Q67. '수집', '액세스', '파기'는 어떤 개인정보 관리 프로세스의 한 측면인가요?

Q68. 시나리오
다음 질문에 답하려면 다음을 사용해 주세요:
바로 여러분이 우려했던 일입니다. 조직의 정보 기술 책임자는 여러분과 상의 없이 직원들이 개인 기기를 사용하여 업무를 수행하도록 장려하는 새로운 이니셔티브를 시작했습니다. 이 이니셔티브는 새로운 고사양 노트북 컴퓨터 구매를 매력적인 옵션으로 만들었고, 할인된 노트북 구매 비용을 1년 동안 급여 공제 방식으로 지급했습니다. 조직은 판매세도 지불하고 있습니다. 한 달이 지나자 조직 직원의 절반 이상이 노트북을 새로 구입했습니다. 시설을 돌아다니다 보면 직원들이 새 컴퓨터에서 즐겁게 노트를 커스터마이징하고 비교하는 모습을 볼 수 있으며, 하루가 끝나면 대부분 노트북을 가져가서 집이나 다른 알 수 없는 장소로 개인 데이터를 가져갈 가능성이 있습니다. 이 정도면 데이터 보호에 대한 악몽을 꾸기에 충분하며, 정보 기술 책임자와 조직의 다른 많은 사람들에게 데이터 손실이나 도난의 불가피성을 포함해 이 새로운 관행의 잠재적 위험성을 지적해 왔습니다.
오늘 사무실에 조직의 마케팅 부서 담당자가 찾아와 잠재적으로 심각한 결과를 초래할 수 있는 이야기를 마지못해 들려주었습니다. 전날 밤, 퇴근 후 곧바로 노트북을 들고 불 앤 혼 펍에 가서 친구들과 당구를 쳤습니다. 노트북을 재킷 아래 벤치에 '안전하게' 넣어둔 채로 스포츠와 사교의 즐거운 밤이 시작되었습니다. 그날 밤 늦게 퇴근 시간이 되어 재킷을 찾았지만 노트북은 사라져 있었습니다. 노트북은 벤치 밑이나 근처의 다른 벤치에도 없었습니다. 웨이터도 노트북을 보지 못했습니다. 친구들이 장난을 친 것이 아니었습니다. 잠 못 이루는 밤을 보낸 후, 그는 오늘 아침 펍에 들러 청소 직원과 이야기를 나누며 이를 확인했습니다. 그들은 그것을 찾지 못했습니다. 노트북이 없어진 거죠. 도난당한 것 같았어요. 그는 당황하고 화가 난 표정으로 당신을 바라보았습니다.
노트북에 고객들의 개인 데이터가 들어 있냐고 묻자 안타깝게도 그는 고개를 끄덕이며 그렇다고 대답합니다. 그는 이름, 주소, 주민등록번호 등 약 100명의 고객에 대한 파일이 들어 있는 것으로 추정합니다. 그는 한숨을 내쉬며 절망에 빠진 채 고개를 손에 짚습니다.
최선의 조치를 결정하기 위해 이 사건을 가장 생산적으로 바라보려면 어떻게 해야 할까요?

Q69. 시나리오
다음 질문에 답하려면 다음을 사용해 주세요:
당신은 유럽과 미주 여러 국가에 거주하는 개인의 정보를 취급하는 회사의 개인정보 보호 부서를 이끌고 있습니다. 그날 아침 계약 담당자가 전화 통화를 요청하는 메시지를 보내면서 개인정보 보호 검토를 시작합니다. 메시지에는 명확성과 세부 사항이 부족하지만 데이터가 분실된 것으로 추정합니다.
계약 담당자에게 문의한 결과, 그는 벤더가 고객에 대한 정보를 부적절하게 공유했다는 내용의 편지를 우편으로 받았다고 말합니다. 그는 공급업체에 전화하여 귀사가 최근 정확히 2000명의 개인을 대상으로 가장 최근의 의료 서비스 경험에 대해 설문조사를 실시하여 이를 데이터베이스에 기록하기 위해 공급업체에 보냈지만 공급업체가 계약에서 약속한 대로 데이터베이스를 암호화하는 것을 잊어버렸다는 사실을 확인했습니다. 그 결과 공급업체는 데이터에 대한 통제권을 잃었습니다.
판매업체는 매우 사과하며 통지서 발송에 대한 책임을 지겠다고 합니다. 우편으로 통지서를 받는 데 걸리는 시간을 줄이기 위해 우표가 붙은 엽서 2000장을 따로 준비해 두었다고 말합니다. 한 면은 로고로 제한되어 있지만 다른 한 면은 공백으로 되어 있으며 원하는 내용을 무엇이든 적을 수 있다고 합니다. 당신은 그들의 제안을 보류하고 공간 제약에 맞춰 텍스트를 개발하기 시작합니다. 공급업체의 로고가 알림과 연결되도록 하는 것으로 만족합니다.
이 알림에는 회사가 최근 성 세바스찬 병원의 감염병 클리닉에서 가장 최근에 경험한 정보를 저장하기 위해 공급업체를 고용했다고 설명합니다. 이 공급업체는 정보를 암호화하지 않았으며 더 이상 정보를 제어할 수 없습니다. 영향을 받은 2,000명의 모든 개인은 자신의 정보에 대한 이메일 알림을 신청하도록 초대받습니다. 이들은 회사 웹사이트로 이동하여 간단한 광고를 시청한 후 이름, 이메일 주소, 생년월일을 입력하기만 하면 됩니다.
오전 9시 이전에 사고 대응 협의회에 이메일을 보내 동의를 구합니다. 이 상황에서 문제가 발생하면 동료들에게 책임을 전가하고 싶기 때문입니다. 그 후 8시간 동안 모두가 이메일을 통해 의견을 주고받습니다. 사고 대응팀을 이끌고 있는 컨설턴트는 회사에서는 처음이지만 45년 동안 다른 업계에 종사해 왔기 때문에 최선을 다할 것이라고 말합니다. 협의회에 참석한 세 명의 변호사 중 한 명으로 인해 대화가 잠시 궤도를 벗어났지만 결국 다시 제자리로 돌아옵니다. 결국 그들은 당신이 작성한 공지를 진행하기로 투표하고 벤더의 엽서를 사용합니다.
공급업체가 엽서를 우편으로 보낸 직후, 도난당한 서버에 데이터가 있다는 사실을 알게 되고 회사에 신용 모니터링 서비스를 요청하기로 결정합니다. 인터넷 검색을 통해 신용 모니터링 회사라는 그럴듯한 이름을 가진 CRUDLOK(Credit Under Lock and Key)을 찾습니다. 영업 담당자는 2000명 규모의 계약을 처리해 본 적이 없지만 하루 만에 CRUDLOK이 가능하다는 제안서를 작성합니다:
1. 계약이 체결된 다음 날 모든 사람에게 등록 초대장을 보냅니다.
2. 이름과 국가 식별번호의 마지막 4자리만 입력하면 등록할 수 있습니다.
3. 등록한 날로부터 2년 동안 각 등록자의 크레딧을 모니터링합니다.
4. 매월 신용 등급과 신용 관련 서비스를 시장 요율로 제안하는 이메일을 발송합니다.
5. 회사에 신용 회복 비용의 20%를 청구합니다.
계약을 체결하고 2000명의 개인에게 등록 초대장을 이메일로 보냅니다. 3일 후, 잘된 점과 개선할 수 있었던 점을 모두 문서화합니다. 다음에 사고가 발생했을 때 참조할 수 있도록 파일에 저장합니다.
신용 모니터링과 관련하여 다음 중 가장 우려되는 것은 무엇인가요?

Q70. 시나리오
다음 질문에 답하려면 다음을 사용해 주세요:
Consolidated Records Corporation의 데이터 보호 책임자로서 귀하는 지금까지의 성과에 대해 당연히 만족하고 계실 것입니다. 귀하는 비교적 경미한 데이터 유출 사고로 인해 규제 기관으로부터 경고를 받았으며, 더 심각한 상황이 될 수도 있었습니다. 그러나 귀하는 회사에 근무한 3년 동안 보고할 만한 사고가 발생하지 않았습니다. 사실, 귀사의 프로그램은 데이터 스토리지 업계의 다른 기업들이 자체 프로그램 개발 시 참고할 만한 모델이라고 생각합니다.
여러분은 여러 정책과 절차가 뒤섞여 있는 상황에서 통합 프로그램을 시작했고, 부서와 운영 전반에 걸쳐 일관성을 유지하기 위해 노력했습니다. 그 과정에서 프로그램의 스폰서인 운영 담당 부사장과 변화의 필요성을 명확히 이해하고 시작한 개인정보 보호팀의 도움을 받았습니다.
처음에는 경영진과 데이터를 다루고 고객과 소통하는 일선 직원들 사이에서 회사의 '올드 가드'들은 여러분의 작업에 별다른 신뢰나 열의를 보이지 않았습니다. 발생한 침해 비용뿐만 아니라 현재 운영 상태를 고려할 때 쉽게 발생할 수 있는 비용에 대한 예측을 보여주는 지표를 사용함으로써 곧 리더와 주요 의사 결정권자를 대부분 당신 편으로 만들 수 있었습니다. 다른 직원들의 저항도 만만치 않았지만 각 부서와의 대면 회의와 기본 개인정보 보호 교육 프로그램 개발로 적절한 절차를 시행할 수 있는 충분한 '동의'를 얻게 되었습니다.
이제 개인정보 보호는 개인 정보 또는 보호 대상 데이터와 관련된 모든 현재 작업의 필수 요소이며 모든 기술 개발 프로세스의 최종 결과물의 일부가 되어야 합니다. 이러한 접근 방식은 체계적이지는 않지만 상당히 효과적입니다.
고민에 빠지게 됩니다:
프로그램을 유지하고 단순한 데이터 유출 방지 프로그램 이상으로 발전시키려면 어떻게 해야 할까요? 성공을 기반으로 어떻게 발전할 수 있을까요?
다음 조치 단계는 무엇인가요?
디렉터가 프로그램의 법률, 규정 및 업계 모범 사례 준수 여부를 가장 엄격하게 확인할 수 있는 방법은 무엇인가요?

Q71. 시나리오
다음 질문에 답하려면 다음을 사용해 주세요:
Edufox는 유명한 이러닝 소프트웨어 플랫폼 사용자들의 연례 컨벤션을 주최해 왔으며, 시간이 지남에 따라 대규모 행사로 자리 잡았습니다. 시내의 대형 컨퍼런스 호텔 중 한 곳을 가득 채우고 다른 호텔들로 넘쳐나며 수천 명의 참석자가 3일 동안 프레젠테이션, 패널 토론, 네트워킹을 즐깁니다. 이 컨벤션은 회사의 제품 출시 일정의 중심이자 기존 사용자를 위한 훌륭한 교육 기회입니다. 또한 영업팀은 잠재 고객이 참석하여 다양한 요구 사항을 충족하도록 시스템을 맞춤화할 수 있는 방법을 더 잘 이해하고 이 시스템을 구매하면 가족 같은 커뮤니티에 합류하게 된다는 점을 이해하도록 권장합니다.
올해 컨퍼런스가 불과 3주 앞으로 다가왔고, 이를 지원하는 새로운 이니셔티브에 대한 소식을 들으셨을 것입니다:
참석자를 위한 스마트폰 앱입니다. 이 앱은 늦은 시간 등록을 지원하고, 주요 프레젠테이션을 하이라이트하며, 컨퍼런스 프로그램의 모바일 버전을 제공합니다. 또한 해당 지역에서 최고의 요리를 제공하는 레스토랑 예약 시스템과도 연결됩니다. "정말 멋질 거예요." 개발자인 데이드레 호프먼은 "실제로 작동하기만 한다면요!"라고 말합니다. 그녀는 긴장한 듯 웃으면서도 앱 개발 기간이 촉박해서 현지 회사에 아웃소싱을 맡겼다고 설명합니다. "겨우 세 명의 젊은이들이지만 정말 대단한 일을 해내고 있습니다."라고 그녀는 말합니다. 그녀는 그들이 만든 다른 앱에 대해 설명합니다. 어떻게 이 일을 맡게 되었느냐는 질문에 데이드레는 어깨를 으쓱합니다. "좋은 일을 하니까 제가 선택했습니다." Deidre는 뛰어난 실적을 자랑하는 훌륭한 직원입니다. 그래서 이 급한 프로젝트를 맡게 된 것입니다. 그녀는 회사의 이익을 최우선으로 생각하고 있으며, 더 이상 미룰 수 없는 마감 기한에 맞춰야 한다는 압박을 받고 있다는 것은 의심할 여지가 없습니다. 하지만 앱의 개인 데이터 처리와 보안 안전장치에 대한 우려가 생깁니다. 휴게실에서 점심을 먹으며 이 문제에 대해 이야기하기 시작하지만, 그녀는 재빨리 "필요하다면 보안 문제를 해결할 수 있겠지만, 그럴 일은 없을 것 같다"며 안심시키려 합니다. 이 사람들은 생계를 위해 앱을 만드는 사람들이고, 자신이 무엇을 하는지 잘 알고 있습니다. 걱정이 너무 많지만 그래서 일을 잘하는 거예요!" 이 문제에서 정상적인 프로토콜이 지켜지지 않았다는 점을 지적하고 싶으신 거군요. 특히 어떤 절차가 무시되었나요?

Q72. 데이터 보존 및 파기 정책은 다음을 제외한 모든 요구 사항을 충족해야 합니다.

Q73. 시나리오
다음 질문에 답하려면 다음을 사용해 주세요:
마틴 브리세노는 미국 호텔 체인 Pacific Suites의 캐년 시티 지점의 인사 담당 이사입니다. 1998년, 브리세노는 호텔의 실무 멘토링 모델을 라인 직급에서 관리직으로 승진하는 직원들을 위한 표준화된 교육 프로그램으로 변경하기로 결정했습니다. 그는 일련의 강의, 시나리오, 평가로 구성된 커리큘럼을 개발하여 소규모 그룹을 대상으로 대면 교육을 실시했습니다. 교육에 대한 관심이 높아지자 브리세노는 기업 인사 전문가 및 소프트웨어 엔지니어와 협력하여 온라인 형식으로 프로그램을 제공하기로 했습니다. 온라인 프로그램을 통해 강사 비용을 절감하고 참가자들이 자신의 속도에 맞춰 자료를 학습할 수 있었습니다.
브리세노의 프로그램 성공 소식을 들은 퍼시픽 스위트의 부사장 메리앤 실바-헤이즈는 교육을 확대하여 회사 전체에 제공했습니다. 이 프로그램을 이수한 직원들은 퍼시픽 스위트 호스피탈리티 슈퍼바이저 자격증을 취득했습니다. 2001년에 이르러 이 프로그램은 업계 전반의 교육을 제공하는 프로그램으로 성장했습니다. 전국의 호텔 직원들은 온라인으로 등록하고 비용을 지불하여 이 과정을 수강할 수 있었습니다. 이 프로그램의 수익성이 높아지자 퍼시픽 스위트는 파생 사업인 퍼시픽 호스피탈리티 트레이닝(PHT)을 개발했습니다. PHT는 호텔 업계에서 다양한 전문 자격증을 제공하는 다양한 온라인 과정과 과정 진행 과정을 개발하고 마케팅하는 데 중점을 두었습니다.
PHT에서 사용자 계정을 설정하면 코스 참가자는 정보 라이브러리에 액세스하고, 코스에 등록하고, 코스 종료 인증 시험을 치를 수 있습니다. 사용자가 새 계정을 개설하면 기본적으로 사용자의 이름, 생년월일, 연락처 정보, 신용카드 정보, 고용주, 직위 등 모든 정보가 저장되었습니다. 등록 페이지에는 사용자가 클릭하여 신용카드 번호가 저장되지 않도록 선택할 수 있는 옵트아웃 옵션이 제공되었습니다. 사용자 이름과 비밀번호가 설정되면 사용자는 다시 돌아와서 코스 상태를 확인하고, 자격증을 검토 및 재인쇄하고, 새 코스에 등록하고 결제할 수 있었습니다. 2002년부터 2008년까지 PHT는 70만 개 이상의 전문 자격증을 발급했습니다.
PHT의 수익은 2009년과 2010년에 감소했는데, 이는 업계 규모 축소와 온라인 학습 제공업체와의 경쟁 심화로 인한 피해였습니다. 2011년, Pacific Suites는 온라인 인증 사업에서 손을 떼고 PHT는 해산되었습니다. 교육 프로그램의 시스템과 기록은 퍼시픽 스위트의 디지털 아카이브에 남아 접근하지도 않고 사용되지도 않았습니다. 브리세노와 실바-헤이즈는 다른 회사로 이직했고, 프로그램 종료 후 보관된 데이터를 처리할 계획이 없었습니다. PHT가 해체된 후 Pacific Suites 경영진은 중요한 일상 업무에 관심을 돌렸습니다. 그들은 자원이 허락하는 대로 PHT 자료를 처리할 계획을 세웠습니다.
2012년, 퍼시픽 스위트 컴퓨터 네트워크가 해킹당했습니다. 온라인 예약 시스템에 설치된 멀웨어로 인해 수백 명의 호텔 투숙객의 신용 카드 정보가 노출되었습니다. 해커들은 예약 사이트의 금융 데이터를 노리면서 태평양 호스피탈리티 트레이닝의 고객들의 보관된 교육 과정 데이터와 등록 계정도 발견했습니다. 해킹의 결과로 최근 호텔 투숙객의 신용 카드 번호가 유출되고 모든 내용이 담긴 PHT 데이터베이스가 유출되었습니다.
퍼시픽 스위트의 시스템 분석가가 일상적인 활동 보고서 스캔을 통해 정보 보안 침해를 발견했습니다. 퍼시픽 스위트는 신용카드 회사와 최근 호텔 투숙객에게 침해 사실을 신속하게 알리고 심각한 피해를 예방하기 위해 노력했습니다. 기술 보안 엔지니어들은 PHT 데이터를 처리하는 데 어려움을 겪었습니다.
PHT 코스 관리자와 IT 엔지니어는 정보를 추적, 분류 및 저장할 수 있는 시스템이 없었습니다. 퍼시픽 스위트는 데이터 액세스 및 저장을 위한 절차를 마련하고 있지만, PHT 설립 당시에는 이러한 절차가 시행되지 않았습니다. 퍼시픽 스위트가 PHT 데이터베이스를 인수할 당시에는 소유자나 감독자가 없었습니다. 기술 보안 엔지니어가 어떤 개인 정보가 유출되었는지 파악할 때까지 최소 8,000명의 신용카드 소지자가 사기 행위의 잠재적 피해자였습니다.
회사가 보안 침해에 취약하게 만든 주요 실수는 무엇인가요?

Q74. 시나리오
다음 질문에 답하려면 다음을 사용해 주세요:
바로 여러분이 우려했던 일입니다. 조직의 정보 기술 책임자는 여러분과 상의 없이 직원들이 개인 기기를 사용하여 업무를 수행하도록 장려하는 새로운 이니셔티브를 시작했습니다. 이 이니셔티브는 새로운 고사양 노트북 컴퓨터 구매를 매력적인 옵션으로 만들었고, 할인된 노트북 구매 비용을 1년 동안 급여 공제 방식으로 지급했습니다. 조직은 판매세도 지불하고 있습니다. 한 달이 지나자 조직 직원의 절반 이상이 노트북을 새로 구입했습니다. 시설을 돌아다니다 보면 직원들이 새 컴퓨터에서 즐겁게 노트를 커스터마이징하고 비교하는 모습을 볼 수 있으며, 하루가 끝나면 대부분 노트북을 가져가서 집이나 다른 알 수 없는 장소로 개인 데이터를 가져갈 가능성이 있습니다. 이 정도면 데이터 보호에 대한 악몽을 꾸기에 충분하며, 정보 기술 책임자와 조직의 다른 많은 사람들에게 데이터 손실이나 도난의 불가피성을 포함해 이 새로운 관행의 잠재적 위험성을 지적해 왔습니다.
오늘 사무실에 조직의 마케팅 부서 담당자가 찾아와 잠재적으로 심각한 결과를 초래할 수 있는 이야기를 마지못해 들려주었습니다. 전날 밤, 퇴근 후 곧바로 노트북을 들고 불 앤 혼 펍에 가서 친구들과 당구를 쳤습니다. 노트북을 재킷 아래 벤치에 '안전하게' 넣어둔 채로 스포츠와 사교의 즐거운 밤이 시작되었습니다. 그날 밤 늦게 퇴근 시간이 되어 재킷을 찾았지만 노트북은 사라져 있었습니다. 노트북은 벤치 밑이나 근처의 다른 벤치에도 없었습니다. 웨이터도 노트북을 보지 못했습니다. 친구들이 장난을 친 것이 아니었습니다. 잠 못 이루는 밤을 보낸 후, 그는 오늘 아침 펍에 들러 청소 직원과 이야기를 나누며 이를 확인했습니다. 그들은 그것을 찾지 못했습니다. 노트북이 없어진 거죠. 도난당한 것 같았어요. 그는 당황하고 화가 난 표정으로 당신을 바라보았습니다.
노트북에 고객들의 개인 데이터가 들어 있냐고 묻자 안타깝게도 그는 고개를 끄덕이며 그렇다고 대답합니다. 그는 이름, 주소, 주민등록번호 등 약 100명의 고객에 대한 파일이 들어 있는 것으로 추정합니다. 그는 한숨을 내쉬며 절망에 빠진 채 고개를 손에 짚습니다.
비즈니스 관점에서 직원이 업무 관련 업무에 개인 장비를 사용하는 것을 가장 생산적으로 볼 수 있는 방법은 무엇인가요?

Q75. 다음 중 일반 데이터 보호 규정(GDPR)에 따라 요구되는 데이터 보호 영향 평가(DPIA) 절차에 대해 사실에 부합하는 것은 무엇인가요?

Q76. 시나리오
다음 질문에 답하려면 다음을 사용해 주세요:
Consolidated Records Corporation의 데이터 보호 책임자로서 귀하는 지금까지의 성과에 대해 당연히 만족하고 계실 것입니다. 귀하는 비교적 경미한 데이터 유출 사고로 인해 규제 기관으로부터 경고를 받았으며, 더 심각한 상황이 될 수도 있었습니다. 그러나 귀하는 회사에 근무한 3년 동안 보고할 만한 사고가 발생하지 않았습니다. 사실, 귀사의 프로그램은 데이터 스토리지 업계의 다른 기업들이 자체 프로그램 개발 시 참고할 만한 모델이라고 생각합니다.
여러분은 여러 정책과 절차가 뒤섞여 있는 상황에서 통합 프로그램을 시작했고, 부서와 운영 전반에 걸쳐 일관성을 유지하기 위해 노력했습니다. 그 과정에서 프로그램의 스폰서인 운영 담당 부사장과 변화의 필요성을 명확히 이해하고 시작한 개인정보 보호팀의 도움을 받았습니다.
처음에는 경영진과 데이터를 다루고 고객과 소통하는 일선 직원들 사이에서 회사의 '올드 가드'들은 여러분의 작업에 별다른 신뢰나 열의를 보이지 않았습니다. 발생한 침해 비용뿐만 아니라 현재 운영 상태를 고려할 때 쉽게 발생할 수 있는 비용에 대한 예측을 보여주는 지표를 사용함으로써 곧 리더와 주요 의사 결정권자를 대부분 당신 편으로 만들 수 있었습니다. 다른 직원들의 저항도 만만치 않았지만 각 부서와의 대면 회의와 기본 개인정보 보호 교육 프로그램 개발로 적절한 절차를 시행할 수 있는 충분한 '동의'를 얻게 되었습니다.
이제 개인정보 보호는 개인 정보 또는 보호 대상 데이터와 관련된 모든 현재 작업의 필수 요소이며 모든 기술 개발 프로세스의 최종 결과물의 일부가 되어야 합니다. 이러한 접근 방식은 체계적이지는 않지만 상당히 효과적입니다.
고민에 빠지게 됩니다: 프로그램을 유지 관리하고 단순한 데이터 유출 방지 프로그램 이상으로 발전시키기 위해 무엇을 해야 할까요? 성공을 기반으로 어떻게 발전할 수 있을까요? 다음 실행 단계는 무엇인가요?
통합에서 개발 중인 새롭고 포괄적인 프로그램에 개인 정보 보호 기능을 추가하는 데 가장 효과적으로 사용할 수 있는 프로세스는 무엇인가요?

Q77. 개인정보 운영 수명 주기의 기능은 무엇인가요?

Q78. 한 조직의 개인정보 보호책임자는 급여 관리자로부터 실수로 모든 직원의 퇴직 등록 보고서를 잘못된 공급업체에 발송했다는 통보를 받았습니다.
다음 중 개인정보 보호책임자가 가장 먼저 취해야 할 조치는 무엇인가요?

Q79. 한 조직에서 개인정보 보호 프로그램에 대한 사명 선언문을 수립하고 있습니다. 다음 중 어떤 문구를 사용하는 것이 가장 적합할까요?

Q80. 시나리오
다음 질문에 답하려면 다음을 사용해 주세요:
Amira는 NatGen의 갑작스러운 사업 확장에 흥분하고 있습니다. 오랜 비즈니스 파트너인 Sadie와 공동 최고경영자(CEO)인 Amira는 회사가 친환경 에너지 시장의 주요 경쟁업체로 성장하는 것을 지켜봐 왔습니다. 현재 제품 라인에는 풍력 터빈, 태양 에너지 패널, 지열 시스템용 장비가 포함됩니다. 유능한 개발자 팀 덕분에 NatGen의 제품 라인은 계속 성장할 것입니다.
사업 확장과 함께 아미라와 새디는 회사의 성장을 관리하기 위해 새로 영입한 고위 직원들로부터 조언을 받았습니다. 최근 제안 중 하나는 회사의 법무 및 보안 기능을 결합하여 개인정보 보호법과 회사 자체 개인정보 보호정책을 준수하는 것이었습니다. 각 부서가 각자의 필요에 가장 적합한 방식으로 고객 데이터를 사용, 수집, 저장, 폐기할 수 있기를 바라는 아미라에게 이는 지나치게 복잡하게 들립니다. 그녀는 관리 감독과 복잡한 구조가 직원들이 혁신적인 업무를 수행하는 데 방해가 되는 것을 원하지 않습니다.
새디도 비슷한 생각을 가지고 있습니다. 새 최고 정보 책임자(CIO)는 새 개인정보 보호 프로그램을 설계하는 데 불필요하게 긴 일정이 필요하다고 생각하여 Sadie에게 제안했습니다. 그녀는 NatGen이 고객 및 직원 데이터의 전자적 저장을 위해 가능한 최고의 장비를 사용할 것이라고 그에게 확신시켰습니다. 그녀는 장비 목록과 비용 견적만 있으면 됩니다. 하지만 CIO는 회사가 그 단계에 도달하기 전에 고려해야 할 많은 문제가 있다고 주장합니다.
그럼에도 불구하고 새디와 아미라는 직원들에게 업무에 집중할 수 있는 공간을 제공해야 한다고 주장합니다. 두 CEO는 직원 정책 준수에 대한 모니터링을 하위 관리자에게 맡기고 싶어 합니다. Amira와 Sadie는 이러한 관리자가 특정 부서에 가장 적합한 방식으로 회사 개인정보 보호정책을 조정할 수 있다고 믿습니다. NatGen의 CEO들은 데이터가 항상 정상적인 비즈니스 활동 과정에서 사용되는 한, 친환경 에너지 홍보라는 명목으로 개인정보 보호정책을 유연하게 해석해도 고객층에서 우려를 제기할 가능성이 거의 없다는 것을 알고 있습니다.
새디와 아미라가 가장 당혹스러워했던 것은 아마도 개인정보 보호 규정 준수 핫라인을 설치하라는 CIO의 권고였을 것입니다. 새디와 아미라는 이 점에 대해 고민했지만 직원들이 돌아가면서 개인정보 보호정책 위반 신고를 처리하도록 하는 것으로 타협점을 찾고 있습니다. 직원들은 특별한 준비가 필요하지 않으므로 쉽게 시행할 수 있습니다. 직원들은 들은 우려 사항을 문서화하기만 하면 됩니다.
새디와 아미라는 원칙에 충실하면서 창의성과 직원들의 사기를 꺾는 기업 문화를 경계하는 것이 쉽지 않다는 것을 잘 알고 있습니다. 그들은 모든 고위 직원들이 독특한 접근 방식을 시도함으로써 얻을 수 있는 이점을 알기를 바랍니다.
최고 정보 책임자(CIO)가 필요한 IT 장비 목록을 생성하는 것이 적절하지 않다고 생각하는 가장 큰 이유는 무엇인가요?

Q81. 시나리오
다음 질문에 답하려면 다음을 사용해 주세요:
Ben은 고객을 위한 조명 솔루션을 설계하는 회사 IgNight의 IT 부서에서 근무하고 있습니다. 주로 미국 내 사무실을 고객으로 두고 있지만, 조명기구의 독특한 미적 감각과 에너지 절약형 디자인에 감명을 받아 전 세계 각지의 가정에 설치해 달라고 요청하는 개인 고객도 있습니다.
어느 일요일 아침, 업무용 노트북으로 다가오는 음악 페스티벌 티켓을 구매하던 벤은 우연히 회사 파일에서 비정상적인 사용자 활동을 발견합니다. 대충 살펴본 결과 모든 데이터는 정상적으로 작동하는 것처럼 보였지만 뭔가 이상하다는 느낌을 떨칠 수 없었습니다. 그는 예정에 없던 유지보수를 수행하는 동료일 가능성이 있다는 것을 알지만, 회사 보안팀에서 직원들에게 업계를 노리는 악의적인 공격자 그룹의 공격에 대해 경계하라는 이메일을 보낸 것을 떠올립니다.
벤은 성실한 직원으로 회사를 지키고 싶지만 주말에 열심히 일하는 동료들을 귀찮게 하고 싶지 않습니다. 그는 아침 일찍 이 관리자와 이 문제를 논의할 예정이지만, 이 분야에 대한 자신의 지식을 입증하고 승진을 위해 자신의 주장을 호소할 수 있도록 준비하고 싶어 합니다.
따라야 할 단계를 결정하기 위해 Ben이 검토해야 할 가장 적절한 내부 가이드는 무엇인가요?

Q82. 시나리오
다음 질문에 답하려면 다음을 사용해 주세요:
Ben은 고객을 위한 조명 솔루션을 설계하는 회사 IgNight의 IT 부서에서 근무하고 있습니다.
IgNight의 고객층은 주로 미국 내 사무실로 구성되어 있지만, 일부 개인은 조명기구의 독특한 미적 감각과 에너지 절약형 디자인에 깊은 인상을 받아 전 세계 각지의 가정에 IgNight 설치를 요청하기도 했습니다.
어느 일요일 아침, 업무용 노트북으로 다가오는 음악 페스티벌 티켓을 구매하던 벤은 우연히 회사 파일에서 비정상적인 사용자 활동을 발견합니다. 대충 살펴본 결과 모든 데이터는 정상적으로 작동하는 것처럼 보였지만 뭔가 이상하다는 느낌을 떨칠 수 없었습니다. 그는 예정에 없던 유지보수를 수행하는 동료일 가능성이 있다는 것을 알지만, 회사 보안팀에서 직원들에게 업계를 노리는 악의적인 공격자 그룹의 공격에 대해 경계하라는 이메일을 보낸 것을 떠올립니다.
벤은 성실한 직원으로 회사를 지키고 싶지만 주말에 열심히 일하는 동료들을 귀찮게 하고 싶지 않습니다. 그는 아침 일찍 이 관리자와 이 문제를 논의할 예정이지만, 이 분야에 대한 자신의 지식을 입증하고 승진을 위해 자신의 주장을 호소할 수 있도록 준비하고 싶어 합니다.
따라야 할 단계를 결정하기 위해 Ben이 검토해야 할 가장 적절한 내부 가이드는 무엇인가요?

Q83. 시나리오
다음 질문에 답하려면 다음을 사용해 주세요:
알버트는 15년 동안 전 세계에 장식용 양초를 판매하던 미국의 통신 판매 회사인 트레져 박스에서 근무했지만, 최근 48개 인접 주에 거주하는 고객으로 배송을 제한하기로 결정했습니다. 수년간의 경력에도 불구하고 Albert는 관리직에서 종종 간과되고 있습니다. 승진하지 못한 것에 대한 좌절감과 최근 개인정보 보호 문제에 대한 관심이 더해져 Albert는 긍정적인 변화의 주체가 되기로 결심했습니다.
곧 새로 채용 공고를 낸 직책에 면접을 볼 예정이며, 면접에서 알버트는 회사의 개인정보 보호 프로그램의 허점을 임원진에게 알릴 계획입니다. 그는 회사의 낡은 정책과 절차로 인한 부정적인 결과를 방지한 공로로 승진이라는 보상을 받을 것이라고 확신합니다.
예를 들어, Albert는 AICPA(미국공인회계사협회)/CICA(캐나다공인회계사협회)의 개인정보 성숙도 모델(PMM)에 대해 알게 되었습니다. 알버트는 이 모델이 트레저박스의 개인 데이터 보호 능력을 측정하는 유용한 방법이라고 생각합니다. 알버트는 트레저박스가 이 모델의 최고 수준의 성숙도 요건을 충족하지 못한다는 사실을 알게 되었고, 인터뷰에서 고객에게 가장 엄격한 보안을 제공하기 위해 회사가 이 수준을 충족하도록 지원하겠다고 약속할 것입니다.
알버트는 인터뷰 중에 긍정적인 전망을 보여주고 싶어 합니다. 그는 외부 위협으로부터 고객과 직원의 개인 데이터를 보호하기 위한 회사의 노력을 칭찬하려고 합니다. 하지만 알버트는 회사 내, 특히 다이렉트 전화 마케팅 분야의 높은 이직률을 걱정하고 있습니다. 그는 매일 마케팅 업무를 위해 고용된 낯선 얼굴들을 많이 보게 되고, 점심시간에 장시간 근무와 낮은 급여, 그리고 회사 절차를 무시하는 것 같은 불만을 자주 듣게 됩니다.
또한 트레저박스에서는 최근 두 건의 보안 사고가 발생했습니다. 트레저박스는 내부 감사와 보안 보호 장치 업데이트를 통해 사건에 대응했습니다. 하지만 수익은 여전히 영향을 받고 있는 것으로 보이며, 많은 사람들이 여전히 불신을 품고 있다는 일화도 있습니다. 알버트는 회사의 회복을 돕고 싶어 합니다. 알버트는 자세한 내용은 모르지만 대중이 알지 못하는 사건이 적어도 한 건은 있다는 것을 알고 있습니다. 그는 이 사건을 비밀로 유지하려는 회사의 고집이 회사의 평판을 더욱 떨어뜨릴 수 있다고 생각합니다. 앨버트가 트레저박스의 위상을 되찾는 데 도움을 주고자 하는 또 다른 방법은 고객용 무료 전화번호를 개설하고 우편을 통해 고객의 우려 사항에 보다 효율적으로 대응할 수 있는 절차를 마련하는 것입니다.
Albert는 개선 제안 외에도 회사의 최근 사업 전략에 대한 지식이 면접관들에게 깊은 인상을 줄 것이라고 믿습니다. 예를 들어, Albert는 회사가 앞으로 몇 주 안에 의료용품 회사를 인수할 계획이라는 사실을 알고 있습니다.
알버트는 진취적인 사고로 면접을 보게 될 관리자들에게 자신이 이 직책에 적합하다는 것을 설득하고자 합니다.
앨버트의 관찰에 따르면 경영진은 무엇에 가장 주의를 기울여야 할까요?

Q84. 시나리오
다음 질문에 답하려면 다음을 사용해 주세요:
John은 명망 있는 국제 로펌인 A&M LLP의 새로운 개인정보 보호 책임자입니다. A&M LLP는 미국과 유럽에서 신탁 및 부동산, 인수합병 분야에서 명성을 얻고 있는 로펌입니다.
정보 기술 부서의 동료와 점심 식사를 하던 John은 IT 책임자인 Derrick이 회사의 이메일 연속성 서비스를 기존 이메일 보안 공급업체인 MessageSafe에 아웃소싱할 예정이라는 소식을 들었습니다. 이메일 위생 공급업체로서 성공을 거둔 MessageSafe는 Cloud Inc.의 클라우드 인프라를 임대하여 A&M LLP의 이메일 연속성 서비스를 호스팅함으로써 비즈니스를 확장하고 있습니다.
John은 이 이니셔티브에 대해 매우 우려하고 있습니다. 그는 6개월 전에 보안 침해로 인해 메시지세이프가 뉴스에 나온 적이 있다는 사실을 떠올렸습니다. 즉시 John은 MessageSafe의 이전 보안 침해에 대해 빠르게 조사한 결과, IT 관리자의 의도치 않은 실수로 인해 침해가 발생했다는 사실을 알게 되었습니다. 그는 우려 사항을 해결하기 위해 데릭과 미팅을 예약했습니다.
회의에서 Derrick은 이메일이 회사의 변호사들이 고객과 소통하는 주요 수단이기 때문에 이메일 다운타임을 방지하기 위해 이메일 연속성 서비스를 확보하는 것이 중요하다고 강조했습니다. Derrick은 5년 동안 MessageSafe에서 제공하는 스팸 방지 서비스를 사용해 왔으며, MessageSafe가 제공하는 서비스 품질에 매우 만족하고 있습니다. 메시지세이프가 제공하는 상당한 할인 혜택 외에도, 회사가 이미 메시지세이프와 서비스 계약을 체결하고 있기 때문에 온보딩 프로세스의 속도를 높일 수 있다는 점을 강조했습니다. 기존의 온프레미스 이메일 연속성 솔루션은 곧 수명이 다할 예정이어서 다른 솔루션을 찾을 시간이나 리소스가 없습니다. 또한 오프프레미스 이메일 연속성 서비스는 A&M LLP의 기본 및 보조 데이터 센터의 이메일 서비스가 모두 중단된 경우에만 켜지며, 연속성 서비스를 위해 MessageSafe 사이트에 저장된 이메일 메시지는 30일 후에 자동으로 삭제됩니다.
다음 중 조직 간의 관계에 대한 참된 진술은 어느 것인가요?

Q85. 시나리오
다음 질문에 답하려면 다음을 사용해 주세요:
Consolidated Records Corporation의 데이터 보호 책임자로서 귀하는 지금까지의 성과에 대해 당연히 만족하고 계실 것입니다. 귀하는 비교적 경미한 데이터 유출 사고로 인해 규제 기관으로부터 경고를 받았으며, 더 심각한 상황이 될 수도 있었습니다. 그러나 귀하는 회사에 근무한 3년 동안 보고할 만한 사고가 발생하지 않았습니다. 사실, 귀사의 프로그램은 데이터 스토리지 업계의 다른 기업들이 자체 프로그램 개발 시 참고할 만한 모델이라고 생각합니다.
여러분은 여러 정책과 절차가 뒤섞여 있는 상황에서 통합 프로그램을 시작했고, 부서와 운영 전반에 걸쳐 일관성을 유지하기 위해 노력했습니다. 그 과정에서 프로그램의 스폰서인 운영 담당 부사장과 변화의 필요성을 명확히 이해하고 시작한 개인정보 보호팀의 도움을 받았습니다.
처음에는 경영진과 데이터를 다루고 고객과 소통하는 일선 직원들 사이에서 회사의 '올드 가드'들은 여러분의 작업에 별다른 신뢰나 열의를 보이지 않았습니다. 발생한 침해 비용뿐만 아니라 현재 운영 상태를 고려할 때 쉽게 발생할 수 있는 비용에 대한 예측을 보여주는 지표를 사용함으로써 곧 리더와 주요 의사 결정권자를 대부분 당신 편으로 만들 수 있었습니다. 다른 직원들의 저항도 만만치 않았지만 각 부서와의 대면 회의와 기본 개인정보 보호 교육 프로그램 개발로 적절한 절차를 시행할 수 있는 충분한 '동의'를 얻게 되었습니다.
이제 개인정보 보호는 개인 정보 또는 보호 대상 데이터와 관련된 모든 현재 작업의 필수 요소이며 모든 기술 개발 프로세스의 최종 결과물의 일부가 되어야 합니다. 이러한 접근 방식은 체계적이지는 않지만 상당히 효과적입니다.
고민에 빠지게 됩니다:
프로그램을 유지 관리하고 단순한 데이터 유출 방지 프로그램 이상으로 발전시키려면 어떻게 해야 할까요?
성공을 기반으로 어떻게 발전할 수 있을까요?
다음 조치 단계는 무엇인가요?
다음 중 데이터 보호를 구현하기 위한 시스템 접근 방식의 지침으로 가장 효과적으로 사용할 수 있는 것은 무엇인가요?

Q86. 시나리오
다음 질문에 답하려면 다음을 사용해 주세요:
헨리 홈 퍼니싱은 거의 40년 동안 고급 가구를 제작해 왔습니다. 하지만 새로운 소유주인 Anton은 회사 본사를 둘러본 후 어느 정도 정돈되지 않은 것을 발견했습니다. 삼촌인 Henry는 항상 데이터 처리가 아닌 생산에 집중해 왔기 때문에 Anton은 걱정이 되었습니다. 여러 창고에서 현재 및 전직 직원과 고객의 개인 데이터가 들어 있는 것으로 보이는 종이 파일, 디스크, 오래된 컴퓨터를 발견했습니다. Anton은 단 한 번의 침입으로 충성도 높은 고객과의 관계가 돌이킬 수 없을 정도로 손상될 수 있다는 것을 알고 있습니다. 그는 개인 정보의 손실을 제로로 만들겠다는 목표를 세웠습니다.
이를 위해 Anton은 원래 회사의 물리적 건물에 출입할 수 있는 사람을 제한할 계획이었습니다. 하지만 삼촌의 부사장이자 오랜 친구인 Kenneth는 회사에 보관된 모든 종이 기록을 전자 저장소로 전환하는 것을 찬성하며 Anton의 아이디어를 보류하고 싶어 했습니다. Kenneth는 이 과정이 1~2년 정도밖에 걸리지 않을 것이라고 생각합니다. Anton은 이 아이디어가 마음에 들어 자신과 Kenneth만 액세스할 수 있는 암호로 보호된 시스템을 구상합니다.
Anton은 또한 대부분의 자회사를 매각할 계획입니다. 이렇게 하면 그의 업무가 더 쉬워질 뿐만 아니라 저장된 데이터의 관리도 간소화될 것입니다. 길가에 있는 미술관이나 주방용품 가게와 같은 자회사의 대표들은 각자의 정보 관리를 책임지게 될 것입니다. 그러면 Anton이 아직 소유하고 있는 불필요한 자회사 데이터는 향후 몇 년 내에 모두 파기할 수 있습니다.
최근 보안 사고에 대해 알게 된 Anton은 고객에게 알리는 것이 또 다른 중요한 단계라는 것을 깨닫습니다. 케네스는 분실된 하드 드라이브 두 대는 모두 암호화되어 있고 민감한 데이터는 아니기 때문에 걱정할 필요가 없다고 주장합니다. 하지만 Anton은 어떤 위험도 감수하고 싶지 않습니다. 그는 모든 직원과 고객에게 안전에 대한 알림 편지를 보낼 계획입니다.
또한 Anton은 개인정보 보호와 관련된 모든 법률, 규제 및 시장 요구 사항을 준수하는지 확인해야 합니다. Kenneth는 약 10년 전에 회사의 온라인 사이트 개발을 감독했지만 최근의 온라인 마케팅 법률에 대해 잘 알고 있다고 확신하지 못합니다. Anton은 법률에 대한 배경 지식이 있는 신뢰할 수 있는 다른 직원에게 규정 준수 평가 업무를 맡깁니다. 철저한 분석 후 Anton은 회사가 향후 5년 동안은 안전할 것이며, 그 시점에 다시 점검을 의뢰할 수 있다는 것을 알게 됩니다.
이 분석의 문서화는 감사인의 실사를 보여줄 것입니다.
Anton은 회사의 경영 개선을 위한 긴 여정을 시작했지만 그만한 가치가 있다는 것을 알고 있습니다. Anton은 삼촌의 유산이 앞으로도 계속 이어지기를 원합니다.
시설의 데이터 보안 시스템을 개선하기 위해 Anton은 다음 중 어떤 계획을 실행하는 것을 고려해야 합니까?

Q87. 시나리오
다음 질문에 답하려면 다음을 사용해 주세요:
당신은 유럽과 미주 여러 국가에 거주하는 개인의 정보를 취급하는 회사의 개인정보 보호 부서를 이끌고 있습니다. 그날 아침 계약 담당자가 전화 통화를 요청하는 메시지를 보내면서 개인정보 보호 검토를 시작합니다. 메시지에는 명확성과 세부 사항이 부족하지만 데이터가 분실된 것으로 추정합니다.
계약 담당자에게 문의한 결과, 그는 벤더가 고객에 대한 정보를 부적절하게 공유했다는 내용의 편지를 우편으로 받았다고 말합니다. 그는 공급업체에 전화하여 귀사가 최근 정확히 2000명의 개인을 대상으로 가장 최근의 의료 서비스 경험에 대해 설문조사를 실시하여 이를 데이터베이스에 기록하기 위해 공급업체에 보냈지만 공급업체가 계약에서 약속한 대로 데이터베이스를 암호화하는 것을 잊어버렸다는 사실을 확인했습니다. 그 결과 공급업체는 데이터에 대한 통제권을 잃었습니다.
판매업체는 매우 사과하며 통지서 발송에 대한 책임을 지겠다고 합니다. 우편으로 통지서를 받는 데 걸리는 시간을 줄이기 위해 우표가 붙은 엽서 2000장을 따로 준비해 두었다고 말합니다. 한 면은 로고로 제한되어 있지만 다른 한 면은 공백으로 되어 있으며 원하는 내용을 무엇이든 적을 수 있다고 합니다. 당신은 그들의 제안을 보류하고 공간 제약에 맞춰 텍스트를 개발하기 시작합니다. 공급업체의 로고가 알림과 연결되도록 하는 것으로 만족합니다.
이 알림에는 회사가 최근 성 세바스찬 병원의 감염병 클리닉에서 가장 최근에 경험한 정보를 저장하기 위해 공급업체를 고용했다고 설명합니다. 이 공급업체는 정보를 암호화하지 않았으며 더 이상 정보를 제어할 수 없습니다. 영향을 받은 2,000명의 모든 개인은 자신의 정보에 대한 이메일 알림을 신청하도록 초대받습니다. 이들은 회사 웹사이트로 이동하여 간단한 광고를 시청한 후 이름, 이메일 주소, 생년월일을 입력하기만 하면 됩니다.
오전 9시 이전에 사고 대응 협의회에 이메일을 보내 동의를 구합니다. 이 상황에서 문제가 발생하면 동료들에게 책임을 전가하고 싶기 때문입니다. 그 후 8시간 동안 모두가 이메일을 통해 의견을 주고받습니다. 사고 대응팀을 이끌고 있는 컨설턴트는 회사에서는 처음이지만 45년 동안 다른 업계에 종사해 왔기 때문에 최선을 다할 것이라고 말합니다. 협의회에 참석한 세 명의 변호사 중 한 명으로 인해 대화가 잠시 궤도를 벗어났지만 결국 다시 제자리로 돌아옵니다. 결국 그들은 당신이 작성한 공지를 진행하기로 투표하고 벤더의 엽서를 사용합니다.
공급업체가 엽서를 우편으로 보낸 직후, 도난당한 서버에 데이터가 있다는 사실을 알게 되고 회사에 신용 모니터링 서비스를 요청하기로 결정합니다. 인터넷 검색을 통해 신용 모니터링 회사라는 그럴듯한 이름을 가진 CRUDLOK(Credit Under Lock and Key)을 찾습니다. 영업 담당자는 2000명 규모의 계약을 처리해 본 적이 없지만 하루 만에 CRUDLOK이 가능하다는 제안서를 작성합니다:
1. 계약이 체결된 다음 날 모든 사람에게 등록 초대장을 보냅니다.
2. 이름과 국가 식별번호의 마지막 4자리만 입력하면 등록할 수 있습니다.
3. 등록한 날로부터 2년 동안 각 등록자의 크레딧을 모니터링합니다.
4. 매월 신용 등급과 신용 관련 서비스를 시장 요율로 제안하는 이메일을 발송합니다.
5. 회사에 신용 회복 비용의 20%를 청구합니다.
계약을 체결하고 2000명의 개인에게 등록 초대장을 이메일로 보냅니다. 3일 후, 잘된 점과 개선할 수 있었던 점을 모두 문서화합니다. 다음에 사고가 발생했을 때 참조할 수 있도록 파일에 저장합니다.
다음 중 사건의 어떤 요소를 적절하게 판단했나요?