CIPT 문제 116
대본
라이트 블루 헬스(LBH)는 환자의 전자 의료 기록에서 개인 건강 정보를 수집하는 새로운 웹 및 모바일 애플리케이션을 개발하는 헬스케어 기술 회사입니다. 이 애플리케이션은 머신 러닝 기술을 활용하여 익명화된 전자 기록을 기반으로 의료 치료법을 추천합니다. 환자는 다른 앱에서 수집한 건강 데이터도 공유할 수 있습니다.
이 애플리케이션은 전자 건강 기록을 가져오고 승인된 의료 제공자와 공유하기 전에 환자의 동의를 필요로 합니다. 환자는 치료 권장 사항을 검토하고 공유할 수 있으며, 위치 데이터 공유, 사진 업로드, 앱 접근 권한 위임도 가능합니다.
LBH의 개인정보보호팀은 애플리케이션 개발, 보안 및 비즈니스 이해관계자들과 정기적으로 협력합니다. LBH는 개발 단계부터 개인정보보호를 설계 단계에 통합합니다.
개인정보 영향평가(PIA) 과정에서 개인정보보호팀은 다음 사항을 평가합니다.
* 앱이 목적 달성에 필요하지 않은 설명적/인구통계학적 데이터를 수집하는지 여부
* 앱이 사용자 동의 없이 개인 데이터를 수집할 수 있는지 여부
개인정보보호팀은 현재 개발 중인 새로운 Light Blue Health 애플리케이션에 대한 개인정보영향평가(PIA)를 진행하고 있습니다. 다음 중 개인정보 침해로 이어질 가능성이 가장 높은 위험 요소를 가장 잘 설명하는 것은 무엇입니까?
라이트 블루 헬스(LBH)는 환자의 전자 의료 기록에서 개인 건강 정보를 수집하는 새로운 웹 및 모바일 애플리케이션을 개발하는 헬스케어 기술 회사입니다. 이 애플리케이션은 머신 러닝 기술을 활용하여 익명화된 전자 기록을 기반으로 의료 치료법을 추천합니다. 환자는 다른 앱에서 수집한 건강 데이터도 공유할 수 있습니다.
이 애플리케이션은 전자 건강 기록을 가져오고 승인된 의료 제공자와 공유하기 전에 환자의 동의를 필요로 합니다. 환자는 치료 권장 사항을 검토하고 공유할 수 있으며, 위치 데이터 공유, 사진 업로드, 앱 접근 권한 위임도 가능합니다.
LBH의 개인정보보호팀은 애플리케이션 개발, 보안 및 비즈니스 이해관계자들과 정기적으로 협력합니다. LBH는 개발 단계부터 개인정보보호를 설계 단계에 통합합니다.
개인정보 영향평가(PIA) 과정에서 개인정보보호팀은 다음 사항을 평가합니다.
* 앱이 목적 달성에 필요하지 않은 설명적/인구통계학적 데이터를 수집하는지 여부
* 앱이 사용자 동의 없이 개인 데이터를 수집할 수 있는지 여부
개인정보보호팀은 현재 개발 중인 새로운 Light Blue Health 애플리케이션에 대한 개인정보영향평가(PIA)를 진행하고 있습니다. 다음 중 개인정보 침해로 이어질 가능성이 가장 높은 위험 요소를 가장 잘 설명하는 것은 무엇입니까?
CIPT 문제 117
침해 대응 센터의 주요 기능은 무엇입니까?
CIPT 문제 118
대본
당신은 방금 Ancillary.com에 채용되었습니다. Ancillary.com은 수영장용 튜브에 붙이는 방수 스티커부터 선글라스용 장식 밴드와 케이스까지, 세상 모든 것에 필요한 액세서리를 판매하는 회사입니다. 휴대폰 케이스, 전자담배 케이스, 와인 주둥이, 가정 및 차량용 방향제, 책꽂이, 주방용품, 컴퓨터 화면 보호대, 여권 지갑, 원예 도구, 정원 장식품, 그리고 건강 및 미용 제품 카탈로그까지 없는 게 없을 정도입니다. CEO가 늘 말하듯이, Ancillary는 의심할 여지 없이 단일 회사로는 전 세계에서 가장 다양한 저가 소비자 제품을 제공합니다.
앤실러리의 사업 운영 방식 또한 매우 다양합니다. 이 회사는 고객의 집에서 소규모 파티를 열어 가정용품과 미용 제품을 판매하는 영업 컨설턴트 팀으로 시작했으며, 이러한 기본 사업은 여전히 활발하게 운영되고 있습니다. 하지만 현재는 자동차 관련 제품을 판매하는 "My Cool Ride"나 젊은 층을 겨냥한 장비를 판매하는 "Zoomer"와 같이 특정 산업 및 인구 통계학적 집단을 대상으로 하는 온라인 소매 사이트를 통해 제품을 판매하고 있습니다. 앤실러리는 개인의 주도성과 유연성을 중시하는 분산형 모델을 기반으로 핵심 자산을 확보하면서도 수많은 사업부, 단위 조직 및 지사로 구성된 복잡한 기업 구조를 가지고 있습니다. 이러한 소매 사이트들은 각기 다른 방식으로 운영되는 듯하며, 관련 규정 및 업계 표준을 준수하고 있는지에 대한 의문이 제기됩니다. 또한 다양한 로그인 및 인증 프로토콜로 인해 이러한 사이트에 대한 기술 지원 제공에도 어려움이 있습니다.
당신은 Ancillary에서 세 가지 중요한 신규 프로젝트를 이끌어 달라는 요청을 받았습니다.
첫 번째는 회사 문화를 통합하기 위한 다각적인 계획의 일환으로 개인 데이터 관리 및 보안 구성 요소입니다. 이 프로젝트에서는 직원들에게 회사 데이터와 승인된 애플리케이션을 제공하기 위해 일련의 제3자 서버를 사용하는 것을 고려하고 있습니다.
두 번째 프로젝트는 방문 판매원들에게 판매 시점 관리(POS) 기술을 제공하여 종이 수표와 수동 신용 카드 인쇄 방식에서 벗어날 수 있도록 하는 것입니다.
마지막으로, 당신은 회사 전체 제품 라인과 제휴사 제품까지 모두 아우르는 단일 웹 스토어의 개인정보 보호 시스템을 개발해야 하는 임무를 맡았습니다. 이 새로운 통합 웹사이트는 "언더 더 선(Under the Sun)"이라는 이름으로 운영될 예정입니다. 마케팅 이사는 이 웹사이트가 자사 제품 판매뿐 아니라 유료 광고를 통해 다른 소매업체의 제품도 함께 판매하기를 원합니다. 당신은 이러한 접근 방식이 제기하는 보안 문제에 대해 경영진에게 브리핑해야 합니다.
이 시나리오에서 첫 번째 프로젝트에서 고려 중인 기술은 무엇입니까?
당신은 방금 Ancillary.com에 채용되었습니다. Ancillary.com은 수영장용 튜브에 붙이는 방수 스티커부터 선글라스용 장식 밴드와 케이스까지, 세상 모든 것에 필요한 액세서리를 판매하는 회사입니다. 휴대폰 케이스, 전자담배 케이스, 와인 주둥이, 가정 및 차량용 방향제, 책꽂이, 주방용품, 컴퓨터 화면 보호대, 여권 지갑, 원예 도구, 정원 장식품, 그리고 건강 및 미용 제품 카탈로그까지 없는 게 없을 정도입니다. CEO가 늘 말하듯이, Ancillary는 의심할 여지 없이 단일 회사로는 전 세계에서 가장 다양한 저가 소비자 제품을 제공합니다.
앤실러리의 사업 운영 방식 또한 매우 다양합니다. 이 회사는 고객의 집에서 소규모 파티를 열어 가정용품과 미용 제품을 판매하는 영업 컨설턴트 팀으로 시작했으며, 이러한 기본 사업은 여전히 활발하게 운영되고 있습니다. 하지만 현재는 자동차 관련 제품을 판매하는 "My Cool Ride"나 젊은 층을 겨냥한 장비를 판매하는 "Zoomer"와 같이 특정 산업 및 인구 통계학적 집단을 대상으로 하는 온라인 소매 사이트를 통해 제품을 판매하고 있습니다. 앤실러리는 개인의 주도성과 유연성을 중시하는 분산형 모델을 기반으로 핵심 자산을 확보하면서도 수많은 사업부, 단위 조직 및 지사로 구성된 복잡한 기업 구조를 가지고 있습니다. 이러한 소매 사이트들은 각기 다른 방식으로 운영되는 듯하며, 관련 규정 및 업계 표준을 준수하고 있는지에 대한 의문이 제기됩니다. 또한 다양한 로그인 및 인증 프로토콜로 인해 이러한 사이트에 대한 기술 지원 제공에도 어려움이 있습니다.
당신은 Ancillary에서 세 가지 중요한 신규 프로젝트를 이끌어 달라는 요청을 받았습니다.
첫 번째는 회사 문화를 통합하기 위한 다각적인 계획의 일환으로 개인 데이터 관리 및 보안 구성 요소입니다. 이 프로젝트에서는 직원들에게 회사 데이터와 승인된 애플리케이션을 제공하기 위해 일련의 제3자 서버를 사용하는 것을 고려하고 있습니다.
두 번째 프로젝트는 방문 판매원들에게 판매 시점 관리(POS) 기술을 제공하여 종이 수표와 수동 신용 카드 인쇄 방식에서 벗어날 수 있도록 하는 것입니다.
마지막으로, 당신은 회사 전체 제품 라인과 제휴사 제품까지 모두 아우르는 단일 웹 스토어의 개인정보 보호 시스템을 개발해야 하는 임무를 맡았습니다. 이 새로운 통합 웹사이트는 "언더 더 선(Under the Sun)"이라는 이름으로 운영될 예정입니다. 마케팅 이사는 이 웹사이트가 자사 제품 판매뿐 아니라 유료 광고를 통해 다른 소매업체의 제품도 함께 판매하기를 원합니다. 당신은 이러한 접근 방식이 제기하는 보안 문제에 대해 경영진에게 브리핑해야 합니다.
이 시나리오에서 첫 번째 프로젝트에서 고려 중인 기술은 무엇입니까?
CIPT 문제 119
대본
다음 질문에 답하실 때 아래 내용을 참고해 주십시오.
의료 분야 고객을 전문으로 하는 컨설팅 회사의 규정 준수 감사관인 척은 고객사의 운영 실태를 현장 검토하기 위해 고객사 사무실로 출장을 가야 했습니다. 그는 공항에 도착하자마자 핀리 모터스에서 렌터카를 빌려 고객사 사무실까지 왕복했습니다. 척은 렌터카 계약서에 전자 서명을 했으며, 계약서에는 그의 이름, 주소, 운전면허증, 차량 제조사/모델, 요금 및 렌터카 거래에 대한 추가 정보가 포함되어 있었습니다. 출장 둘째 날 저녁, 척은 저녁 식사를 하러 가는 길에 신호 위반 카메라에 적발되었습니다. 척은 위반 사항에 대해 언급하지 않고 주말에 렌터카 업체에 차량을 반납했고, 핀리 모터스는 척의 이메일 주소로 최종 영수증 사본을 발송했습니다.
이후 지역 경찰은 신호위반 단속 카메라 영상을 검토했습니다. 차량 등록 소유주가 핀리 모터스였기 때문에 위반 사실과 벌금 부과에 대한 통지서가 발송되었습니다. 이 통지서에는 차량 번호판, 위반 날짜 및 시간, 운전자 사진, 그리고 추가 검토를 위해 위반 영상이 담긴 웹 포털 링크가 포함되어 있었습니다. 그러나 핀리 모터스는 당시 차량을 운전하지 않았기 때문에 위반에 대한 책임이 없다고 판단하여 사건을 AMP Payment Resources로 이관했습니다. AMP Payment Resources는 척이 차량 인수 시 서명한 렌트 계약서를 통해 운전자가 척임을 확인하고, 벌금 징수를 위해 척에게 서면으로 직접 연락했습니다.
척은 AMP Payment Resources의 웹 포털을 통해 해당 사건을 검토한 후 개인 신용카드로 벌금을 납부했습니다. 2주 후, 핀리 모터스는 척에게 향후 렌터카 이용 시 10% 할인을 제공하는 이메일 프로모션을 보냈습니다.
핀리 모터스가 척의 정보를 AMP Payment Resources에 전송할 때 가장 안전한 방법은 무엇일까요?
다음 질문에 답하실 때 아래 내용을 참고해 주십시오.
의료 분야 고객을 전문으로 하는 컨설팅 회사의 규정 준수 감사관인 척은 고객사의 운영 실태를 현장 검토하기 위해 고객사 사무실로 출장을 가야 했습니다. 그는 공항에 도착하자마자 핀리 모터스에서 렌터카를 빌려 고객사 사무실까지 왕복했습니다. 척은 렌터카 계약서에 전자 서명을 했으며, 계약서에는 그의 이름, 주소, 운전면허증, 차량 제조사/모델, 요금 및 렌터카 거래에 대한 추가 정보가 포함되어 있었습니다. 출장 둘째 날 저녁, 척은 저녁 식사를 하러 가는 길에 신호 위반 카메라에 적발되었습니다. 척은 위반 사항에 대해 언급하지 않고 주말에 렌터카 업체에 차량을 반납했고, 핀리 모터스는 척의 이메일 주소로 최종 영수증 사본을 발송했습니다.
이후 지역 경찰은 신호위반 단속 카메라 영상을 검토했습니다. 차량 등록 소유주가 핀리 모터스였기 때문에 위반 사실과 벌금 부과에 대한 통지서가 발송되었습니다. 이 통지서에는 차량 번호판, 위반 날짜 및 시간, 운전자 사진, 그리고 추가 검토를 위해 위반 영상이 담긴 웹 포털 링크가 포함되어 있었습니다. 그러나 핀리 모터스는 당시 차량을 운전하지 않았기 때문에 위반에 대한 책임이 없다고 판단하여 사건을 AMP Payment Resources로 이관했습니다. AMP Payment Resources는 척이 차량 인수 시 서명한 렌트 계약서를 통해 운전자가 척임을 확인하고, 벌금 징수를 위해 척에게 서면으로 직접 연락했습니다.
척은 AMP Payment Resources의 웹 포털을 통해 해당 사건을 검토한 후 개인 신용카드로 벌금을 납부했습니다. 2주 후, 핀리 모터스는 척에게 향후 렌터카 이용 시 10% 할인을 제공하는 이메일 프로모션을 보냈습니다.
핀리 모터스가 척의 정보를 AMP Payment Resources에 전송할 때 가장 안전한 방법은 무엇일까요?
CIPT 문제 120
대본
다음 질문에 답하실 때 아래 내용을 참고해 주십시오.
조던은 최근 미국 캘리포니아에 본사를 둔 피트니스 트래커 스타트업에 정보 프라이버시 및 보안 책임자(Information Privacy and Security Officer)로 합류했습니다. 이 회사는 빠르게 성장하고 있지만, 피트니스 트래커를 직접 판매하지는 않습니다. 대신 주요 국가 전역에 걸쳐 제3자 소매업체 유통망을 활용하고 있습니다. 매장이 없음에도 불구하고 EU 시장에서 78%의 시장 점유율을 확보하고 있습니다. 회사와 제품을 소개하는 웹사이트와 고객이 회원 정보를 확인할 수 있는 회원 전용 섹션을 운영하고 있습니다. 회원 가입 시에는 이메일 주소와 실제 주소만 제공하면 되며, 이를 통해 사용자의 지역과 국가에 맞춰 웹사이트를 맞춤 설정할 수 있습니다. 또한 모든 회원에게는 매달 피트니스 팁, 영양 정보, 사용자 행동 및 선호도에 기반한 파트너사 제품 추천 등을 담은 뉴스레터가 발송됩니다.
조던은 자사에는 일반 데이터 보호 규정(GDPR)이 적용되지 않는다고 주장합니다. 그는 회사가 EU에 설립되어 있지 않으며, 해당 지역에 데이터 처리 담당자도 없다고 말합니다. 또한, EU 내에서 마케팅 활동을 하지 않고 소비자에게 직접 판매도 하지 않기 때문에 EU에서 "상품이나 서비스를 제공하는" 행위가 없다고 강조합니다. 조던은 고객들이 자발적으로 제품을 구매하는 것이며, 회사가 제품을 "제공"하는 행위는 없다고 주장합니다.
피트니스 트래커에는 수면 추적, GPS 추적, 심박수 모니터링과 같은 고급 기능이 포함되어 있습니다.
무선 동기화, 칼로리 계산 및 걸음 수 추적 기능을 제공합니다. 수면 패턴, 심박수 등의 데이터를 수집하려면 스마트워치를 스마트폰이나 컴퓨터와 페어링해야 합니다. 기기에서 수집된 모든 정보는 처리를 위해 회사 서버로 전송된 후, 결과가 스마트폰이나 컴퓨터로 전송됩니다.
조던은 회사가 은행 정보나 사회 보장 정보를 수집하지 않으므로 개인 정보가 관련되어 있지 않다고 주장합니다.
GDPR에서 규정하는 바와 같이 회사가 개인 정보를 수집하지 않는다는 조던의 주장이 왜 부정확한가요?
다음 질문에 답하실 때 아래 내용을 참고해 주십시오.
조던은 최근 미국 캘리포니아에 본사를 둔 피트니스 트래커 스타트업에 정보 프라이버시 및 보안 책임자(Information Privacy and Security Officer)로 합류했습니다. 이 회사는 빠르게 성장하고 있지만, 피트니스 트래커를 직접 판매하지는 않습니다. 대신 주요 국가 전역에 걸쳐 제3자 소매업체 유통망을 활용하고 있습니다. 매장이 없음에도 불구하고 EU 시장에서 78%의 시장 점유율을 확보하고 있습니다. 회사와 제품을 소개하는 웹사이트와 고객이 회원 정보를 확인할 수 있는 회원 전용 섹션을 운영하고 있습니다. 회원 가입 시에는 이메일 주소와 실제 주소만 제공하면 되며, 이를 통해 사용자의 지역과 국가에 맞춰 웹사이트를 맞춤 설정할 수 있습니다. 또한 모든 회원에게는 매달 피트니스 팁, 영양 정보, 사용자 행동 및 선호도에 기반한 파트너사 제품 추천 등을 담은 뉴스레터가 발송됩니다.
조던은 자사에는 일반 데이터 보호 규정(GDPR)이 적용되지 않는다고 주장합니다. 그는 회사가 EU에 설립되어 있지 않으며, 해당 지역에 데이터 처리 담당자도 없다고 말합니다. 또한, EU 내에서 마케팅 활동을 하지 않고 소비자에게 직접 판매도 하지 않기 때문에 EU에서 "상품이나 서비스를 제공하는" 행위가 없다고 강조합니다. 조던은 고객들이 자발적으로 제품을 구매하는 것이며, 회사가 제품을 "제공"하는 행위는 없다고 주장합니다.
피트니스 트래커에는 수면 추적, GPS 추적, 심박수 모니터링과 같은 고급 기능이 포함되어 있습니다.
무선 동기화, 칼로리 계산 및 걸음 수 추적 기능을 제공합니다. 수면 패턴, 심박수 등의 데이터를 수집하려면 스마트워치를 스마트폰이나 컴퓨터와 페어링해야 합니다. 기기에서 수집된 모든 정보는 처리를 위해 회사 서버로 전송된 후, 결과가 스마트폰이나 컴퓨터로 전송됩니다.
조던은 회사가 은행 정보나 사회 보장 정보를 수집하지 않으므로 개인 정보가 관련되어 있지 않다고 주장합니다.
GDPR에서 규정하는 바와 같이 회사가 개인 정보를 수집하지 않는다는 조던의 주장이 왜 부정확한가요?