안랩의 SW 이용약관 변경내용 꼼꼼히 들여다보니...

추가·수정된 SW 이용약관 2월 1일부터 시행
사용자 변경내용 꼼꼼히 살펴봐야...개인사용자 PC내 일부 정보수집

[보안뉴스 김태형] 안철수연구소가 소프트웨어 이용약관을 개정·변경했다. 2월 1일부터 시행되는 변경된 SW 이용 약관의 주요 내용은 ‘가상환경 등 다양한 설치환경에서의 소프트웨어 사용권’과 ‘AhnLab Smart Defense 데이터 수집 동의’, 그리고 ‘사문화된 법률 및 보완이 요구되는 조문’ 등에 관한 것이다.

우선 ‘가상환경 등 다양한 설치환경에서의 소프트웨어 사용권‘에 대한 내용은 기존 조항에서 추가됐다. 해당 조항에는 “안철수연구소와 계약된 소프트웨어 사용권 수량만큼 이용 기업·단체가 사용하는 컴퓨터에 설치할 수 있으며 소프트웨어가 실행하는 물리적·가상의 인스턴스는 각각 본 소프트웨어 제품 1개에 해당하는 것으로 간주하고 각 인스턴스당 1개의 사용권을 부여받아야 한다”고 명시하고 있다.

즉, 이용 기업·단체가 물리적 또는 가상의 환경에서 소프트웨어의 설정 또는 설치 절차를 실행하거나 기존 인스턴스의 전부 또는 일부가 복제·참조되는 등으로 별도의 메모리 상에서 구동되는 것은 인스턴스를 생성하는 것에 해당되기 때문에 별도의 사용권이 필요하다는 것. 아울러 개인일 경우에도 마찬가지로 각 인스턴스 당 1개의 사용권을 부여받아 사용할 수 있다.

그리고 새롭게 추가된 ‘AhnLab Smart Defense 데이터 수집 동의’에 관한 부분이다. ‘AhnLab Smart Defense(이하 ASD)’는 금전적인 이득을 목적으로 전문화·조직화·국지화하는 악성코드에 더욱 효과적으로 대응하기 위한 새로운 개념의 악성코드 대응 기술이다.

이러한 ASD는 PC에 저장된 악성코드 정보를 바탕으로 감염 여부를 판단하는 기존 방식과 달리 유형별로 분류된 대규모 악성코드 데이터베이스를 중앙 서버에서 관리하며 PC에 설치되어 있는 ASD 엔진이 파일 분석을 의뢰하면 분석 결과를 알려준다.

안철수연구소 측은 이번 소프트웨어 이용 약관 개정에서 이와 같은 ‘AhnLab Smart Defense 데이터 수집 동의’ 조항을 새롭게 포함시켰다. 즉, 안랩의 소프트웨어 설치시 ASD를 사용자의 PC에 설치하고 악성코드 정보를 수집한다는 것.

이처럼 개정 약관에서는 “ASD 서비스를 제공하기 위해 사용자 PC의 일부 정보를 수집하고 해당 정보는 개인정보보호정책에 따라 익명으로만 저장되고 외부에 공개되지 않는다”고 명시하고 있다.

그러나 ASD는 SW 설치시 사용자에게 동의여부를 확인해 설치하고 있고, 현재 ASD는 개인사용자에게만 적용되고 있어 개인 PC의 데이터 수집에 대한 문제는 없다는 것.

일각에서는 이렇게 사용자 PC에서 수집된 정보는 악성코드 정보뿐만 아니라 일부 악성코드에 감염된 문서파일도 수집될 가능성도 있다는 우려를 제기하기도 한다. 이에 대해 안철수연구소측은 “ASD는 현재 개인사용자에게만 적용되어 있고 문서 파일은 수집하지 않고 파일의 DNA만 수집하기 때문에 문제되지 않는다”고 설명했다.

이러한 ASD가 수집하는 파일은 △사용자 PC의 하드웨어 및 소프트웨어 정보, △시스템 파일의 조작이나 중요 프로세스에 접근하는 것과 같은 잠재적 보안위협이 될 수 있는 프로그램의 행위 정보와 그 행위를 수행하는 것으로 판단되는 프로세스 및 응용프로그램 정보 △잠재적인 보안위협에 대한 응답으로 보내진 데이터 샘플, 웹 브라우저 등을 통해 다운로드 된 응용프로그램에 대한 정보, △ASD 센터 데이터베이스에 악성 및 정상파일로 분류되지 않은 새로운 실행 파일 또는 전체 파일 등이다.

이렇듯 안철수연구소에서 SW 이용약관을 개정·변경함에 따라 안랩의 바이러스 백신 제품 사용자들은 변경된 이용약관을 꼼꼼히 살펴볼 필요가 있다. 특히, ASD의 경우 일부 우려의 목소리도 있기 때문에 수집되는 데이터를 고려해 동의여부를 결정해야 할 것으로 보인다. 또한, 이번 약관 개정이 다른 백신 업체들의 약관 개정에도 어떤 영향을 미칠지 주목된다.

[김태형 기자(boan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)