설문조사 결과 인용된 보고서 볼 때 주의할 점

이미 모두들 알고 있는 현황을 되짚는 설문조사 인용은 무의미

[보안뉴스 주소형] 지난주에 다수의 보고서가 발표됐다. 대부분의 보고서들은 설문조사 통계 자료를 인용하곤 하는데 이를 면밀하게 들여다 볼 필요가 있다. 원하는 방향의 결과를 도출하기 위해 편파적일 수 있는 통계 등을 사용할 수도 있기 때문이다.

▲ 성형수술 받는 설문 통계 자료

예를 들어 대량의 민감한 정보를 수반하고 있는 빅데이터 시스템이 가지고 있는 잠재적인 보안위험성을 고발하는 기사가 하나 있었다. 여기에는 산스 연구소(SANS Institute)가 206개의 회사를 대상으로 조사한 설문 조사 통계가 인용됐다. 그런데 응답자의 기준을 주의 깊게 보니 해당 조사에서 직원 만 명 이상인 회사에 소속되어 있는 응답자가 43%였으며, 응답자의 53%가 IT 보안 조직의 일원이었다.

그 결과는 이렇게 나왔다.

- 응답자의 73%가 빅데이터 애플리케이션을 “고객의 민감한 개인 정보를 저장”하는 데 사용하고 있는 것으로 집계

- 응답자의 72%가 직원 이력과 같은 중요한 기업데이터(64%), 지적재산(59%), 결제 카드 정보(53%)를 저장하고 있다고 것으로 집계

솔직히 너무 추상적이지 않는가? 도대체 여기서 ‘민감한’ 정보는 어디까지를 말하는 것이며 지적재산은 무엇을 하고 말하고 있는지 애매하다. 즉 답변 항목의 구체성이 떨어져 그냥 뻔하디 뻔한 통계가 되어 버린 것. 산스 연구소는 오랜 기간 동안 업계의 신뢰를 받아온 조사기관이다. 산업 전반을 아우르는 유용한 통계도 많았고 국제보안전문기관인 인터넷 스톰 센터(Internet Storm Center)까지 갖추고 있기 때문이다. 그런데 이번에 인용된 해당 통계만큼은 인정하기 어려워 보인다.

사실 해당 뉴스는 크게 새로울 것이 없는 내용이다. 몇 년 전부터 빅데이터의 위험성을 경고하는 기사들은 수두룩하기 때문이다. 물론 첫 술에 배부를 수도 없기에 반복적인 경고 및 지적이 필요하다. 한 번으로는 정확한 메시지 전달에 한계가 있기 때문이다.

그러니 필자가 문제 삼고 있는 것은 그 결과가 아닌 다른 데 있다. 바로 해당 조사가 클라우데라(Cloudera)의 스폰을 받았다는 사실을 짚어 보자는 것. 클라우데라의 경우 하둡(Hadoop) 및 빅데이터 기술 공급업체다. 여기서 하둡 역시 빅데이터를 관리하는 주요 툴이다. 그런 클라우데라사가 원하는 것이 무엇이겠는가? 빅데이터가 매우 위태위태하니 빅데이터 보안을 강화해야 한다는 목소리일 것이다. 그래야 더 많은 기업들이 빅데이터 보안기술을 도입할 테니 말이다.

따라서 필자는 스폰을 받고 있는 보안 설문조사 통계를 신뢰하지 않은지 오래다. 그것이 사실이든 아니든 편견을 가질 수밖에 없기 때문이다. 만약 산스 연구소가 빅데이터 위협 시나리오를 지금처럼 부각시키지 않고 모든 것이 안정적이라고 한다면 그 조사에 스폰을 해준 클라우데라사는 결과에 만족할까? 그런데 사실 어느 누가 스폰서의 영향에 자유로울 수 있겠는가.

최근 인포메이션 위크(Information Week)라는 매체에서도 빅데이터 관련 기사를 기재했는데 그들의 경우는 조금 달랐다. 통계 자료 뿐 아니라 하둡 서밋(Hadoop Summit)에서 미국 에너지전문업체인 슐룸베르리(Schlumberger)의 아닐 발마(Anil Varma) 부사장이 한 발언을 추가하여 기사를 완성시킨 것. “사용자의 직위 및 역할 등에 따라 권한을 세분화시키는 것이 빅데이터 보안을 강화하는 한 가지 방법이다.” 빅데이터 보안을 진심으로 걱정한다면, 빅데이터의 심각한 보안 실태만을 고발하고 증명할 것이 아니라 이렇게 적어도 한 가지 방법 정도는 제시해야 한다는 생각이다.

그 외에도 빅데이터라는 기술을 아예 보안과 접목시키는 방법을 제시한 기사도 있었는데, 빅데이터를 보호해야 할 대상이 아니라 역으로 보호의 방법으로 활용하자는 내용이었다. 이 같은 방향의 연구가 이미 2012년부터 진행되고 있다는 점도 흥미롭게 지켜볼 부분이라는 생각도 들었다. 빅 데이터 보안을 위해서는 하둡을 사용해도 좋지만 기업 차원의 정책 보완으로도 충분히 가능하며 보안 자체를 위한 기술로도 활용이 가능하다는 것이다. 유용하지 않는가? 이렇게 우리가 진짜 필요한 것은 이미 알고 있는 현황보다는 한 발 앞서 미래를 내다볼 수 있는 정보라는 점을 강조하고 싶다.
글: 빌 브렌너 (Bill Brenner)

Copyrighted 2015. UBM-Tech. 117153:0515BC

[국제부 주소형 기자(sochu@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)