이수진조사역 (lsj@kcredit.or.kr) < 요약> 개인정보비식별조치가이드라인 에따른비식별조치는적정성평가등절차수행에소요되는기간이길고 같은조직이더라도서로다른부서에서비식별조치수행시비식별조치수준의일관성을담보하기어려움 기존성숙도모델(CMMI, SPICE, 정보화추진역량측정모델) 은조직의업무프로세스성숙도수준을평가한 후등급을부여하여조직이자율적으로프로세스를체계화하고산출물의품질을높이는역할을하는장점이있음 2013 년캐나다의이맘(Khaled El Emam) 이제시한개인정보비식별조치성숙도모델(DMM) 은조직의 개인정보비식별조치성숙도의수준을인력, 절차, 기술및일관된측정기준에서판단하는체계 DMM 은비식별조치성숙도수준을등급화했다는점에서의미가있으나, 조직의등급체계, 평가항목 등의측면에서미흡한점이있음 기존성숙도모델과 DMM을참고하여우리현실에맞도록 DMM 을보완 활용하는방안을검토하여제시 1. 검토배경 2016년 7 월관계부처합동으로 개인정보비식별조치가이드라인 ( 이하 가이드라인 ) 을제정 시행 가이드라인에따라비식별조치된개인정보는개인정보가아닌것으로추정하여, 정보주체의동의 없이비식별조치된정보를활용할수있는기반을마련 가이드라인에따른비식별조치수행시적정성평가등에장기간이소요되어현장적용에어려움발생 가이드라인시행이후기업간정보집합물결합사례* 를살펴보면비식별조치수행여부에대한 내부의사결정, 적정성평가수행, 정보집합물결합등에 3~5 개월정도가소요되는것으로나타나는데, 이러한과정을비식별조치를취할때마다동일하게반복해야함 * 정보 - 통신사정보집합물결합사례( 16.9 월~ 17.1 월), 생명보험 -손해보험정보집합물결합 사례( 16.11 월~ 17.3 월), 생명보험 - 통신사 ( 17.1 월~3 월) 2017-8 호 1
- 금융분야의경우마케팅전략개발등실시간으로집적되는데이터에대한분석수요가많은데, 가이드라인에따른비식별조치는장기간이소요되어분석결과가시의성을상실하기쉬움 - 기업들은다양한관점에서통찰을얻기위해데이터결합 분석을수시로하려고하지만, 매번수 개월이소요되는절차를반복해야하므로새로운분석을시도하기어려움 가이드라인은조직차원의비식별조치절차와비식별조치수준의일관성을고려하지않고있어, 같은 조직이더라도서로다른부서에서비식별조치를수행할경우비식별조치결과의일관성을보장하기어려움 조직의비식별조치역량을강화하면서도적정성평가소요시간을단축하는방안마련필요 조직의비식별조치역량, 성숙도등에등급을부여하여일정수준이상의등급을획득한경우적정성 평가절차간소화와같은혜택을제공하는방안검토필요 - 동방안도입시조직이자율적으로비식별조치역량을강화하고일관된비식별조치수준을유지할수있는내부프로세스수립을촉진할것으로기대 - 반복되는절차를줄여비식별조치수행시간을단축하는등조직의비식별조치관련부담을경감하면비식별조치및빅데이터분석이보다활성화될것으로기대 본보고서는조직의업무프로세스성숙도를평가하는역량성숙도통합모델 (CMMI : Capability Maturity Model Integration), 소프트웨어프로세스평가국제표준(ISO/IEC 15504)(SPICE : Software Process Improvement and Capability determination), 범정부 EA 성숙도모델과 2014 년개발된개인정보비식별조치성숙도모델(DMM : De-identification Maturity Model) 을 비교하고 DMM을활용하여조직의비식별조치역량강화와적정성평가소요시간단축방안을모색 2. 기존성숙도모델및개인정보비식별조치성숙도모델의주요내용 성숙도모델은조직의업무프로세스를개선하여제품의품질등을높이기위해개발 성숙도모델은조직전체의관점에서인력 기술 절차를통합하여현재업무프로세스현황을파악하고, 이를기반으로목표를설정하여프로세스를개선하는데활용되고있음 - 현재자동차, 항공, 의료등여러산업분야에서소프트웨어개발및유지보수프로세스의평가 개선을위해다양한성숙도모델을활용하고있음 역량성숙도통합모델(CMMI) 의주요내용 ( 개발배경) 소프트웨어개발역량의성숙도를높여제품품질을향상시키기위해개발된미국의시장표준 - 미국국방부가발주한소프트웨어프로그램의품질및납기문제를해결하기위해소프트웨어개발조직이높은품질의소프트웨어를일관성있고예측가능하게생산하는역량을정량화하고자미국카네기멜론대학의소프트웨어공학연구소 (SEI) 가 1991 년역량성숙도모델(CMM : Capability Maturity Model) 을개발 2 2017-8호
- 소프트웨어프로세스역량성숙도모델 (SW CMM) *, 시스템엔지니어링역량심사모델(SECM) **, 소프트웨어조달역량성숙도모델 (SA-CMM) ***, 통합제품개발팀모델 (IPD-CMM) **** 등기존 CMM 모델들을 하나로통합하여 ISO/IEC 15504 국제표준 (SPICE) 과호환이가능하도록 2000년 CMMI 를개발 배포 * SW CMM(Software Capability Maturity Model) : 소프트웨어개발프로세스평가 개선모델 ** SECM(System Engineering Capability Model) : 시스템엔지니어링개발프로세스평가 개선모델 *** SA-CMM(Software Acquisition Capability Maturity) : 대규모소프트웨어조달프로세스평가 개선모델 **** IPD-CMM(Integrated Product Development Team Model) : 제품( 또는서비스) 개발 유지관련부문들이 적시에협력할수있도록하는조직운영및관리개선모델 ( 주요내용) CMMI 는소프트웨어개발과정에서비용, 품질, 일정등모든조건을충족하면서특정 수준의성숙도로진입하기위해조직이필요로하는최소기준과반드시수행해야할활동을제시 - CMMI는개발조직의소프트웨어개발프로세스성숙도를 5로구분한후각별목적을 달성하기위해 4 개범주, 22 개의프로세스영역* 으로구분하여조직의성숙도를평가 * 4 개범주 : 프로세스관리(PRS, 5 개), 프로젝트관리(PRJ, 6 개), 엔지니어링 (ENG, 6 개), 지원(SPT, 5 개) [CMMI 의성숙도와프로세스영역및프로세스특징] 성숙도요구되는프로세스프로세스특징 1. 초기(initial) - 2. 관리(managed) 3. 정의(defined) 4. 정량적관리 (quantitatively managed) 5. 최적화(optimizing) 프로젝트계획 (PRJ) 프로젝트모니터링및통제 ((PRJ) 형상관리 (SPT) 측정및분석 (SPT) 프로세스및제품품질보증 (SPT) 요구사항관리 (ENG) 협력업체관리 (PRJ) 조직프로세스정의 (PRS) 조직프로세스개선 (PRS) 조직교육훈련 (PRS) 통합프로젝트관리 (PRJ) 위험관리 (PRJ) 요구사항개발 (ENG) 기술솔루션 (ENG) 제품통합 (ENG) 검증 (ENG) 확인 (ENG) 의사결정분석및해결 (SPT) 조직프로세스성과 (PRS) 계량적프로젝트관리 (PRJ) 인과관계분석및해결 (SPT) 조직성과관리 (PRS) 자료: 쿨라마거릿, 켄트존슨저, 이민재, 박남직역, CMMI 의이해, 피어슨에듀케이션코리아, 2010 프로세스없음 ( 예측 통제불가능) 규칙화된프로세스 ( 기본적인 프로젝트 관리 체계수립 ) 표준화된프로세스 ( 조직차원의표준프로세스를통한프로젝트지원 ) 예측가능한프로세스 ( 정량적으로프로세스가측정 통제됨) 지속적개선프로세스 ( 프로세스개선활동) 2017-8 호 3
- CMMI 평가는조직전체의종합적인성숙도를나타내는 성숙(maturity level) * 와개별 프로세스영역의성숙도를나타내는 역량(capability level) ** 로나뉨 * 성숙 : 조직의성숙도를전체등급으로나타내는표현모델로각의프로세스영역을모두만족하면 다음로넘어가며, 각프로세스영역의최하점수가전체등급을결정 ** 역량 : 프로세스영역별역량수준을측정하는표현모델로해당조직의각프로세스영역에대한역량이 얼마나되는지나타내며어떤영역이잘되고어떤영역이미흡한지살펴보완할부분을파악하는데활용 [ 성숙] [ 역량] 자료: 쿨라마거릿, 켄트존슨저, 이민재, 박남직역, CMMI 의이해, 피어슨에듀케이션코리아, 2010 ( 활용현황) CMMI 인증은현재 98 개국가에서우주항공, 금융, 컴퓨터하드웨어, 소프트웨어, 국방, 자동차제조, 통신등다양한산업에서수행되고있으며, 미국국방부를포함한미국정부기관은 소프트웨어개발입찰업체에게최소 3수준에도달할것을요구하고있음 - CMMI 인증은매년증가추세로, 2016년에는 2015년에비해 16% 가증가한 2,235건의인증 심사가이루어졌으며( 중국:1,226 건, 미국:443 건, 인도:230 건, 멕시코:91 건등) 국내에서는매년 50 건정도의공식인증심사가이루어지고있음 소프트웨어프로세스평가국제표준(ISO/IEC 15504)(SPICE) 의주요내용 ( 개발배경) SPICE는조직유형및프로젝트규모와무관하게프로세스를심사하기위해개발된 모델로 2004년 ISO/IEC 15504 국제표준( 이하 SPICE ) 으로제정 - 조직에따라중요한사항이다를수있기때문에그조직에필요한프로세스를선정한후평가진행 ( 주요내용) SPICE는소프트웨어개발프로세스평가를위한프레임워크를제공하며정보시스템 분야에특화된품질표준이자인증규격역할을수행 - SPICE 심사모델은 프로세스차원 과 역량차원 으로구성된 2 차원심사모델로, 프로세스차원 은 5개범주로구분된 40 개의참조프로세스로, 수행역량차원 은 6로구분되어있음 4 2017-8호
범주 고객- 공급자(customer -supplier) 프로세스 엔지니어링 (engineering) 프로세스 지원 (support) 프로세스 관리 (management) 프로세스 조직 (organization) 프로세스 [SPICE 의프로세스] 내용 발주, 공급, 요구도출, 운영 - 소프트웨어를개발하여고객에게전달하는것을지원, 소프트웨어를정확하게운용하고사용하기위한프로세스로구성( 프로세스 10 개) 소프트웨어개발, 유지보수 - 시스템과소프트웨어제품의명세화, 구현, 유지보수하는프로세스로구성 ( 프로세스 9 개) 문서화, 형상, 품질보증, 검증, 확인, 리뷰, 감사, 품질문제해결 - 소프트웨어생명주기에서다른프로세스에서이용되는프로세스로구성 ( 프로세스 8 개) 프로젝트관리, 품질관리, 위험관리, 평가 - 소프트웨어생명주기에서프로젝트관리자가사용하는프로세스로구성 ( 프로세스 4 개) 조직배치, 개선활동프로세스, 인력관리, 기반구조제공, 자산재사용 - 조직의업무목적수립및업무목표달성을위한프로세스로구성 ( 프로세스 9 개) 자료 : Australian/New Zealand Standard, (AS/NZS ISO/IEC 15504) Information technology-process Assesment,2005 산업표준심의회, (KS X ISO/IEC 15504) 정보기술- 프로세스심사, 2006 - SPICE의프로세스수행역량는 5개범주의 40 개프로세스에대한기본지침의실행여부, 산출물유무를평가하여프로세스별로수행역량수준을나타냄 [SPICE 의프로세스수행역량] 수행역량 0. 불완전(incomplete) 1. 수행(performed) 2. 관리(managed) 3. 확립(established) 프로세스특징 미구현또는미달성 - 프로세스가구현되지않음 - 프로세스가목적을달성하지못함 프로세스수행및목적달성 - 프로세스를수행하고목적을달성함 - 프로세스가정의된산출물을생산함 프로세스수행계획및관리 - 정의된자원의한도내에서그프로세스가작업산출물을인도함 정의된표준프로세스사용 - 소프트웨어공학원칙을기반으로정의된프로세스를수행함 4. 예측(predictable) 5. 최적화(optimizing) 프로세스의정량적이해및통제 - 프로세스가목적달성을위해통제됨 - 프로세스가양적측정을통해일관되게수행됨 프로세스를지속적으로개선 - 프로세스수행을최적화함 - 지속적개선을통해업무목적을만족시킴 자료 : Australian/New Zealand Standard, (AS/NZS ISO/IEC 15504) Information technology-process Assesment,2005 산업표준심의회, (KS X ISO/IEC 15504) 정보기술- 프로세스심사, 2006 2017-8 호 5
- SPICE 평가결과는프로세스별로수행역량를표시하기때문에해당조직이취약한프로세스를 우선적으로개선할수있도록지원가능 [SPICE의 2 차원참조모형] 자료: AB&i 홈페이지(http://www.abni.net) ( 활용현황) SPICE 는유럽국가들을중심으로제정되어유럽에서주로적용되고있으며, 미국중심의 CMMI 에비해다양한상황에맞게범위를지정할수있음 - SPICE는자동차산업분야에서 Automotive SPICE 로확장되어활발하게활용하고있으나, 국내 에서는해외에수출하는자동차부품 OEM 업체를제외하면 CMMI 에비해상대적으로활용이저조한편 ( 연 10 건미만의공식심사가이루어지는것으로알려짐) * * SPICE는 CMMI 와달리인증심사건수를공식적으로집계 게시하지않음 범정부 EA * 성숙도모델( 이하, 정보화추진역량측정모델 ) 의주요내용 * EA(Enterprise Architecture, 전사적아키텍쳐 ) : 조직내정보화를체계적으로추진하기위해업무, 데이터, 시스템등 정보화구성요소와상호관계(Architecture) 를미리규정한정보화종합설계도로, 새로운정보화투자심사시 정보화구성요소의관점에서자원의중복성이나공동활용가능여부를확인하여투자결정및사업조정에활용 ( 개발배경) 정보화추진역량측정모델은국내중앙행정기관, 지방자치단체, 공공기관등각기관이정보화를 효율적으로추진하고국가정보화정책수립의기초자료로활용하기위해행정자치부와정보통신부가 2006 년 개발 적용하였고, 2007년조직이통합된후행정자치부주관하에점진적으로개선되어현재에이름 ( 주요내용) 정보화추진역량측정모델은영역및측정항목별로 5로구분하여성숙도를측정하며 종합수준도 5점만점으로표시 - 자원관리, 정보화관리체계, 활용성과 3개영역 8 개측정항목, 65 개질의항목으로구성( 소속 산하 기관이없는기관은총 3개영역 7 개측정항목, 59 개질의항목으로구성) 6 2017-8호
[ 정보화추진역량측정모델] 자료: 행정자치부 한국정보화진흥원, 범정부 EA 성숙도모델 v3.6 해설서( 정보화추진역량측정모델), 2017.5. [ 정보화추진역량측정모델의측정항목별설명] 영역측정항목설명 정보자원관리현황 정보자원현황정보의충실성및유관정보와정합성확보수준 자원관리영역 정보화관리체계영역 연관정보관리현황 소속 산하기관정보자원관리현황 추진기반 역량확보 범정부기준정보와기관입력정보, 기관입력정보간연관관계내역의품질수준 정보등록대상기관에해당하는모든소속 산하기관들이등록한자원관리영역정보의충실성및품질수준 정보화의사결정조직과역할, 관리지침, 관리기준등기관정보화를체계적으로추진하기위한지원및기반마련수준 정보화교육참여, 범정부정보화추진동향의공유, 최고의사결정층의후원확보등기관정보화역량확보수준 활용성과영역 효율적정보화추진 정보화투자관리 정보시스템운영성과관리 기획, 예산, 사업추진별정보화추진에있어서사전검토및이에따른이행관리수준 정보화투자관리를위한계획및기준 절차수립, 정보화투자환류체계정립등각기관정보화추진및운영과정에서투자관리수준 기관별정보화사업이행을통해구축된정보시스템의운영성과관리( 계획수립, 항목별성과측정, 성과측정결과에따른이행및조치계획수립등) 수준 자료: 행정자치부 한국정보화진흥원, 범정부 EA 성숙도모델 v3.6 해설서( 정보화추진역량측정모델), 2017.5. 2017-8 호 7
( 활용현황) 행정자치부는매년공공기관의정보화추진역량을측정하여결과를발표하고있는데, 기관별정보화사업추진수준자가진단, 범정부정보화추진방향평가 개선의기초자료로활용 - 중앙행정기관과지방자치단체의경우기관평가시정보화부문에점수를반영하고있으며, 중앙행정 기관은정보화사업추진시사업간중복성을검토하여중복성이없는경우에한해예산요구가능 - 2016년에는총 433개의성숙도측정대상기관중 411 개기관이측정에참여하였음(94.9%) 개인정보비식별조치성숙도모델(DMM : De-identification Maturity Model) 의주요내용 ( 개발배경) DMM 은캐나다의이맘(Khaled El Emam) 이비식별조치업무수준평가, 비식별조치 업무개선로드맵제시및조직내부서간비식별조치업무수행비교를위해 2013년개발 - 빅데이터분석이활발히이루어지고있는의료분야의비식별조치업무를중심으로연구 개발되었음 ( 주요내용) DMM 은한조직의개인정보비식별조치관련준비도와경험의수준을인력, 절차, 기술및일관된측정기준측면에서판단하는체계 - DMM 은핵심비식별조치방법론차원, 실행차원, 자동화차원에서조직을평가 - 비식별조치성숙도점수가높을수록그조직의비식별조치업무수행수준이우수하여재식별 가능성이 매우작음(very small) 을나타냄 [DMM 의세가지평가차원] 자료 : Khaled El Emam, Waёl Hassan, A Privacy Analytics White Paper : The De-identification Maturity Model, Privacy Analytics, 2013 8 2017-8호
1 핵심비식별조치방법론차원 (Key De-identification Practice Dimension) - (P1- 임시방편) 조직이비식별조치관련업무를정의하고있지않으며, 비식별조치가필요하다고 인식조차하지않음 - (P2- 마스킹) 마스킹기법( 가명처리, 필드삭제, 랜덤화등) 은이름, 전화번호, 의료보험번호등과 같은식별자에만적용 - (P3- 휴리스틱) 업무담당자가식별자에는마스킹기법을, 준식별자에는자신의경험등에근거하여 비식별조치를적용하며권위있는기관등의비식별조치방법론을모방하기도함 * * 휴리스틱방법은재식별위험도가 매우작다 는객관적근거를제시하기어렵고비식별정보를활용 공개하는 주체, 목적, 대상등을고려하지않으므로데이터효용성이낮은수준으로비식별조치될가능성이높음 - (P4- 리스크기반) 경험적으로입증되고전문가가평가하는방법을사용하여, 수용가능한재식별 위험수준을결정하고현재의비식별조치수준이수용가능수준이내라는것을제시 - (P5- 거버넌스 ) 마스킹기법과리스크기반비식별조치기법은 P4 와동일하나, 데이터수령자에 대한감사, 관련규정변경사항모니터링, 재식별대응절차등을포함한거버넌스체계수립 운영 2 실행차원 (Implementation Dimension) : 를이행하기어렵다는점에서누적적인성격을지님 실행차원의들은전를이행하지않고서는그다음 - (I1- 초기) 조직내에절차가문서화되어있지않고관련교육훈련이나비식별조치업무수행에 * 대한평가절차, 기준도없이분석가가비식별조치업무를수행하며분석가개인의역량에크게의존 * 조직차원의지식축적이이루어지지않아, 비식별조치업무의품질, 속도등은가변적이며관련분석가가 이 퇴직하면그간누적된전문지식도조직내에서사라질가능성이높음 - (I2- 반복) 조직내에비식별조치업무를수행하기위한역할과책임이정의되어있고비식별 정보의생성 배포를위한높은수준의절차가마련되어있어, 조직이해당절차에기반하여비식별 조치업무를수행하고있음 - (I3- 정의) 비식별조치업무절차가문서화 * 되어있으며, 비식별조치교육훈련도수행하고있음 * 미국의료분야연방법인 건강보험이전과책임에관한법(Health Insurance Portability and Accountability Act ; HIPAA, 1996) 의행정규칙 HIPAA 프라이버시규칙(HIPAA Privacy Rule, 2002) 은조직내정책, 절차등문서화를개인정보보호관련필수이행요건으로규정 - (I4- 평가) 비식별조치절차에대한성능평가 (performance measures) 가이루어지는로, 제공된비식별정보현황을추적하여데이터제공동향 유형검토, 표본데이터셋생성등을수행 하거나이용자만족도조사, 비식별정보제공응답시간측정등을실시 2017-8 호 9
3 자동화차원 (Automation Dimension) : 자동화는비식별조치의확장성에필수적이며, 데이터셋의규모가 크고비식별조치를정기적으로수행할수록더중요함 - (A1- 자체자동화) 비식별조치툴을직접개발하지만, 자체개발한도구는제대로작동하지않거나 재식별되기쉬운취약점이있는경우가많으며, 데이터효용성을고려하지않고데이터를지나치게 왜곡하는경향이큼 - (A2- 표준자동화) 여러기관들이광범위하게사용하는검증된툴을사용 [ 비식별조치성숙도매트릭스] 성숙도수준 P1- 임시방편 사용된비식별조치방법론의주요특징 비식별조치가수행되었다해도임시적임 절차가정의되어있지않으며, 데이터사용및공개전반에걸쳐일관성이없음 I1 초기 I2 반복가능 실행차원 I3 정의 I4 측정 자동화차원 A1 내부자동화 A2 표준자동화 핵심 비식별 조치 방법론 차원 P2- 마스킹 P3- 휴리스틱 P4- 리스크기반 가명처리를포함한마스킹기법이식별자에만적용됨 마스킹기법이식별자에적용되며, 준식별자에는담당자의경험치로비식별조치기법이적용됨 마스킹기법을식별자에적용하고, 재식별위험성에기반한비식별조치기법을준식별자에적용 P5- 거버넌스 마스킹기법을식별자에적용하고, 재식별위험성에기반한비식별조치기법을준식별자에적용 * 자료 : Khaled El Emam, Waёl Hassan, A Privacy Analytics White Paper : The De-identification Maturity Model, Privacy Analytics, 2013 * P5는비식별조치방법론은 P4 와동일하지만, 거버넌스체계를갖추고있다는점에서차이가있음 10 2017-8호
3. 성숙도모델비교및 DMM 활용방안검토 성숙도모델비교 구분 CMMI SPICE 역할 [ 성숙도모델비교] 시장표준( 미국) 국제표준 정보화추진역량측정모델 국내공공부문평가기준 DMM - 적용단위모든조직모든조직공공기관모든조직 평가대상 조직의소프트웨어개발및유지관리역량성숙도 조직의소프트웨어개발및유지관리역량성숙도 기관의정보화사업추진역량성숙도 조직의비식별조치역량성숙도 ( 등급) 1~5 ( 종합) 0~5 ( 역량) 0~5 1~5 1~5 ( 방법론차원) 1~4 ( 실행차원) 1~2 ( 자동화차원) 특징 종합등급 ( 성숙) 영역별등급 ( 역량) 영역별등급 ( 역량) 종합점수 ( 종합성숙도수준) 영역별점수 ( 영역별성숙도수준) 영역별등급 ( 영역별성숙도수준) 유효기간 3년 - 매년측정 - 활용현황 입찰자격등( 미국) 입찰자격등( 유럽) 기관평가점수반영등 - CMMI와정보화추진역량측정모델은 SPICE나 DMM 보다조직의종합적인성숙도수준을측정 비교하기에용이 - CMMI 와정보화추진역량측정모델은여러프로세스영역의점수를통합하여성숙도수준을표시할 수있으므로조직의전반적인수준평가및조직간수준비교에유리함 - SPICE는개별프로세스별로점수를산출하므로점수가낮은프로세스를파악하고개선하기에는 적합하나조직의종합적인성숙도수준을직관적으로나타내기어려움 - DMM은차원별로점수를부여하기때문에조직전체의성숙도수준을직관적으로파악하기어렵고 조직간비식별조치성숙도수준비교 * 가어려움 * 예) DMM 은방법론차원, 실행차원, 자동화차원으로나누어차원별로점수를산출하기때문에 P4-I3-A1 인조직과 P4-I2-A2 인조직의비식별조치성숙도수준을직관적으로비교하기곤란 2017-8 호 11
평가항목, 판단기준등이구체적일수록성숙도수준개선에대한조직의자율성은작지만판단결과가 심사원의주관에의해좌우될가능성이적음 - CMMI 와 SPICE는성숙도평가항목및판단기준이포괄적이어서프로세스개선시조직의자율성은 크지만성숙도평가시심사원개인의경험에의존하는경우가많음 - 정보화추진역량측정모델은세부측정영역과성숙도수준별로측정항목, 산출물, 측정질의, 판단 기준, 근거자료등을제시하고있어측정결과의심사원의존도가낮지만조직의자율성도작음 * 다만, 조직이정보화추진역량개선을위해수행해야할사항들을구체적으로파악할수있어자가진단체크 리스트로활용하기에편리함 - DMM은각평가차원성숙도별로간략한질의만제시하고있어성숙도수준개선에대한 조직의자율성은매우크지만, 세부평가영역이나프로세스별개선사항제시는미흡 * 성숙도가높은조직은스스로개선목표를설정하고세부업무를수행할수있지만, 성숙도가낮은조직은개선 사항을구체적으로파악하는것이어려움 DMM 의성숙도등급체계, 평가항목등을개선하여산업현장에서활용하는방안검토필요 * * 조직이일정수준이상의비식별조치성숙도등급을획득한경우적정성평가절차를축소 면제 하거나조직간정보집합물결합절차를간소화하는방안검토필요 - 비식별조치성숙도등급을획득한이후에도해당등급을유지하고자하는경우에는매년사후점검을 실시하여해당등급의요구사항만족여부를점검 * * 가이드라인에따르면재식별위험성을근거로적정성평가를수행하므로, 비식별조치성숙도모델의방법론 차원은최소 P4의비식별조치수준을갖춰야함 조직의성숙도수준을직관적으로나타낼수있도록등급체계를개선하여조직간성숙도수준비교가 가능하도록보완필요 조직이데이터활용목적, 업무특성등을고려하여융통성있게비식별조치를수행할수있도록 자율성을보장하면서성숙도개선을위한업무파악이가능하도록 CMMI나 SPICE를참고하여 DMM 평가항목을개선할필요 비식별조치관련업무가실제로조직에내재화되었는지를주기적으로평가하는절차를마련하여 조직이자율적으로비식별조치업무를수행할수있는체계를확립할필요 * * 기업들이 CMMI나 SPICE 등소프트웨어프로세스품질인증을받은후관련조직을해체하는등제품의품질 관리가지속되지않는점을고려하여, 비식별조치성숙도모델은조직의프로세스내재화를유도할수있는 지속적인모니터링체계를갖추어야함 12 2017-8호
4. 시사점 DMM을근간으로하되 CMMI, SPICE, 정보화추진역량측정모델등을참고하여등급체계, 평가 항목등을수정 보완한새로운비식별조치성숙도모델을마련하여산업현장에적용할필요 - 새로운비식별조치성숙도모델을도입하면조직의비식별조치업무절차내재화, 비식별조치역량 강화및동일조직내서로다른부서에서비식별조치추진시일관성제고등긍정적인효과가예상됨 개선된비식별조치성숙도모델에따라조직의비식별조치수준에등급을부여하고일정등급 이상인경우비식별조치적정성평가절차를축소 면제하는등비식별조치수행에따른조직의 부담을경감하는방안도입을고려할필요 - 적정성평가소요시간이줄어들경우조직은실시간으로집적되는데이터를주기적으로분석 활용 하기가용이해지므로빅데이터를활용한신산업발전에도움이될것으로기대 - 이종산업간정보집합물결합시적정성평가절차가간소화되어데이터결합 분석이활성화될것으로예상 개선된비식별조치성숙도모델적용에따른등급이일정수준이상인조직은개인정보보호관련 감사, 실태점검등을면제, 연기, 대체할수있도록하는정책적지원방안마련도고려할필요 본보고서의내용은작성자개인의의견으로서한국신용정보원의공식견해와다를수있습니다. 본보고서를사용또는인용할경우에는출처를명시하시기바랍니다. 2017-8 호 13