ISC2 윤리 강령
더 많은 작업
- ISC2 Code of Ethics; ISC2 윤리 강령(CISSP 윤리 강령)
- ISC2 회원과 자격 보유자가 반드시 지켜야 하는 전문(Preamble)과 네 가지 강령(Canons)으로 이루어진 직업 윤리 규범
CISSP를 비롯한 ISC2 자격은 시험 합격만으로 유지되지 않는다. ISC2는 자격을 "얻어야 하고 유지해야 하는 특권"으로 보고, 모든 회원에게 윤리 강령을 전적으로 지지하겠다는 약속을 요구한다. 강령을 고의로 또는 알면서 위반한 회원은 동료 심사(peer review)를 거쳐 자격이 취소될 수 있다. 회원이 다른 회원의 위반 행위를 목격하면 윤리 제소 절차를 따를 의무가 있고, 이를 하지 않는 것 자체가 강령 IV 위반으로 간주될 수 있다.
강령은 네 개뿐이며, 높은 수준의 원칙만 담고 있어 개별 상황의 판단을 대신하지 않는다. CISSP 출제 범위(1.1)는 ISC2 윤리 강령과 조직의 윤리 강령을 이해하고 준수하며 장려하는 것을 요구한다.
| 원문 | 번역 |
|---|---|
| The safety and welfare of society and the common good, duty to our principals, and duty to each other, require that we adhere, and be seen to adhere, to the highest ethical standards of behavior. | 사회의 안전과 복지 및 공공의 이익, 우리가 섬기는 주체(principals)에 대한 의무, 그리고 서로에 대한 의무는 우리가 가장 높은 윤리적 행동 기준을 지키고, 또 지키는 모습이 드러나기를 요구한다. |
| Therefore, strict adherence to this Code is a condition of certification. | 따라서 이 강령을 엄격히 준수하는 것은 자격 인정의 조건이다. |
전문은 "지키는 것"뿐 아니라 "지키는 것으로 보이는 것(be seen to adhere)"까지 요구한다. 이해 충돌처럼 실제로는 문제가 없더라도 외부에서 부정으로 보일 수 있는 상황을 피해야 한다는 뜻이다.
| 순서 | 원문 | 번역 | 핵심 대상 |
|---|---|---|---|
| I | Protect society, the common good, necessary public trust and confidence, and the infrastructure. | 사회, 공공의 이익, 필요한 공공의 신뢰와 확신, 그리고 기반 시설을 보호한다. | 사회 |
| II | Act honorably, honestly, justly, responsibly, and legally. | 명예롭고 정직하며 공정하고 책임 있게, 그리고 합법적으로 행동한다. | 개인의 품행·준법 |
| III | Provide diligent and competent service to principals. | 주체(principals)에게 성실하고 유능한 서비스를 제공한다. | 고용주·고객 |
| IV | Advance and protect the profession. | 직업(정보보안 전문직)을 발전시키고 보호한다. | 동료 전문가·직업 전체 |
여기서 주체(principals)는 자격 보유자와 고용 또는 계약 관계에 있는 상대, 즉 고용주와 고객을 가리킨다.
강령은 사회 → 명예·정직·합법 → 주체에 대한 성실한 서비스 → 직업 발전의 순서로 나열되어 있다. 현행 공식 강령 페이지는 우선순위를 별도 조항으로 적어 두지 않지만, 두 강령이 충돌하면 앞 번호를 우선하는 것으로 해석하는 것이 일반적이고 CISSP 문제도 이 순서를 기준으로 푼다. 예를 들어 고객(강령 III)의 지시가 공공 안전(강령 I)이나 법(강령 II)과 충돌하면 고객 지시를 따르지 않는다.
제소는 문제 행동으로 피해를 입었다고 주장하는 사람만 할 수 있으며, 강령별로 제소 자격이 다르다.
| 위반 강령 | 제소할 수 있는 사람 |
|---|---|
| 강령 I, II | 일반 대중 누구나 |
| 강령 III | 주체(principals), 즉 자격 보유자와 고용·계약 관계가 있는 고용주나 고객 |
| 강령 IV | 다른 전문가. 전문 자격이나 면허를 보유하고 있으면서 스스로 윤리 강령을 따르는 사람 |
- 제소는 서면으로, 선서 진술서(sworn affidavit) 형식으로 제출한다. 피제소인, 문제 행동, 위반한 강령, 제소인의 자격, 뒷받침 증거를 적어야 하며 어떤 강령을 위반했는지 특정하지 않은 제소는 다루지 않는다.
- 윤리위원회(Professional Conduct Committee)는 조사 기관이 아니어서 증언을 강제할 수 없고, 자발적으로 제출된 증거만 검토한다. 일단 외견상 근거가 있는 사건(prima facie case)일 때만 진행하고, 그렇지 않으면 어느 쪽에도 불이익 없이 종결한다.
- 피제소인은 제소 사실을 통지받고, 모든 제소 자료를 열람하며, 정해진 기간 안에 선서 진술서로 반론을 낼 수 있다. 피제소인이 침묵하면 혐의를 다투지 않는 것으로 볼 수 있다.
- 사실관계에 다툼이 남아 결론을 낼 수 없으면 의심의 이익은 피제소인에게 돌아간다. 즉 입증 책임은 제소인에게 있다.
- 위원회는 사실 판단과 조치 권고를 이사회에 제출하며, 판단에 부합하는 가장 제한적이고 보수적인 조치를 우선한다. 당사자는 이사회 결정 전에 권고에 의견을 낼 수 있다.
- 징계는 이사회 재량이며 이사회 결정은 최종이다. 최악의 경우 자격이 취소된다.
조직의 윤리 강령(organizational code of ethics)은 회사나 기관이 임직원에게 요구하는 행동 기준이다. 보통 이해 충돌, 선물·접대, 기밀 유지, 내부 신고, 자원의 적정 사용 같은 항목을 담고, 입사 시 서약과 정기 교육으로 확인한다. 보안 책임자는 조직 윤리 강령을 만들고 알리는 데 참여하며, 위반 신고 체계를 보안 정책과 연결한다.
| 구분 | ISC2 윤리 강령 | 조직의 윤리 강령 |
|---|---|---|
| 적용 대상 | ISC2 회원·자격 보유자 | 해당 조직의 임직원·계약자 |
| 제정 주체 | ISC2 이사회 | 조직의 경영진·이사회 |
| 위반 결과 | 동료 심사, 자격 취소 | 징계, 해고, 계약 해지 |
| 성격 | 직업 전체에 대한 원칙 | 조직 사정에 맞춘 구체적 행동 규칙 |
둘이 충돌하면 사회와 법을 앞세우는 ISC2 강령의 순서가 판단 기준이 된다. 조직의 지시라도 불법이거나 공공에 해를 끼치면 따르지 않는 것이 강령 I·II에 맞는다.
RFC 1087 "Ethics and the Internet"은 1989년 1월 당시 인터넷 활동 위원회(IAB, Internet Activities Board)가 발표한 정책 성명이다. 인터넷 접근과 사용은 특권이라고 보고, 다음과 같은 행위를 고의로 하는 것을 비윤리적이고 용납할 수 없다고 규정했다.
- 인터넷 자원에 대한 무단 접근 시도
- 인터넷의 정상적인 사용 방해
- 그런 행위로 사람·용량·컴퓨터 자원을 낭비함
- 컴퓨터 기반 정보의 무결성 파괴
- 사용자 프라이버시 침해
오래된 문서지만 "무엇이 비윤리적인가"를 열거한 고전적 기준이어서 사이버 윤리 논의에 자주 인용된다.
- 상황 판단형: "보안 전문가가 고객의 요청과 공공 안전 사이에서 갈등한다. 가장 먼저 고려할 것은?" 같은 문제는 강령 I(사회 보호)을 고른다.
- 순서형: 네 강령의 순서나 "가장 우선하는 강령"을 묻는다. 사회 → 명예·정직·합법 → 주체 → 직업 순서를 외워 둔다.
- 제소 자격형: "고객이 아닌 일반인이 강령 III 위반으로 제소할 수 있는가?"처럼 강령별 제소 자격을 묻는다.
- 의무형: 다른 회원의 위반을 알고도 보고하지 않으면 강령 IV 위반이 될 수 있다는 점을 묻는다.
- 강령 순서는 I 사회 보호, II 명예·정직·공정·책임·합법, III 주체에 대한 성실하고 유능한 서비스, IV 직업 발전과 보호이다. 충돌하면 앞 번호를 따른다.
- 흔한 오답: "고객(주체)에 대한 의무가 가장 먼저"라는 선택지. 주체는 III번이다.
- 강령 I·II 위반은 누구나, III은 주체만, IV는 윤리 강령을 따르는 다른 전문가만 제소할 수 있다.
- 제소는 서면 선서 진술서로 하고 위반 강령을 특정해야 한다. 위원회는 조사 기관이 아니며 입증 책임은 제소인에게 있다.
- 윤리 강령 준수는 자격 인정의 조건이다. 위반하면 동료 심사를 거쳐 자격이 취소될 수 있다.
- 조직 윤리 강령과 ISC2 강령이 충돌하면 법과 공공 안전 쪽을 택한다.
- ISC2 Code of Ethics – ISC2
- CISSP Certification Exam Outline – ISC2
- RFC 1087: Ethics and the Internet – Internet Activities Board, RFC Editor