“다크 패턴”이라는 말을 들어본 적이 없다면, 그냥 ‘Google’을 검색해 보세요. 지난 1월, 4명의 주 법무장관은 이 기술 대기업을 상대로 소송을 제기하며, 해당 기업이 ‘위치 서비스( )’ 기능을 끄더라도 소비자의 위치를 추적함으로써 소비자를 오도했다고 주장했다..
“다크 패턴”이란 기업들이 앱이나 웹사이트에 적용하여, 사용자를 속여 본인의 의도와 상반되거나 해가 되는 옵션을 선택하도록 유도하는 기만적인 디자인 기법을 말합니다.
데이터 개인정보 보호 규제가 확산됨에 따라(종종 에서 볼 수 있듯이 무질서하게 뻗어나가는 양상을 띠기도 하지만), 많은 조직들이 수집하고 저장하는 민감한 데이터 를 추적, 모니터링 및 보호하기 위해 최선을 다하고 있습니다. 안타깝게도, 국제 IT 거버넌스 협회(ISACA, )의 개인정보 보호 실무 책임자인 사피아 카지(Safia Kazi)는 조직들이 종종 이를 제대로 이행하지 못한다고 말합니다.
카지(Kazi)는 최근 의 엔드포인트(Endpoint) 담당자 윌리엄 윌리엄스( )와 대화를 나누며, 다크 패턴과 그와 유사한 개념인 ‘다크 데이터’에 대해 논의했을 뿐만 아니라, 기업이 정보를 수집할 때 고려해야 할 사항과, 3월 8일에 예정된 세계 여성의 날을 앞두고 더 많은 여성이 이 분야에 진출함으로써 데이터 개인정보 보호에 어떤 이점이 있을지에 대해서도 이야기를 나눴습니다.
(다음 인터뷰 내용은 이해를 돕기 위해 요약 및 편집되었습니다.)
기본부터 시작해 봅시다. 조직들은 어떻게, 그리고 왜 “다크 패턴”과 “다크 데이터”를 사용하는가?
다크 패턴이란 기업이 사용자를 속여 정보 이용에 대한 동의를 얻도록 유도하는 수단을 말합니다. 제가 가끔 목격하는 일 중 하나는 이렇습니다. 웹사이트에 접속하면, 그곳에는 쿠키 관련 안내문이 표시될 것이며, “모두 수락” 버튼은 선명한 파란색이고 “거부” 버튼은 회색으로 표시되어 있습니다. 그걸 클릭할 수 없다고 생각하시나요? 하지만 마우스를 올려놓으면 실제로 할 수 있습니다. 네, 쿠키 사용에 동의하긴 했지만, 그건 어쩔 수 없다고 생각했기 때문일 뿐이에요. 교묘할 뿐만 아니라, 정말 짜증 나기도 해요.
“쿠키 사용에 동의는 했지만, 그건 선택의 여지가 없다고 생각했기 때문일 뿐이에요.”
또 어떤 경우에는, 웹사이트에서 판매하는 상품을 보기 위해서만 이메일 주소를 입력하도록 요구하는 경우도 있습니다. 글쎄요, 그들에게는 그 정보가 필요하지 않아요. 그들은 단지 당신에게 홍보 이메일을 보낼 수 있도록 하려는 것뿐입니다. 사람들이 선택권이 있다는 사실을 알지 못하고, 실제로 그 정보를 제공할 의무가 없음에도 불구하고 그들의 정보를 수집하는 것은 잘못된 일입니다. 이러한 ‘다크 패턴’에 대한 단속이 더욱 강화되기를 바랍니다.
요즘 기업들이 방대한 양의 개인정보를 저장하고 있기 때문에, 개인정보 수집은 큰 우려 사항이 되고 있습니다. 그것이 왜 문제이며, 그러한 민감한 데이터는 어떻게 유출될 수 있습니까?
가령, 제가 어떤 일자리에 이력서를 제출한다고 가정해 봅시다. 이 회사는 “이력서는 당사에서 보관해 두겠습니다”라고 말합니다. 음, 그 이력서에는 제 이름, 주소, 전화번호, 이메일 주소, 경력 사항, 그리고 아마도 추천인 정보도 포함되어 있습니다. 게다가 클라우드 스토리지 의 비용이 매우 저렴하기 때문에, 기업들은 결코 사용하지 않을 정보까지 보관하고 저장하게 되며, 이로 인해 이러한 “다크 데이터”가 쌓이게 됩니다. 이제 저에 관한 모든 민감한 데이터가 잘못된 사람의 손에 들어갈 수도 있고, 저에게 큰 피해를 줄 수도 있습니다. 누군가가 그 데이터를 팔 수도 있고, 심지어 제 현재 상사에게 “저기, 그녀가 [다른] 일자리에 지원했대요.”라고 말할 수도 있겠죠. “아마 그녀를 승진시키면 안 될 것 같아요.”
그렇기 때문에 조직이 보유하고 있는 민감한 데이터를 파악하고 이를 보호하는 것이 매우 중요합니다. 아니면 스스로에게 이렇게 물어보세요. ‘왜 우리는 이걸 계속 붙잡고 있는 걸까?’ 그렇게 해야 할까요? 보안과 개인정보 보호를 위해 적절한 관리 체계가 마련되어 있습니까? 자신이 무엇을 가지고 있는지 모르면, 그것을 지킬 수 없습니다. 당신은 그 문제가 얼마나 민감한지 이해하지 못하고 있어요.
조직은 민감한 데이터를 어떻게 파악하고, 모니터링하며, 보호할 수 있을까요?
우선, 어떤 데이터를 수집하고 있는지 파악해야 합니다. 인사팀은 어떤 정보를 수집하고 있나요? 마케팅 수집이란 무엇인가요? 회계 추심은 무엇인가요? 그들은 이렇게 물어야 합니다. “우리에게 무엇이 있나요?” 왜 우리가 그것을 가지고 있는 걸까요? 어디에 저장되어 있나요? , 데이터 개인정보 보호( ), 인사 분야의 전문가들은 실제로 얼마나 자주 모여서 어떤 데이터를 수집하고 있는지 논의할까요? 아니면 “이 데이터가 여전히 필요한가요?”라고 물어보세요.
“조직은 수집한 정보가 어떻게 악용되어 피해를 입힐 수 있는지 이해하고 있어야 합니다.”
또 하나 권하고 싶은 점은, 조직이 수집한 정보가 어떻게 악용되어 피해를 초래할 수 있는지 이해해야 한다는 것입니다. 특정 데이터의 경우, 일정 기간 동안 보관해 두어야 할 수도 있습니다. 특정 정보를 얼마나 오래 보관할지에 관한 정책을 수립합니다. “2년마다 채용 절차를 진행하지 않은 입사 지원서를 정리하겠다”고 말한다면, 그런 정책을 마련해 두는 것만으로도 향후 업무를 훨씬 더 수월하게 처리할 수 있습니다.
그렇게 하면 보유하고 있는 데이터를 파악할 수 있고 관련 정책도 마련해 둘 수 있으며, 이는 다크 데이터를 해결하는 데 큰 도움이 될 수 있습니다. 하지만 쉽지 않은 일입니다. 대부분의 조직에는 사실 제대로 된 정책이 없을 것이라고 예상합니다. 그렇긴 하지만, 에서 볼 수 있듯이 개인정보 보호, 법률 및 규제 환경이 급속도로 변화하고 있는 만큼, 이러한 상황도 달라질 수 있을 것 같습니다.
기업들이 강력한 데이터 개인정보 보호 정책을 마련하도록 유도하기 위해서는 법적 조치가 필요한 것일까, 아니면 데이터 유출로 인한 부정적인 여론이 기업들로 하여금 조치를 취하도록 자극할 것인가?
조직에 따라 다릅니다. 페이스북 같은 대기업은 막대한 벌금이나 부정적인 언론 보도 정도는 쉽게 감당할 수 있지만, 규모가 작은 조직의 경우 그런 일들이 훨씬 더 큰 타격을 줄 수 있다는 건 다들 아실 겁니다. 법적 근거를 마련해 두는 것은 조직이 올바른 방향으로 나아가도록 유도하기 때문에 도움이 될 수 있습니다.
현재 연방 차원에서는 아무런 조치가 없는 탓에, 각 주에서 데이터 개인정보 보호를 위한 주도적인 조치를 취하고 있습니다. 따라서 캘리포니아주는 주민들의 데이터를 보호하고자 하며, 이를 위해 ‘캘리포니아 소비자 개인정보 보호법(CCPA)’을 시행하고 있습니다. 다른 주들도 이에 뒤를 이었다. 그렇긴 하지만, 준수해야 할 주 차원의 규정이 50 가지나 된다면 개인정보 보호 전문가의 업무가 얼마나 힘들지 상상조차 할 수 없습니다. 현실적으로 보면 연방 차원에서 어떤 조치가 마련된다면 훨씬 더 좋을 것입니다. 그렇긴 하지만, 그게 언제 일어날지는 모르겠습니다.
팬데믹이 데이터 개인정보 보호와 기업의 데이터 보안 관리 방식에 어떤 영향을 미쳤나요?
요즘 사람들은 원격 근무를 하고 있기 때문에, 저희는 직원들에게 노트북을 제공하고 있습니다. 아니면 각자 자신의 노트북을 사용하고 있을 수도 있습니다. 직원들이 개인 노트북을 사용하는 경우, 기업 데이터에 대해 어떤 보호 조치를 마련해 두었나요? 만약 ISACA의 경쟁사에서 일하는 룸메이트가 있는데, 제가 파일을 아무 데나 방치해 두었다면 어떻게 될까요? 혹시 점심 먹으러 간 동안 노트북 잠금을 해제해 둔 채로 놔뒀다면 어떨까요?
[함께 읽어보세요: 직원들이 팬데믹으로 인한 스트레스를 극복할 수 있도록 돕는 3 가지 방법]
반대로, 저는 이제 제 공간 에서 훨씬 더 취약한 모습을 보이고 있습니다. 만약 우리가 2019 수업 시간에 이 대화를 나눴다면, 나는 사무실에 앉아 있었을 테고 주변에 뭐가 있든 신경 쓰지 않았을 거예요. 반면, 이제 내가 화상 통화를 하는 상대는 누구든 내 집에 있게 될 것이다.
기술 분야의 여성들에 대해 이야기해 봅시다. 귀하는 데이터 개인정보 보호 및 보안 분야에 더 많은 여성을 유치해야 한다고 말씀하셨는데, 이는 업계에 막대한 영향을 미칠 수 있습니다. 그 부분에 대해 좀 더 설명해 주실 수 있나요?
도난당하거나 악용된 개인정보는 여성에게 불균형적으로 큰 영향을 미칩니다. 여성의 경우 6명 중 1명꼴로 스토킹을 경험한 반면, 남성의 경우 17 명 중 1명꼴에 불과하다는 점을 고려해 보십시오. 또한 스토킹은 점점 더 온라인이나 디지털 기록을 통해 시작되거나 이루어지고 있다.
“여성들은 차별을 당하거나 피해를 입을 수 있는 모든 사람에게 훨씬 더 친화적인 기술을 개발하는 데 기여할 기회를 가지고 있습니다.”
여성들은 여성은 물론, 차별을 당하거나 피해를 입을 수 있는 모든 사람에게 훨씬 더 친화적인 기술을 개발하는 데 기여할 기회를 가지고 있습니다.
데이터 개인정보 보호 및 사이버 보안 분야에 관심을 가진 여성들이 직면하는 어려움은 무엇인가요?
기술 문화는 매우 큰 문제입니다. 레딧 포럼에서 가끔 이런 일이 보이는데, 여성이 무언가를 말하면 수많은 사람들이 몰려들어 그 여성의 신상정보를 공개해 버리곤 하는데, 이는 명백한 사생활 침해 문제입니다.
우리는 여전히 사이버 보안 분야에서 일하는 사람들이 후드티를 입고 게토레이를 마시는 사람들이라는 인식을 가지고 있습니다. 하지만 사실 그건 현실과 좀 다릅니다. 아시다시피, 사이버는 누구에게나 열려 있습니다. 누구에게나 사생활은 보장되어야 합니다.
[함께 읽어보세요: 세계 여성의 날 2022—breaking : 기술 분야의 편견]
경기장을 더욱 포용적이고 여성들에게 환영받는 공간으로 만들기 위해서는 ‘후디와 게토레이’라는 고정관념을 바꿔야 합니다.. 또한 임금 격차 문제도 해결해야 하는데, 이는 여성들이
이러한 직업에 계속 종사할 수 있도록 돕는 한 가지 방법입니다. 우리 사회에는 돈에 대해 이야기하지 않는 문화가 있지만, 바로 그 때문에 임금 격차가 계속 유지되고 있는 것입니다. 코로나19 사태로 인해, 우리
에서는 배우자
의 소득이 더 많다는 이유로 많은 여성들이 직장을 떠나는 현상을 목격했습니다.
민감한 데이터, 개인정보 보호 및 보안의 미래에 대해 어떤 우려 사항이 있으신가요?
소셜 미디어와 함께 자라면서 삶의 모든 면을 온라인에 공유하는 아이들에게 이것이 어떤 영향을 미칠지 매우 궁금합니다. 그것이 개인정보 보호 측면에서 어떤 의미를 갖나요? 20s이나 30s 학년 때
,
에서 일자리를 구하려고 하는데, 8학년 때의 민망한 기억들이
웹상에 영원히 남아 있다면 어떤 기분이 들까요?
사람들은 온라인이나 앱을 통해 지나치게 많은 정보를 공유하는 경향이 있는데, 그로 인한 윤리적 영향을 반드시 인식하지는 못합니다. 요즘 아이를 낳은 친구들이 많은데, 아이들에 대해 정말 지나치게 많은 이야기를 털어놓곤 해요. 제 말은, 제가 고등학교 다닐 때도 페이스북은 있었지만, 지금과는 정말 많이 달랐다는 거예요.
