복잡해 다음 수행 단계에 대한 안내 메시지가 미흡했다”는 점도 꼽았다.
마지막으로 KAIST 사이버보안연구센터 신강식 연구원은 “가명처리 솔루션의 모든 제품은 ‘가명처리 가이드라인’을 기반으로 하다 보니 기본적인 요구사항은 대부분 충족하고 있다”며, “그러나 회사별, 제품별로 특색이 달라 실제 사용자인 기업의 니즈에 맞는 가명처리 솔루션을 꼼꼼하게 파악한 후, 선택하는 것이 중요하다”고 강조했다.
[김영명 기자(boan@boannews.com)]
국내 대표적인 가명처리 솔루션 5개 선정, 39개 선별된 평가항목 통해 공정한 평가 진행
[보안뉴스 김영명 기자] 국내 최대 개인정보보호 축제의 장인 ‘제12회 개인정보보호페어 & CPO워크숍(PIS FAIR 2023)’이 서울 코엑스 그랜드볼룸에서 6월 8~9일 양일간 진행되고 있는 가운데 행사 1일차인 6월 8일 키노트 세션에서는 KAIST 사이버보안연구센터(CSRC) 신강식 연구원이 ‘[벤치마크] 비식별(가명) 보안솔루션 비교 분석’ 결과에 대해 발표했다.
▲KAIST 사이버보안연구센터 신강식 연구원 ‘비식별(가명) 보안솔루션 비교 분석’을 발표하고 있다[사진=보안뉴스]
‘가명정보 처리 솔루션’은 개인정보보호위원회에서 마련한 ‘가명정보 처리 가이드라인’을 준수하는 가명정보 처리 절차로, 개인정보의 가명처리를 단계별 절차에 따라 처리하는 솔루션을 의미한다.
단계별 가명정보 처리 절차는 크게 5단계로 세분할 수 있는데, 1단계는 ‘가명정보 처리 목적을 명확히 설정하고 가명정보 처리 목적의 적합성 검토 및 필요 서류 작성’, 2단계는 ‘가명처리 대상 데이터의 식별 위험성 분석 및 평가’, 3단계는 ‘식별 위험성 검토 결과를 기반으로 가명정보마다 적절한 가명 처리 기술 적용’이다. 이어 4단계는 ‘1~3단계의 가명처리 결과에 대한 적정성 검토(검토위원 선정 등)’, 5단계는 ‘가명 처리된 데이터에 대한 기술적·관리적·물리적 안전조치 등 사후 관리 이행’ 등으로 설명할 수 있다.
이번에 선정된 평가 대상 가명처리 솔루션은 <보안뉴스> 설문을 통해 가장 인지도가 높은 제품, 그리고 제조사의 적극적인 평가 의지가 반영돼 5가지 제품을 선정했는데, △이지서티 ‘IDENTITY SHIELD’ △지란지교데이터 ‘IDFILTER’ △펜타시스템테크놀러지 ‘DataEye PIDI’ △엔텀네트웍스 ‘N-PIE’ △데이타스 ‘PAmaster’ 등이다.
신강식 연구원은 “이번 가명정보 처리 솔루션 비교 분석을 위한 평가 항목은 개인정보보호위원회에서 지난해 발행한 ‘가명정보 처리 가이드라인’을 분석, 외부 결합 및 반출 관련 평가는 항목에서 제외한 후 100여개의 평가항목을 수립했으며, 최종 39개로 간소화했다”고 말했다.
이번 평가를 위해 가명처리 데이터를 생성하는 과정은 성명과 주민등록번호 등 식별정보, 성별과 연령 등 식별가능정보의 일부 항목과 삭제, 범주화 등 가명처리 기술을 적용할 수 있는 항목을 선정했다. 또한, 보건의료, 교육, 공공분야 등 복합적인 분야에서 활용가능한 항목이 포함된 가상 데이터를 생성하는 가상 가명처리 데이터 생성도구를 개발하고, 1MB당 약 5,000건의 데이터가 포함된 100MB의 데이터와 1GB 데이터를 생성해 평가에 활용했다.
신강식 연구원은 “생성한 가명처리 데이터의 28개 컬럼 중 8개 컬럼을 대상으로 가명처리를 진행하고, 마스킹, 라운딩(올림), 컬럼삭제 등 3개의 가명처리 기술을 적용했다”며 “개인정보 100MB, 420만개, 1GB, 4,300만개에 대한 정확도 테스트를 진행해 선정된 5개의 가명처리 솔루션 모두 100% 정확도로 가명처리를 하는 것을 확인할 수 있었다”고 말했다.
신 연구원은 이번 평가 대상으로 진행한 5개 솔루션에 대한 특징도 설명했다. 먼저, 이지서티의 ‘IDENTITY SHIELD’는 4개 이상의 다양한 데이터베이스 접속을 통한 자동 가명처리 지원, 클라우드(Amazon, MSAzure) 환경 구축 가능, 최다 30개 이상의 가명·익명처리 기술 보유 등이 특징이다. 이어 지란지교데이터의 ‘IDFILTER’는 프로젝트별 데이터 주기 추적 가능, 프로젝트 단계별 수행 담당자 설정 및 관리자 승인·반려기능, SAS 의료 데이터 포맷 가명처리 및 결합 지원, 송수신 클라이언트를 통한 암호화 송수신 프로그램 등이 특징이다.
또한, 펜타시스템테크놀러지의 ‘DataEye PIDI’는 가명처리 업무 프로세스 통합 관리 기능(Portal 제공), 가명처리 프로세스별 결재 기능 제공, 클라우드(AWS S3,Google BigQuery) 기반 연계 가능(커넥터 지원), 대용량 데이터셋(TB) 이상 병렬처리 기술 보유 등이, 엔텀네트웍스의 ‘N-PIE’는 비정형 데이터 처리 기능, 한글파일(XML)에 대한 개인정보 가명처리 기능, 데이터별 가명처리 관리 기능 제공 등의 특징이 있으며, 데이타스의 ‘PAmaster’는 위험 지표 및 매트릭스 기반의 정량적 위험도 측정, 위험도 측정 결과에 따른 가명처리 기술 추천, 데이터별 가명처리 관리 기능 제공 등의 특징이 있다.
▲이번 ‘비식별(가명) 보안솔루션 비교 분석’은 국내외에서 인지도가 높고 회사의 적극적인 평가의지가 있는 제품 5종을 선정했다[사진=보안뉴스]
신 연구원은 평가를 진행하면서 각각의 솔루션에 대한 보완사항도 짚었다. 그는 “일부 솔루션은 1GB 이상의 데이터를 처리할 때 성능이 저하되거나 불안정한 서비스를 보이기도 했으며, 가명처리 기술에 대한 표준이 아직 만들어지지 않았기 때문에 회사별로 가명정보 처리 방식에서도 차이가 있었다”고 밝혔다.
이어 “기능 및 목적에 따라 솔루션이 나뉘어 있어 사용자가 실제 사용할 때는 복잡할 수 있으며, 가명처리 시 사용자의 개입이 필요한 경우가 많은 등 사용자 친화적이지 않은 것도 보완사항”이라며 “가명처리 순서가 복잡해 다음 수행 단계에 대한 안내 메시지가 미흡했다”는 점도 꼽았다.
마지막으로 KAIST 사이버보안연구센터 신강식 연구원은 “가명처리 솔루션의 모든 제품은 ‘가명처리 가이드라인’을 기반으로 하다 보니 기본적인 요구사항은 대부분 충족하고 있다”며, “그러나 회사별, 제품별로 특색이 달라 실제 사용자인 기업의 니즈에 맞는 가명처리 솔루션을 꼼꼼하게 파악한 후, 선택하는 것이 중요하다”고 강조했다.
[김영명 기자(boan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
김영명기자 기사보기
[2024-04-24] _m.jpg)
.jpg)
.jpg)
