KR20120089917A - 개인정보 보호 관리 시스템 및 개인정보 보호 관리 방법 - Google Patents

개인정보 보호 관리 시스템 및 개인정보 보호 관리 방법 Download PDF

Info

Publication number
KR20120089917A
KR20120089917A KR1020100131979A KR20100131979A KR20120089917A KR 20120089917 A KR20120089917 A KR 20120089917A KR 1020100131979 A KR1020100131979 A KR 1020100131979A KR 20100131979 A KR20100131979 A KR 20100131979A KR 20120089917 A KR20120089917 A KR 20120089917A
Authority
KR
South Korea
Prior art keywords
personal information
policy
privacy
protection
law
Prior art date
Application number
KR1020100131979A
Other languages
English (en)
Other versions
KR101218496B1 (ko
Inventor
홍승필
Original Assignee
성신여자대학교 산학협력단
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 성신여자대학교 산학협력단 filed Critical 성신여자대학교 산학협력단
Priority to KR1020100131979A priority Critical patent/KR101218496B1/ko
Publication of KR20120089917A publication Critical patent/KR20120089917A/ko
Application granted granted Critical
Publication of KR101218496B1 publication Critical patent/KR101218496B1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6245—Protecting personal data, e.g. for financial or medical purposes
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Medical Informatics (AREA)
  • Databases & Information Systems (AREA)
  • Storage Device Security (AREA)

Abstract

개인정보 보호 관리 시스템 및 개인정보 보호 관리 방법이 개시된다. 본 발명에 따른 개인정보 보호 관리 시스템은 개인정보 보호 관련 법규 분류 체계를 수신하여 분류 체계 상의 개인정보법규 항목들을 파싱하는 파싱부, 파싱부로부터 관련 개인정보법규 항목을 전달받아 관련 개인정보법규를 자연어 해석하여 관련 개인정보법규가 규정한 개인정보 보호와 관련한 정책을 분석하는 자연어 해석부, 자연어 해석부로부터 분석된 개인정보 보호와 관련한 정책을 전달받아 분석된 개인정보 보호와 관련한 정책에 대응되는 개인정보 보호 정책 기술문서를 생성하는 정책 생성부 및 정책 수행부가 생성한 개인정보 보호 정책 기술 문서를 수신하여, 개인정보 보호 정책 기술 문서에 기반하여 개인정보 이용자로부터의 개인정보 요청에 대하여 개인정보의 제공 가능 여부와 제공 가능 범위에 대한 결정을 내리고, 결정을 토대로 상기 개인정보 요청에 응답하는 정책 수행부를 포함하여 구성될 수 있다. 따라서, 본 발명에 따른 시스템 및 방법을 이용하면, 개인정보의 제공여부 및 제공의 범위가 표준적인 기술문서에 의해서 명확히 정의가 됨에 따라 개인정보 오남용 및 도용 발생시 즉각적인 대응의 유용성을 제공한다.

Description

개인정보 보호 관리 시스템 및 개인정보 보호 관리 방법{System for protection and management of personal information, and method thereof}
본 발명은 개인정보 보호 관리 시스템 및 개인정보 보호 관리 방법에 관한 것으로, 더욱 상세하게는 개인정보를 다루고 있는 서비스 업체나 기업, 포털 사이트 내에서 체계적으로 정의된 개인정보 보호 정책을 적용하여 사용자의 프라이버시 보안성 강화 및 안전한 서비스를 제공하는 개인정보 보호 관리 시스템 및 개인정보 보호 관리 방법에 관한 것이다.
개인정보란 생존하는 개인에 관한 정보로서 성명?주민등록번호 등에 의해 개인을 알아볼 수 있는 부호?문자?음성?음향 및 영상 등의 정보(당해 정보만으로는 특정 개인을 알아볼 수 없는 경우에도 다른 정보와 용이하게 결합하여 알아볼 수 있는 것을 포함한다)로 정의될 수 있다(“정보통신망 이용촉진 및 보호 등에 관한 법률”상의 정의). 또한, 본인의 의사에 반하거나 본인이 알지 못하는 상태에서 이용될 경우 정보 주체(혹은 당사자)의 안녕과 이해관계에 영향을 미칠 수 있는 개인 관련 정보는 모두 개인정보라고 할 수 있다.
한편, 이러한 개인정보를 수집 및 저장, 관리, 이용하는 정보통신 서비스 제공자가 고객의 개인정보를 안전하고 효율적으로 관리하는 것은 점점 중요한 사업영위 조건이 되고 있고, 때로는 기업의 생존과도 직결된 문제가 되고 있다.
이때, 정보통신 서비스 제공자는 시스템내에 존재하게 되는 개인정보에 대한 수집, 저장, 관리 및 이용의 전단계에서 생명주기별 관리를 수행하게 되는데, 이러한 생명주기별 관리는 개인정보의 수집 단계, 개인정보의 저장 및 관리 단계, 개인정보의 이용 및 제공 단계, 개인정보 파기 단계 등의 절차로 구성되게 된다.
도 1은 일반적인 개인정보 보호 관리 시스템에서의 개인정보 저장 및 관리 단계에서의 흐름을 설명하기 위한 개념도이다.
도 1을 참조하면, 개인정보 저장 및 관리 단계는 정보통신서비스 제공자가 개인정보 소유자의 개인정보를 저장하고 이를 관리하는 단계에 해당된다.
개인정보 소유자(10)는 정보통신제공자(100)가 운영하는 개인정보 관리 시스템(110)에 대하여 개인정보의 변경/추가를 요청하게 되고, 개인정보 관리 시스템(110)은 개인정보 관리 책임자(130)에게 개인정보 소유자(10)가 요청한 개인정보 변경/추가 요청에 대한 승인을 요청한다. 이때, 개인정보 관리 책임자(130)는 개인정보 관리 시스템(110)이 요청한 개인정보 변경/추가 요청에 대한 승인을 개인정보 관리 시스템(110)에 내리게 된다. 개인정보 관리 책임자(130)로부터 개인정보 변경/추가 요청에 대한 승인을 받게된 개인정보 관리 시스템(110)은 개인정보 저장 데이터베이스(120)에 대한 개인정보 변경/추가를 수행하게 된다.
예컨대, 수집된 개인정보를 데이터베이스 등에 저장하고, 개인정보 보호 정책에 따라 허가받은 자만이 접속할 수 있도록 하는 권한관리 등이 이루어진다. 개인정보 소유자의 요청이 있는 경우, 관리책임자의 승인하에 해당 개인정보를 변경 및 추가하거나 파기하는 등 저장된 개인정보에 대한 관리가 이루어진다.
도 2는 일반적인 개인정보 보호 관리 시스템에서의 개인정보 이용 및 제공 단계에서의 흐름을 설명하기 위한 개념도이다.
도 2를 참조하면, 개인정보 이용자(20)는 정보통신제공자(100)가 운영하는 개인정보 관리 시스템(110)에 대하여 개인정보의 이용을 요청하게 되고, 개인정보 관리 시스템(110)은 개인정보 관리 책임자(130)에게 개인정보 이용자(20)의 개인정보 이용 요청에 대한 승인을 요청한다. 이때, 개인정보 관리 책임자(130)는 개인정보 관리 시스템(110)이 요청한 개인정보 이용 요청에 대한 승인을 개인정보 관리 시스템(110)에 내리게 된다. 개인정보 관리 책임자(130)로부터 개인정보 이용 요청에 대한 승인을 받게된 개인정보 관리 시스템(110)은 개인정보 저장 데이터베이스(120)로 개인정보 이용자(20)가 요청한 개인정보를 열람하여 개인정보 이용자(20)에게 제공하게 된다.
즉, 개인정보의 이용 및 제공 단계는 정보통신서비스 제공자가 수집?관리하고 있는 개인정보를 여러가지 필요에 의해서 관리책임자의 승인 하에 위탁업체나 제휴업체 등 제3자에게 제공하는 단계이다. 예컨대, 정적인 개인정보는 서비스 이용자 인증이나 인터넷 쇼핑 등의 기본 서비스 및 이벤트 등의 부가서비스를 위해 이용되며, 필요에 의해 개인정보 보호 정책에 명시하고 있는 서비스 제공자 외 제3서비스 제공자에게 제공되기도 한다. 따라서, 이 단계에서는 개인정보 소유자의 서비스 가입부터 탈퇴시까지 정보통신서비스 제공자가 저장 및 관리하고 있는 개인정보 일부를 이용하거나 제공하게 된다.
상술한 바와 같이, 도 1을 통하여 예시한 개인정보의 관리 단계, 도 2를 통하여 예시한 개인정보의 이용 및 제공 단계에서는 해당 개인정보에 대한 어떠한 주체의 열람 요청, 제공 요청에 대하여 어떠한 수준의 개인정보까지를 열람 및 제공할 수 있을 것인지를 결정하는 것이 중요한 문제가 된다. 즉, 개인정보 보호에 있어서 중요한 문제는, 이와 같은 개인정보의 관리, 이용 및 제공에 대한 정책(policy)의 적절성과 이와 같은 정책의 수행(enforcement)을 어떠한 방식으로 수행할 수 있을 것인지의 문제이다.
상기와 같은 개인정보 보호 관리 시스템에서, 개인정보를 시스템적으로 보호하는데 있어서 상술된 정책 수립의 기초가 되는 개인정보 또는 정보프라이버시의 보호를 위한 법률들이 국내에 입법화 되고 있다. 하지만 이는 부분적인 제정으로 다양한 분야에 산재되어 있어 법적 보호의 공백 및 법규간의 상충되는 부분이 존재하게 된다.
예컨대, 현재 개인정보 보호 법은 공공부문과 민간부문의 이원화된 법체계로 구성된다. 현행 개인정보 보호법의 체계는 부가적인 규정으로 개정되면서 공공부문의 법률과 민간부문 중 정보통신 부문 및 신용부문 등의 주요 법률과 기타 개별법규의 체계로 되어 있다. 또한, 국제 개인정보 보호 가이드라인은 가장 대표적인 것이 OECD의 "프라이버시보호와 개인정보의 국제적 유통에 관한 가이드라인"으로 각국의 개인정보 보호를 위한 노력과 국내입법의 제정을 권고하고 있다. 하지만 국내에서는 산재된 개인정보 보호 법적 방안으로 기본적인 체계를 갖추지 못하고 입법적인 보완 조치가 이루어지지 않고 있다.
즉, 분산된 법률은 체계적인 기본 시스템을 갖추지 못하고 있어 개인정보 보호 통합 체제의 구축이 필요하다. 또한, 개인정보 보호에 대한 정책을 수립하고 이를 판단하는 정보보호 기술은 다양한 솔루션이 존재하기에 상이한 그룹 간의 이용 및 활용이 불편한 실정이다.
상기와 같은 문제점을 해결하기 위한 본 발명의 목적은, 개인정보 보호 정책 기술문서를 제공받아 정책 기술문서 상에 등재된 개인정보 보호 법규정을 해석한 결과와, 개인정보 보호 정책 기술문서 상에 정의된 개인정보 항목 및 접근 권한 값들을 토대로 개인정보 보호 정책을 생성하여, 생성된 정책을 수행하는 개인정보 보호 관리 시스템을 제공하는데 있다.
상기와 같은 문제점을 해결하기 위한 본 발명의 다른 목적은, 개인정보 보호 정책 기술문서를 제공받아 정책 기술문서 상에 등재된 개인정보 보호 법규정을 해석한 결과와, 개인정보 보호 정책 기술문서 상에 정의된 개인정보 항목 및 접근 권한 값들을 토대로 개인정보 보호 정책을 생성하여, 생성된 정책을 수행하는 개인정보 보호 관리 방법을 제공하는데 있다.
상기 목적을 달성하기 위한 본 발명은, 개인정보 보호 관련 법규 분류 체계를 수신하여 상기 분류 체계 상의 개인정보법규 항목들을 파싱하는 파싱부, 상기 파싱부로부터 상기 관련 개인정보법규 항목을 전달받아 관련 개인정보법규를 자연어 해석하여 상기 관련 개인정보법규가 규정한 개인정보 보호와 관련한 정책을 분석하는 자연어 해석부, 상기 자연어 해석부로부터 분석된 개인정보 보호와 관련한 정책을 전달받아 상기 분석된 개인정보 보호와 관련한 정책에 대응되는 개인정보 보호 정책 기술문서를 생성하는 정책 생성부 및 상기 정책 수행부가 생성한 개인정보 보호 정책 기술 문서를 수신하여, 상기 개인정보 보호 정책 기술 문서에 기반하여 개인정보 이용자로부터의 개인정보 요청에 대하여 개인정보의 제공 가능 여부와 제공 가능 범위에 대한 결정을 내리고, 상기 결정을 토대로 상기 개인정보 요청에 응답하는 정책 수행부를 포함한 것을 특징으로 하는 개인정보 보호 관리 시스템을 제공한다.
여기에서, 상기 개인정보 보호 정책 기술문서는 APPEL(A P3P Preference Exchange Language), EPAL(Enterprise Privacy Authorization Language) 및 XACML(eXtensible Access Control markup Language) 중 적어도 하나의 개인정보 보호 정책 표준 기술에 의거한 문서일 수 있다.
여기에서, 상기 개인정보 보호 정책 기술문서는 XML(eXtensible Markup Language) 기반의 문서일 수 있다.
여기에서, 상기 개인정보 보호 관리 시스템은 법률 데이터베이스를 추가로 포함하고, 상기 자연어 해석부는 상기 파싱부로부터 상기 관련 개인정보법규 항목을 전달받아 관련 개인정보법규를 상기 법률 데이터베이스로부터 독출하여 자연어 해석하고 상기 관련 개인정보법규가 규정한 개인정보 보호와 관련한 정책을 분석하도록 구성될 수 있다.
여기에서, 상기 정책 생성부는 룰 베이스(rule-base)를 추가로 포함하고, 상기 룰 베이스에 포함된 룰(rule)들을 적용하여 상기 자연어 해석부로부터 전달받은 상기 관련 개인정보법규가 규정한 개인정보 보호와 관련한 정책에 대응되는 개인정보 보호 정책 기술문서를 생성하도록 구성될 수 있다.
상기 다른 목적을 달성하기 위한 본 발명은, 개인정보 보호 관련 법규 분류 체계를 수신하여 상기 분류 체계 상의 개인정보법규 항목들을 파싱하는 파싱 단계, 상기 파싱 단계에서 파싱된 상기 관련 개인정보법규 항목을 전달받아 관련 개인정보법규를 자연어 해석하여 상기 관련 개인정보법규가 규정한 개인정보 보호와 관련한 정책을 분석하는 자연어 해석 단계, 상기 자연어 해석 단계에서 분석된 개인정보 보호와 관련한 정책을 전달받아 상기 분석된 개인정보 보호와 관련한 정책에 대응되는 개인정보 보호 정책 기술문서를 생성하는 정책 생성 단계, 개인정보 이용자로부터 개인정보 이용 요청을 수신하는 단계 및 상기 정책 생성 단계에서 생성한 개인정보 보호 정책 기술 문서를 수신하여, 상기 개인정보 보호 정책 기술 문서에 기반하여 상기 개인정보 이용자로부터의 개인정보 요청에 대하여 개인정보의 제공 가능 여부와 제공 가능 범위에 대한 결정을 내리고, 상기 결정을 토대로 상기 개인정보 요청에 응답하는 정책 수행 단계를 포함한 것을 특징으로 하는 개인정보 보호 관리 방법을 제공한다.
여기에서, 상기 개인정보 보호 정책 기술문서는 APPEL(A P3P Preference Exchange Language), EPAL(Enterprise Privacy Authorization Language) 및 XACML(eXtensible Access Control markup Language) 중 적어도 하나의 개인정보 보호 정책 표준 기술에 의거한 문서일 수 있다.
여기에서, 상기 개인정보 보호 정책 기술문서는 XML(eXtensible Markup Language) 기반의 문서일 수 있다.
본 발명에 의하면, 체계적인 개인정보 보호 법제도의 이용으로 자신의 정보를 제공하는 사용자 입장에서는 법적보호를 받을 수 있고, 자신의 정보에 대해서 제한적인 개인정보 수집을 제공함에 따라 불필요한 개인정보 활용 및 오남용을 방지한다. 또한, 개인정보를 요청 및 이용하는 타인 또는 기관은 법적인 보호 하에 개인정보를 이용 및 활용할 수 있다. 본 발명의 일 실시예에 의하면, 프라이버시를 보호하는 APPEL(A P3P Preference Exchange Language)과 같은 표준기술을 이용할 수 있으므로 상이한 그룹 및 기관 내 다양한 사용자들에게 정책을 적용하고 접근제어 및 개인정보 이용이 가능하여, 정보요청 및 이용 시 보안의 유연성과 편리성을 제공해준다. 본 발명에 의하면, 개인정보가 강력한 국내 법률에 의해서 체계적으로 시스템적인 정의가 됨에 따라 개인정보 오남용 및 도용발생시 즉각적인 대응의 유용성을 제공한다.
도 1은 일반적인 개인정보 보호 관리 시스템에서의 개인정보 저장 및 관리 단계에서의 흐름을 설명하기 위한 개념도이다.
도 2는 일반적인 개인정보 보호 관리 시스템에서의 개인정보 이용 및 제공 단계에서의 흐름을 설명하기 위한 개념도이다.
도 3은 본 발명에 따른 개인정보 보호 관리 시스템의 일 실시예를 설명하기 위한 블록도이다.
도 4는 본 발명에 따른 개인 정보 보호 관리 시스템에 적용 가능한 개인정보 보호 관련 법규 분류 체계의 예시를 보여주는 개념도이다.
도 5는 본 발명에 따른 개인정보 보호 관리 시스템에 적용되는 개인정보 보호 정책 기술문서의 일 예인 APPEL 문서를 예시한 도면이다.
도 6은 본 발명에 따른 개인정보 보호 관리 방법의 일 실시예를 설명하기 위한 순서도이다.
본 발명은 다양한 변경을 가할 수 있고 여러 가지 실시예를 가질 수 있는 바, 특정 실시예들을 도면에 예시하고 상세한 설명에 상세하게 설명하고자 한다. 그러나, 이는 본 발명을 특정한 실시 형태에 대해 한정하려는 것이 아니며, 본 발명의 사상 및 기술 범위에 포함되는 모든 변경, 균등물 내지 대체물을 포함하는 것으로 이해되어야 한다. 각 도면을 설명하면서 유사한 참조부호를 유사한 구성요소에 대해 사용하였다.
제1, 제2, A, B 등의 용어는 다양한 구성요소들을 설명하는데 사용될 수 있지만, 상기 구성요소들은 상기 용어들에 의해 한정되어서는 안 된다. 상기 용어들은 하나의 구성요소를 다른 구성요소로부터 구별하는 목적으로만 사용된다. 예를 들어, 본 발명의 권리 범위를 벗어나지 않으면서 제1 구성요소는 제2 구성요소로 명명될 수 있고, 유사하게 제2 구성요소도 제1 구성요소로 명명될 수 있다. 및/또는 이라는 용어는 복수의 관련된 기재된 항목들의 조합 또는 복수의 관련된 기재된 항목들 중의 어느 항목을 포함한다.
어떤 구성요소가 다른 구성요소에 "연결되어" 있다거나 "접속되어" 있다고 언급된 때에는, 그 다른 구성요소에 직접적으로 연결되어 있거나 또는 접속되어 있을 수도 있지만, 중간에 다른 구성요소가 존재할 수도 있다고 이해되어야 할 것이다. 반면에, 어떤 구성요소가 다른 구성요소에 "직접 연결되어" 있다거나 "직접 접속되어" 있다고 언급된 때에는, 중간에 다른 구성요소가 존재하지 않는 것으로 이해되어야 할 것이다.
본 출원에서 사용한 용어는 단지 특정한 실시예를 설명하기 위해 사용된 것으로, 본 발명을 한정하려는 의도가 아니다. 단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한, 복수의 표현을 포함한다. 본 출원에서, "포함하다" 또는 "가지다" 등의 용어는 명세서상에 기재된 특징, 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것이 존재함을 지정하려는 것이지, 하나 또는 그 이상의 다른 특징들이나 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것들의 존재 또는 부가 가능성을 미리 배제하지 않는 것으로 이해되어야 한다.
다르게 정의되지 않는 한, 기술적이거나 과학적인 용어를 포함해서 여기서 사용되는 모든 용어들은 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자에 의해 일반적으로 이해되는 것과 동일한 의미를 가지고 있다. 일반적으로 사용되는 사전에 정의되어 있는 것과 같은 용어들은 관련 기술의 문맥 상 가지는 의미와 일치하는 의미를 가지는 것으로 해석되어야 하며, 본 출원에서 명백하게 정의하지 않는 한, 이상적이거나 과도하게 형식적인 의미로 해석되지 않는다.
이하, 본 발명에 따른 바람직한 실시예를 첨부된 도면을 참조하여 상세하게 설명한다.
이하에서 설명되는 본 발명에 따른 개인정보 보호 관리 시스템 및 개인정보 보호 관리 방법은 도 1 및 도 2를 통하여 설명된 정보통신제공자(100)가 운영하는 개인정보 관리 시스템(110) 및 개인정보 관리 책임자(130)의 역할을 수행하는 시스템 및 그 동작 방법에 해당된다.
본 발명에 따른 개인정보 보호 관리 시스템
도 3은 본 발명에 따른 개인정보 보호 관리 시스템의 일 실시예를 설명하기 위한 블록도이다.
도 3을 참조하면, 본 발명에 따른 개인정보 보호 관리 시스템(300)은 파싱부(310), 자연어 해석부(320), 정책 생성부(330) 및 정책 수행부(340)를 포함하여 구성될 수 있다.
먼저 파싱부(310)는 개인정보 보호 관련 법규 분류 체계를 수신하여 상기 분류 체계 상의 개인정보법규 항목들을 파싱하는 구성요소이다. 여기에서 개인정보 보호 관련 법규 분류 체계는 개인정보의 수집 및 공유, 유통, 분배에 대한 국내외의 규정 및 법률들을 체계적으로 분류한 분류체계를 의미할 수 있다.
도 4는 본 발명에 따른 개인 정보 보호 관리 시스템에 적용 가능한 개인정보 보호 관련 법규 분류 체계의 예시를 보여주는 개념도이다.
도 4를 참조하면, 수집 제한(collection limitation; 401), 데이터 품질(data quality; 402), 목적 명세(purpose specification; 403), 공개성(openness; 404), 개인 참여(individual participation; 405) 및 사용 제한(use limitation; 406) 등의 분류 체계에 따라 국내에 존재하는 법 규정을 분류한 분류 기준표가 예시되어 있다.
이러한 개인정보 보호 관련 법규 분류체계는 텍스트 데이터 또는 소정의 데이터베이스 형태에 저장되어 있을 수 있고, 시스템 관리자에 의해서 상황에 따라 변경 및 수정되어 본 발명에 따른 개인정보 보호 관리 시스템에 입력될 수 있을 것이다. 또한, 법률의 개정이나 신규 제정에 따라서 상기 개인정보 보호 관련 법규 분류 체계는 업데이트될 수 있다.
다음으로, 자연어 해석부(320)는 상기 파싱부(310)로부터 상기 관련 개인정보법규 항목을 전달받아 관련 개인정보법규를 자연어 해석하여 상기 관련 개인정보법규가 규정한 개인정보 보호와 관련한 정책을 분석하는 구성요소이다.
즉, 자연어 해석부(320)는 파싱부(310)에서 파싱하여 제공한 관련 개인정보 법규 항목이 지정한 개인정보 보호 관련 법률 구문을 참조하여 관련 법률 구문을 자연어 해석하는 구성요소이다. 따라서, 본 발명에 따른 개인정보 보호 관리 시스템(300)은 자연어 해석부(320)의 요청에 의해서 해당되는 법률 조항들을 독출하여 자연어 해석부(320)로 제공하는 법률 데이터베이스(321)를 추가로 포함하여 구성될 수 있다. 다만, 상기 필요한 법률 조항들은 개방 API(Open API)를 제공하는 법률 조항 제공 웹 사이트 등을 통하여 다운로드될 수도 있으므로, 상기 법률 데이터베이스(321)는 본 발명에 따른 개인정보 보호 관리 시스템(300)의 필수 구성요소는 아닐 수 있다.
따라서, 자연어 해석부(320)는 지정한 개인정보 보호 관련 법규정을 해독하여 해당 개인정보 보호 관련 법규가 규정하고 있는 개인정보에 대한 일반화된 정책을 수집하여 정책 생성부(330)로 전달하는 역할을 수행하게 된다. 이를 위하여 자연어 해석부(320)는 자연어로 기술된 법규 조항들을 육하원칙(5W1H)에 의거하여 자연어 분석할 수 있는 자연어 분석 엔진을 포함하여 구성될 수 있을 것이다.
다음으로, 정책 생성부(330)는 상기 자연어 해석부(320)로부터 분석된 개인정보 보호와 관련한 정책을 전달받아 상기 분석된 개인정보 보호와 관련한 정책에 대응되는 개인정보 보호 정책 기술문서(332)를 생성하는 구성요소이다.
여기에서, 상기 개인정보 보호 정책 기술문서(332)에 대해서 먼저 설명하기로 한다.
현재 개인정보 보호의 대표적인 기술은 W3C(the World Wide Web Consoritium)에서 개발한 개인정보 보호 정책을 기술하는 산업 표준인 P3P(the Platform for Privacy Preference Project), IBM과 ZKS가 공동 개발한 기업내 고객 정보와 같은 프라이버시 정보에 대한 정책 수립 및 교환을 판단하기 위한 기술로서 EPAL(Enterprise Privacy Authorization Language), XML 정보 보호 기술 중의 하나로 자원들 혹은 접근 요청 개체들에 권한 부여를 통해 자원에 대한 접근 제어를 하는 XML 기반의 언어로서 정책 언어 모델을 제안하고 XML로 구성된 요청, 응답, 그리고 정책 문법을 정의한 XACML(eXtensible Access Control markup Language) 등이 있다. 이외에, OECD에서 개발한 프라이버시정책 생성기(Privacy Policy Statements Generator) 등이 있다.
한편, 사용자가 자신의 정책을 표현 및 P3P 정책을 교환하기 위해 제안된 기술이 APPEL(A P3P Preference Exchange Language)이며, 본 발명에 따른 개인정보 보호 정책 기술문서(332)는 바람직하게 상기 APPEL 문서일 수 있다.
그러나, 본 발명에 따른 개인정보 보호 정책 기술문서(332)는 개인정보 보호의 정책을 기술(description)하고 상호간에 교환할 수 있는, 정하여진 형태의 규약을 따르는 문서이기만 하면 특정 표준을 따른 문서에 한정되지 않고 이용될 수 있다. 예컨대, 상기 개인정보 보호 정책 기술문서(332)는 APPEL인 것이 바람직하나, 앞서 언급된 EPAL, XACML 등의 문서일 수도 있다.
이하 본 발명의 일 실시예는 상기 개인정보 보호정책 기술문서(332)가 APPEL 문서인 것을 상정하여 기술된 것이지만, 상기 개인정보호정책 기술문서는 정하여진 형태의 규약을 따르는 문서이기만 하면 특정 표준을 따른 문서에 한정되지 않고 이용될 수 있다. 이때, 상기 정책 기술문서(332)는 XML(eXtensible Markup Language) 문서 형태로 구성되는 것이 일반적일 수 있다.
도 5는 본 발명에 따른 개인정보 보호 관리 시스템에 적용되는 개인정보 보호 정책 기술문서의 일 예인 APPEL 문서를 예시한 도면이다.
도 5를 참조하면, 해당 개인정보 보호 정책 기술문서가 규정하고 있는 개인정보 보호에 대한 법규가 정보통신망 이용촉진 및 정보보호 등에 관한 법률임을 예시된 APPEL 문서의 항목(410)이 해당 개인정보 보호 정책 기술문서가 규정하고 있는 개인정보 보호에 대한 법규가 정보통신망 이용촉진 및 정보보호 등에 관한 법률임을 지정된다.
또한, 해당 개인정보 보호 정책 기술문서 내에서 항목들(420)의 태그(tag)들을 통하여 해당 개인정보 보호정책 기술문서가 규정하는 해당 개인정보 항목들의 종류와 액세스 권한이 지정된다. 즉, 항목들의 종류와 각 항목들에 대한 액세스 권한을 개인정보 보호 정책 기술문서에서 규정함으로써, 후술될 정책 수행부(340)에서 정책을 수행할 수 있는 기준을 제공하게 되는 것이다.
개인정보 보호 정책 기술문서 중 예컨대, APPEL 문서는 기본적으로 W3C에서 제공되는 표준 태그들을 적용하며, 본 발명에서 정책을 적용하기 위해 XML 기반 언어 제공으로 사용자의 기본 정보, 역할, 이용목적, 요청하는 정보 등에 대해서 XML의 확장태그를 이용하여 구성될 수 있다. 이러한 XML 기반의 언어는 연동성 및 향후 확장을 가능하게 한다.
즉, 정책 생성부(330)는 상기 자연어 해석부(320)에서 분석한 개인정보 보호 관련 법규가 제시하는 개인정보에 대한 일반적인 항목별 접근 권한의 원칙을 토대로, 개인정보 항목 및 접근 권한 값들에 대한 정책(policy)을 규정하는 개인정보 보호 정책 기술문서를 생성하는 구성요소이다.
예컨대, 정책 생성부는 도 5에서 예시한 APPEL 문서와 같은 개인정보 보호 정책 기술문서를 생성하게 된다.
도 5를 재참조 하면, 개인정보 보호 정책 기술문서는 <ENTITY> 항목에 포함되어있는 <DATA-GROUP>으로써 요청자의 정보를 설정하며, <ACCESS> 및 <ACCESSCONTROL> 태그로써 요청타입과 사용자의 접근제어권한을 규정하게 된다.
또한, <PURPOSE> 항목을 통해 개인정보를 이용하는 목적에 대해서 정의된 것을 정의하고, <DISPUTES-GROUP>와 <RETENTION>을 통해 적용되는 법 및 정보의 보유기간을 알 수 있다. 요청한 정보가 무엇인지는 <DATA-GROUP>에 정의될 수 있다.
이때, 개인정보는 국내관련 법률에서 규정하고 있는 정보통신서비스제공자의 전자적 게시에 대한 의무사항을 반영한 “개인정보 보호 정책 설정 및 협상규격 (한국정보통신기술협회, 2007)” 기반으로 요청정보를 분석한다. 또한, 사용자의 정보, 역할, 이용목적 등에 따라 적용되는 권한이 다르게 구분된다.
따라서, 정책 생성부(330)는 상기 정책 생성부는 룰 베이스(rule-base)를 추가로 포함하고, 상기 룰 베이스에 포함된 룰(rule)들을 적용하여 상기 자연어 해석부(320)로부터 전달받은 상기 관련 개인정보법규가 규정한 개인정보 보호와 관련한 정책에 대응되는 개인정보 보호 정책 기술문서를 생성하도록 구성될 수 있다.
마지막으로, 정책 수행부(340)는 상술된 정책 수행부(330)를 통하여 전달받은 개인정보 보호 정책 기술문서에서 규정한 정책을 적용(enforcement)하는 역할을 수행한다. 즉, 개인정보 이용자(20)로부터의 개인정보에 대한 요청을 수신하고, 상기 정책 수행부(330)를 통하여 수립된 정책을 상기 요청에 적용하여 제공될 수 있는 개인정보의 한도를 결정짓고, 한도내에 있는 개인정보를 제3자에게 제공하는 것에 의해서 개인정보 보호 정책을 수행하는 역할을 수행하도록 구성된다.
즉, 정책 수행부(340)는 개인정보 저장 데이터베이스(120)에서 상기 정책에 의거하여 결정된 제공 가능한 개인정보의 종류와 개인정보의 범위에 기초하여 개인정보를 열람하여 개인정보 이용자에게 제공하는 역할을 수행하도록 구성될 수 있다. 이때, 개인정보 저장 데이터베이스(120)는 본 발명에 따른 개인정보 보호 관리 시스템(300)내에 존재하는 구성요소일 수도 있으나, 정보의 기밀성을 유지하기 위하여 제3의 운영주체가 운영하는 데이터베이스로서 본 발명에 따른 개인정보 보호 관리 시스템에 대한 외부 구성요소로서 존재할 수도 있을 것이다.
본 발명에 따른 개인정보 보호 관리 방법
도 6은 본 발명에 따른 개인정보 보호 관리 방법의 일 실시예를 설명하기 위한 순서도이다.
도 6을 참조하면, 본 발명에 따른 개인정보 보호 관리 방법은 파싱 단계(S510), 자연어 해석 단계(S520), 정책 생성 단계(S530), 개인정보 이용 요청 수신 단계(S540) 및 정책 수행 단계(S550)를 포함하여 구성될 수 있다.
파싱 단계(S510)는 본 발명에 따른 개인정보 보호 관리 시스템이 개인정보 보호 관련 법규 분류 체계를 수신하여 상기 분류 체계 상의 개인정보법규 항목들을 파싱하는 단계에 해당한다. 도 3을 병행하여 참조하면, 상기 단계(S510)는 본 발명에 따른 개인정보 보호 관리 시스템(300)의 파싱부(310)가 개인정보 보호 관련 법규 분류 체계를 참조하는 과정에 해당한다.
이때, 개인정보 보호 관련 법규 분류 체계는 도 4에서 예시한 바와 같이 개인정보의 수집 및 공유, 유통, 분배에 대한 국내외의 규정 및 법률들을 체계적으로 분류한 분류체계를 의미할 수 있고, 텍스트 데이터 또는 소정의 데이터베이스 형태에 저장되어 있을 수 있고, 시스템 관리자에 의해서 상황에 따라 변경 및 수정되어 본 발명에 따른 개인정보 보호 관리 시스템에 입력될 수 있을 것이다. 또한, 법률의 개정이나 신규 제정에 따라서 상기 개인정보 보호 관련 법규 분류 체계는 업데이트될 수 있다.
다음으로, 자연어 해석 단계(S520)는 상기 파싱 단계(S510)에서 파싱된 상기 관련 개인정보법규 항목을 전달받아 관련 개인정보법규를 자연어 해석하여 상기 관련 개인정보법규가 규정한 개인정보 보호와 관련한 정책을 분석하는 단계이다.
즉, 자연어 해석 단계(S520)은 파싱 단계(S510)에서 파싱한 법률 조항들을 법률 데이터베이스(321) 등의 구성요소로부터 수신하여 해당 개인정보 보호 관련 법규가 규정하고 있는 개인정보에 대한 일반화된 정책을 수집하는 역할을 수행하게 된다. 이를 위하여 자연어 해석 단계(S520)는 자연어로 기술된 법규 조항들을 육하원칙(5W1H)에 의거하여 자연어 분석할 수 있는 자연어 분석 엔진을 이용하여 수행될 수 있을 것이다.
다음으로, 정책 생성 단계(S530)는 상기 자연어 해석 단계(S520)에서 분석된 개인정보 보호와 관련한 정책을 전달받아 상기 분석된 개인정보 보호와 관련한 정책에 대응되는 개인정보 보호 정책 기술문서를 생성하는 단계이다.
앞서 언급된 바와 같이, 개인정보 보호 정책 기술문서는 개인정보 보호의 정책(policy)을 기술(description)하고 상호간에 교환(exchange)할 수 있는, 정하여진 형태의 규약을 따르는 문서로서, 특정 표준을 따른 문서에 한정되지 않고 이용될 수 있다. 예컨대, 상기 개인정보 보호 정책 기술문서는 APPEL인 것이 바람직하나, 앞서 언급된 EPAL, XACML 등의 문서일 수도 있다.
개인정보 보호 정책 기술 문서의 예시는 앞서 설명된 도 5에서와 같으므로 추가적인 설명은 생략한다.
다음으로, 개인정보 이용요청 수신 단계(S540)는 개인정보 이용자로부터 개인정보 이용 요청을 수신하는 단계이다.
이때, 개인정보 이용자는 정보통신서비스 제공자가 수집?관리하고 있는 개인정보를 여러가지 필요에 의해서 관리책임자의 승인 하에 제공받는 위탁업체나 제휴업체 등 제3자일 수 있다. 즉, 개인정보 이용자는 서비스 이용자 인증이나 인터넷 쇼핑 등의 기본 서비스 및 이벤트 등의 부가서비스를 위해 개인정보의 이용이 요구되는 제 3자에 해당될 수 있다.
마지막으로, 정책 수행 단계(S550)는 상기 개인정보 이용요청 수신 단계(S540)에서 개인정보 이용자가 요청한 개인정보 이용 요청에 대하여 상기 정책 생성 단계(S530)에서 생성한 개인정보 보호 정책 기술문서에 기초한 개인정보 보호에 관한 적용 정책에 기반하여 상기 개인정보 이용자에 대한 개인정보의 제공 가능 여부와 개인정보 제공의 범위를 결정하여 개인정보 저장 데이터베이스를 열람하여 해당되는 개인정보를 개인정보 이용자에게 제공하는 단계에 해당된다.
상기에서는 본 발명의 바람직한 실시예를 참조하여 설명하였지만, 해당 기술 분야의 숙련된 당업자는 하기의 특허 청구의 범위에 기재된 본 발명의 사상 및 영역으로부터 벗어나지 않는 범위 내에서 본 발명을 다양하게 수정 및 변경시킬 수 있음을 이해할 수 있을 것이다.
20: 개인정보 이용자 120: 개인정보 저장 데이터베이스
300: 개인정보 보호 관리 시스템
310: 파싱부 320: 자연어 해석부
321: 법률 데이터베이스
330: 정책 생성부 331: 룰 베이스
332: 개인정보 보호 정책 기술문서
340: 정책 수행부

Claims (8)

  1. 개인정보 보호 관련 법규 분류 체계를 수신하여 상기 분류 체계 상의 개인정보법규 항목들을 파싱하는 파싱부;
    상기 파싱부로부터 상기 관련 개인정보법규 항목을 전달받아 관련 개인정보법규를 자연어 해석하여 상기 관련 개인정보법규가 규정한 개인정보 보호와 관련한 정책을 분석하는 자연어 해석부;
    상기 자연어 해석부로부터 분석된 개인정보 보호와 관련한 정책을 전달받아 상기 분석된 개인정보 보호와 관련한 정책에 대응되는 개인정보 보호 정책 기술문서를 생성하는 정책 생성부; 및
    상기 정책 수행부가 생성한 개인정보 보호 정책 기술 문서를 수신하여, 상기 개인정보 보호 정책 기술 문서에 기반하여 개인정보 이용자로부터의 개인정보 요청에 대하여 개인정보의 제공 가능 여부와 제공 가능 범위에 대한 결정을 내리고, 상기 결정을 토대로 상기 개인정보 요청에 응답하는 정책 수행부를 포함한 것을 특징으로 하는 개인정보 보호 관리 시스템.
  2. 제 1 항에 있어서,
    상기 개인정보 보호 정책 기술문서는 APPEL(A P3P Preference Exchange Language), EPAL(Enterprise Privacy Authorization Language) 및 XACML(eXtensible Access Control markup Language) 중 적어도 하나의 개인정보 보호 정책 표준 기술에 의거한 문서인 것을 특징으로 하는 개인정보 보호 관리 시스템.
  3. 제 1 항에 있어서,
    상기 개인정보 보호 정책 기술문서는 XML(eXtensible Markup Language) 기반의 문서인 것을 특징으로 하는 개인정보 보호 관리 시스템.
  4. 제 1 항에 있어서,
    상기 개인정보 보호 관리 시스템은 법률 데이터베이스를 추가로 포함하고,
    상기 자연어 해석부는 상기 파싱부로부터 상기 관련 개인정보법규 항목을 전달받아 관련 개인정보법규를 상기 법률 데이터베이스로부터 독출하여 자연어 해석하고 상기 관련 개인정보법규가 규정한 개인정보 보호와 관련한 정책을 분석하는 것을 특징으로 하는 개인정보 보호 관리 시스템.
  5. 제 1 항에 있어서,
    상기 정책 생성부는 룰 베이스(rule-base)를 추가로 포함하고,
    상기 룰 베이스에 포함된 룰(rule)들을 적용하여 상기 자연어 해석부로부터 전달받은 상기 관련 개인정보법규가 규정한 개인정보 보호와 관련한 정책에 대응되는 개인정보 보호 정책 기술문서를 생성하는 것을 특징으로 하는 개인정보 보호 관리 시스템.
  6. 개인정보 보호 관련 법규 분류 체계를 수신하여 상기 분류 체계 상의 개인정보법규 항목들을 파싱하는 파싱 단계;
    상기 파싱 단계에서 파싱된 상기 관련 개인정보법규 항목을 전달받아 관련 개인정보법규를 자연어 해석하여 상기 관련 개인정보법규가 규정한 개인정보 보호와 관련한 정책을 분석하는 자연어 해석 단계;
    상기 자연어 해석 단계에서 분석된 개인정보 보호와 관련한 정책을 전달받아 상기 분석된 개인정보 보호와 관련한 정책에 대응되는 개인정보 보호 정책 기술문서를 생성하는 정책 생성 단계;
    개인정보 이용자로부터 개인정보 이용 요청을 수신하는 단계; 및
    상기 정책 생성 단계에서 생성한 개인정보 보호 정책 기술 문서를 수신하여, 상기 개인정보 보호 정책 기술 문서에 기반하여 상기 개인정보 이용자로부터의 개인정보 요청에 대하여 개인정보의 제공 가능 여부와 제공 가능 범위에 대한 결정을 내리고, 상기 결정을 토대로 상기 개인정보 요청에 응답하는 정책 수행 단계를 포함한 것을 특징으로 하는 개인정보 보호 관리 방법.
  7. 제 6 항에 있어서,
    상기 개인정보 보호 정책 기술문서는 APPEL(A P3P Preference Exchange Language), EPAL(Enterprise Privacy Authorization Language) 및 XACML(eXtensible Access Control markup Language) 중 적어도 하나의 개인정보 보호 정책 표준 기술에 의거한 문서인 것을 특징으로 하는 개인정보 보호 관리 방법.
  8. 제 6 항에 있어서,
    상기 개인정보 보호 정책 기술문서는 XML(eXtensible Markup Language) 기반의 문서인 것을 특징으로 하는 개인정보 보호 관리 방법.
KR1020100131979A 2010-12-21 2010-12-21 개인정보 보호 관리 시스템 및 개인정보 보호 관리 방법 KR101218496B1 (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
KR1020100131979A KR101218496B1 (ko) 2010-12-21 2010-12-21 개인정보 보호 관리 시스템 및 개인정보 보호 관리 방법

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020100131979A KR101218496B1 (ko) 2010-12-21 2010-12-21 개인정보 보호 관리 시스템 및 개인정보 보호 관리 방법

Publications (2)

Publication Number Publication Date
KR20120089917A true KR20120089917A (ko) 2012-08-16
KR101218496B1 KR101218496B1 (ko) 2013-01-22

Family

ID=46883159

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020100131979A KR101218496B1 (ko) 2010-12-21 2010-12-21 개인정보 보호 관리 시스템 및 개인정보 보호 관리 방법

Country Status (1)

Country Link
KR (1) KR101218496B1 (ko)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101636026B1 (ko) 2015-07-03 2016-07-05 주식회사 바넷정보기술 개인정보 파기 및 분리보관 시스템 및 방법
KR20210037934A (ko) * 2019-09-30 2021-04-07 한국과학기술원 개인정보보호 정책서 분석 기반 개인정보 수집/활용자의 신뢰도 평가 방법 및 장치
KR20220081870A (ko) * 2020-12-09 2022-06-16 한국전자통신연구원 의료 데이터 접근 관리를 위한 장치 및 방법

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20090106815A1 (en) * 2007-10-23 2009-04-23 International Business Machines Corporation Method for mapping privacy policies to classification labels

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101636026B1 (ko) 2015-07-03 2016-07-05 주식회사 바넷정보기술 개인정보 파기 및 분리보관 시스템 및 방법
KR20210037934A (ko) * 2019-09-30 2021-04-07 한국과학기술원 개인정보보호 정책서 분석 기반 개인정보 수집/활용자의 신뢰도 평가 방법 및 장치
KR20220081870A (ko) * 2020-12-09 2022-06-16 한국전자통신연구원 의료 데이터 접근 관리를 위한 장치 및 방법

Also Published As

Publication number Publication date
KR101218496B1 (ko) 2013-01-22

Similar Documents

Publication Publication Date Title
US7299171B2 (en) Method and system for processing grammar-based legality expressions
Bhatti et al. A trust-based context-aware access control model for web-services
Hu et al. Guidelines for access control system evaluation metrics
Wang et al. Access control management for ubiquitous computing
Wang et al. Ubiquitous computing environments and its usage access control
Lioudakis et al. A middleware architecture for privacy protection
US8176019B2 (en) Extending the sparcle privacy policy workbench methods to other policy domains
KR101218496B1 (ko) 개인정보 보호 관리 시스템 및 개인정보 보호 관리 방법
Yoose Balancing privacy and strategic planning needs: A case study in de-identification of patron data
Chiu et al. Privacy and access control issues in financial enterprise content management
Masood et al. Usage Control Model Specification in XACML Policy Language: XACML Policy Engine of UCON
KR20090059029A (ko) 등급별 프라이버시 정책을 갖는 아이덴터티 관리 시스템 및그 방법
Kabir et al. A conditional role-involved purpose-based access control model
Alkhalifah et al. Applying task-technology fit to the adoption of identity management systems
Feltus Preliminary literature review of policy engineering methods; toward responsibility concept
Di Martino et al. Towards a legislation-aware cloud computing framework
Cenys et al. Designing role-based access control policies with UML
KR20090129260A (ko) 공개키 기반 구조 및 권한 관리 기반 구조에 기초한 개인정보 보호 방법 및 시스템
Skinner et al. Defining and protecting meta privacy: a new conceptual framework within information privacy
Huertas Celdrán et al. A management platform for citizen’s data protection regulation
Essaouini et al. Access control policy: A framework to enforce recommendations
Ashley Enforcement of a P3P Privacy Policy.
Choi et al. Design and implementation of a policy-based privacy authorization system
Fatema Adding Privacy Protection to Policy Based Authorisation Systems
Evdokimov et al. Challenges for Access Control in Knowledge Federations.

Legal Events

Date Code Title Description
A201 Request for examination
E902 Notification of reason for refusal
E701 Decision to grant or registration of patent right
GRNT Written decision to grant
FPAY Annual fee payment

Payment date: 20161209

Year of fee payment: 5

FPAY Annual fee payment

Payment date: 20181224

Year of fee payment: 7