[넋두리 4] 5. 이것이 최소한인가?
스스로에게 계속 질문하라
정보보안 전문인력들에게 초지일관 항시 강조하는 것이 있다. 실제 업무가 처리되는 과정에 대한 가상의 시나리오를 구성할 수 있어야 한다고 말이다. 이렇게 강조하는 이유는 현장부서의 요구사항에 대해 정보보안조직이 제공한 회신이 실제 업무처리과정과 상당한 괴리감이 있어 현장의 상황을 담지 못하는 경우가 비일비재하기 때문이다.
이와 관련된 설명시 자주 인용하는 좋은 예가 하나 있는데 '개인정보 최소한의 수집 기준'과 관련된 '스마트폰 AS센터'의 얘기다. 실제 AS센터 접수시스템 개발 등의 사업에 참여해 본 것은 아니다. 적당한 예시를 개발하기 위해 고민하다 발굴한 내용이며, 실제 기업들의 스마트폰 AS센터 운영방식과 다소 차이가 있을 수도 있다.
그러나 개인정보 보호법에서 요구하는 '최소한의 수집 기준'을 만족하기 위해 업무처리 방식에 대한 진지한 이해가 필요함을 설명하기에는 적절하다. 이를 위한 질문(현장의 요구사항)은 다음과 같다.
"스마트폰에 이상이 있다고 느낀 고객이 수리를 위해 SS전자의 AS센터에 방문했다. 수리를 신청하기 위해 제공해야 하는 최소한의 개인정보는 무엇인가?"
이 질문을 했을 때 나오는 답변들은 대체로 대등 소이하게 '이름', '전화번호'로 요약된다. 아마도 SS전자 직원들이 호명해 줄 내 이름이 필요할 것이라 느꼈을 테고, 스마트폰을 수리하기 위한 방문이니 전화번호는 제공해야 하지 않을까 판단한 것 같다. 이에 대한 내 답변은 "아무 정보도 제공하지 않아도 된다"로 명확하다. 이제 그 이유를 시나리오를 따라가며 설명해 보겠다.
① A 씨는 스마트폰 수리를 위해 SS전자 AS센터에 방문했다.
② 터치식 접수시스템에 수리접수를 등록한다. 스마트폰 기종, 이상증상 등 입력사항을 넣고 접수번호가 찍힌 접수표를 받는다. 성명, 전화번호는 입력하지 않는다. 방문의 목적은 오직 스마트폰 수리이다.
③ 자리에 앉아 대기하다가 배정된 수리기사의 호출을 받는다. 수리기사는 접수번호로 A 씨를 호출한다. 굳이 이름을 입력하지 않아도 되는 이유는 접수번호가 있기 때문이다.
④ 호출한 수리기사에게 핸드폰 이상 증상을 설명하고 수리를 맡긴다.
⑤ 수리를 마친 수리기사의 호출을 받는다.
①에서 ⑤까지의 과정이 스마트폰 수리를 위해 AS센터를 방문하는 일반적인 과정이다. 지금까지의 과정에서 이름이나 전화번호 같은 개인정보의 제공 요구는 필요하지 않다. 이는 노트북이나 TV, 세탁기를 수리하러 가면서 개인정보를 제공할 필요가 없는 것과 다르지 않다. ⑤까지의 과정에서 무난히 수리를 마치게 되면 그렇다. 하지만 수리기사를 통한 수리가 실패한 경우에는 ⑥부터 ⑦까지의 추가 시나리오를 따라가야만 한다.
⑥ 수리기사로부터 부품교체, 추가 원인파악, 수리에 장시간 소요 등의 이유와 2~3일 정도 소요된다는 설명을 듣게 된다.
⑦ 수리완료 시 연락을 위한 이름, 연락처 기재를 요구받아 정보를 제공하고 동의한다.
여기서 또 하나의 다른 변수가 있다. 출장 등 부득이한 사정으로 A가 스마트폰 수령을 위한 방문이 어려운 경우이다. 이때는 시나리오 ⑦의 내용이 변하게 된다.
⑦ 수리완료 시 배송을 위한 이름, 연락처, 주소 기재를 요구받아 정보를 제공하고 동의한다.
이렇듯 일견 간단해 보이는 스마트폰 AS센터의 수리접수 과정조차도 ①~⑤의 일반적인 시나리오, ⑥~ ⑦의 추가 소요에 따른 시나리오, 배송을 위한 시나리오 ⑦의 변경으로 구분할 수 있어야 한다. 따라서 보안조직이 SS전자에 속해있고, 현업부서로부터 위의 질문을 받게 된다면 ①에서 ⑦까지의 시나리오를 세 개의 경우로 구분하여 최소한의 개인정보 수집기준을 제시할 수 있어야 한다. 이를 위해서 AS센터의 업무방식을 제대로 이해하고 있어야 함은 당연하다.
최소한의 개인정보를 수집해야 한다는 원칙을 지키는 것은 결코 간단하지 않다. 왜 그렇게 수집하는지에 대한 명확한 시나리오를 구성하는 능력이 있어야 하기 때문이다. 이 능력을 키우기 위해서는 스스로에게 계속 질문해야 한다. "이것이 최소한인가?"라고 말이다.
