위협 모델링을 통한 현 상태 평가

1. 무엇을 보호하고 싶은가?

A는 활동의 대부분을 컴퓨터와 스마트폰을 이용해 온라인으로 진행한다. 구글닥스와 구글드라이브를 이용해 문서를 만들고 공유하고 보관하며, 스마트폰의 메신저 앱을 통해 단체의 동료들과 소통한다. 또한 개인 SNS는 물론이고 단체의 SNS계정도 활발히 운영한다. SNS에는 활동에 관한 내용 뿐만 아니라 사적인 이야기를 올리기도 한다. A는 이러한 전반적인 온라인 상의 활동을 보호하고 싶다.
 

2. 누구로부터 보호하고 싶은가?

A는 집회와 시위에 자주 간다. 단순히 참석하는 것 뿐만 아니라 직접 기획과 홍보를 할 때도 있다. 이로 인해 정부나 특정 기업과 마찰을 빚을 가능성이 높다. 즉 A는 정부와 기업으로부터 위의 정보들을 보호하고 싶다. 또한 A가 활동하는 사안에 따라, 온라인 상에서 다른 사람들과 충돌하는 경우가 있다. 건설적인 논쟁도 있지만 때로는 직접적인 협박을 받기도 한다. 따라서 특정한 그룹으로부터 정보들을 보호해야 할 필요성이 있다.
 

3. 그것을 보호할 필요성이 얼마나 있는가? | 실패할 경우 어떠한 나쁜 결과가 초래되는가?

A의 활동과 A가 참석하고 기획하는 집회 및 시위는 때때로 불법의 여지가 있다. 불법의 여지가 없다 하더라도 정부기관이나 기업에게 빌미를 줄 수 있다. 이러한 법적 공방은 그 자체로 A의 생활과 활동에 지장을 줄 것이다. 또한 온라인 상에서 A와 충돌한 누군가가 A의 SNS계정을 해킹하거나 사생활을 염탐할 가능성도 있다.
 

4. 나쁜 결과들을 막기 위해 얼마나 많은 어려움을 극복할 의향이 있는가?

A가 활동하는 단체는 오로지 시민들의 후원으로만 운영된다. 그렇기에 디지털 보안에 추가적인 돈을 투자하는 것은 쉽지 않은 일이다. 하지만 약간의 불편함을 감수하거나, 기존의 앱과 프로그램을 바꿀 의향은 있다.
 

디지털 보안 정책 세우기

평소 사용하던 텔레그램 메신저 대신 시그널을 사용한다.

A는 카카오톡 압수수색 사건 이후, 정부의 감시를 피하고자 텔레그램을 사용해왔다. 텔레그램은 보안 메신저로 광범위하게 알려졌지만, ‘비밀채팅’ 을 사용하지 않는 이상 종단간 암호화를 지원하지 않는다. 시그널 사용에 추가적인 비용이 필요하지 않고 기능 상 텔레그램과 큰 차이가 없다는 점을 고려하여, 활동과 관련된 소통은 시그널 메신저로 진행하기로 했다.

자료 보관과 문서 작성, 이메일 사용에 있어 특정 회사(구글)에 대한 의존을 줄인다.

일반적인 상황에서 A의 활동이 특정 회사를 적으로 돌릴 확률은 적다. 하지만 암호화가 되어 있지 않은 상용 클라우드 서비스에 자신의 활동 정보가 저장된다는 사실을 경계하고(정부가 해당 회사에 A에 대한 자료를 요구할 수도 있다), 하나의 계정에 수많은 정보가 담겨있는 만큼(계정 하나가 공격 받으면 연관된 모든 계정이 위험하다) 그 의존도를 낮추기로 했다.
비용과 효율을 고려하여 대체 프로그램를 사용하는 대신, 보안이 중요한 문서는 아예 클라우드에 보관하지 않거나 이메일로 주고 받지 않기로 했다.

스마트폰을 암호화한다.

종단간 암호화 메신저를 이용해도 그 기록이 스마트폰 내에 남아있으면 문제가 될 수도 있다. A는 스마트폰을 암호화하고 그 암호를 강력하게 설정하여 설령 압수수색을 당하거나 도난을 당해도 공격자가 스마트폰 안의 데이터에 쉽게 접근할 수 없게 만들었다.

온라인 서비스 및 계정의 암호와 보안을 강화한다.

A는 하나의 구글 계정으로 다양한 서비스에 가입했다, 서점과 쇼핑몰 웹사이트부터 스트리밍 서비스, 그리고 SNS계정까지. 먼저 A는 해당 계정 로그인에 있어 2단계 인증을 설정했다. 그리고 일상적으로 사용하는 서비스와 활동과 관련이 되는 서비스의 계정 정보를 분리하기로 했다. 또한 길고 강력한 조합의 암호로 변경했고, 이를 관리하기 위해 암호 관리 프로그램을 이용하기로 했다.

집회 및 시위에 참석하기 전에는 보안 단계를 높인다.

A는 집회 및 시위에 참석할 때 스마트폰을 집에 두고 다닐 생각이었다. 하지만 실시간 상황 공유와 SNS 활동을 위해 스마트폰을 들고 다닐 수밖에 없었다. 대신, 다양한 위험(연행 가능성, 분실 가능성, 압수 가능성 등)을 고려하여 참석 전 추가로 점검해야 할 리스트를 만들었다.

안전한 SNS 생활을 위해 사용 습관을 점검한다.

A는 각 SNS의 개인정보 보호 정책과 보안 설정 등을 살펴보고 몇 가지 원칙을 정했다.