OECD 정보보호 가이드라인

OECD 정보보호 가이드라인은 경제협력개발기구(OECD)가 2002년에 채택한 「정보시스템 및 네트워크 보안 가이드라인: 보안 문화를 향하여」(Guidelines for the Security of Information Systems and Networks: Towards a Culture of Security)로, 정보시스템과 네트워크를 만들고 쓰는 모든 참여자가 지켜야 할 9가지 원칙을 정한 국제 지침이다.

개요

OECD 는 1992년에 정보시스템 보안 가이드라인을 처음 냈고, 인터넷이 널리 퍼지자 2002년 이를 전면 개정했다. 2002년판은 보안을 기술 담당자만의 일이 아니라 정부·기업·개인 이용자 모두가 함께 지켜야 할 보안 문화로 보았다. 각국 정보보호 정책의 기준이 되었고, 국내 정보보호 법제와 교육에서도 이 9원칙을 그대로 소개해 왔다.

같은 OECD 의 OECD 개인정보 보호 8원칙(1980년 프라이버시 가이드라인)과 헷갈리기 쉽다. 8원칙은 개인정보를 어떻게 수집·이용할지를 다루고, 9원칙은 정보시스템과 네트워크의 보안을 다룬다.

9원칙

원칙	영문	내용
인식	Awareness	참여자는 정보시스템·네트워크 보안의 필요성과 자신이 보안을 높이기 위해 할 수 있는 일을 알아야 한다
책임	Responsibility	모든 참여자는 정보시스템·네트워크 보안에 책임이 있다
대응	Response	보안 사고를 예방·탐지·대응하기 위해 적시에 협력해 행동한다
윤리	Ethics	다른 사람의 정당한 이익을 존중한다
민주주의	Democracy	정보시스템·네트워크의 보안은 민주 사회의 기본 가치(정보의 자유로운 흐름, 개인정보 보호 등)와 조화되어야 한다
위험 평가	Risk assessment	위험을 평가한다
보안 설계 및 이행	Security design and implementation	보안을 정보시스템·네트워크의 필수 요소로 반영해 설계하고 이행한다
보안 관리	Security management	보안 관리에 포괄적으로 접근한다
재평가	Reassessment	보안을 검토·재평가하고 정책·관행·조치를 적절히 수정한다

원칙 이름에 교육(Education)은 없다. 인식 원칙이 "보안의 필요성을 알아야 한다" 는 내용을 담을 뿐, 교육이라는 별도 원칙을 두지 않았다. 조직 안에서 인식·교육·훈련을 나누는 것은 보안 인식 교육에서 다루는 별개의 이야기다
앞의 다섯(인식·책임·대응·윤리·민주주의)은 참여자의 태도, 뒤의 넷(위험 평가·보안 설계 및 이행·보안 관리·재평가)은 보안 관리의 순환 과정에 해당한다

2015년 권고로의 대체

OECD 는 2015년 「경제·사회 번영을 위한 디지털 보안 위험관리 권고」(Recommendation on Digital Security Risk Management for Economic and Social Prosperity)를 채택하며 2002년 가이드라인을 대체했다. 보안을 기술 문제가 아니라 경제·사회 활동의 위험으로 보고 관리하라는 방향이다. 원칙은 8개로 바뀌었다.

구분	2015년 원칙	2002년 원칙과의 관계
일반 원칙	인식, 기술 및 역량 강화(Awareness, skills and empowerment)	인식을 이어받아 역량까지 넓힘
	책임(Responsibility)	그대로
	인권과 기본 가치(Human rights and fundamental values)	윤리·민주주의를 묶음
	협력(Co-operation)	대응의 협력 내용을 독립
운영 원칙	위험 평가와 처리 주기(Risk assessment and treatment cycle)	위험 평가·재평가
	보안 조치(Security measures)	보안 설계 및 이행·보안 관리
	혁신(Innovation)	새로 생김
	대비와 연속성(Preparedness and continuity)	대응의 사고 대비 내용

같이 보기