PII (개인 식별 정보)의 작동 방식
PII는 미국의 프라이버시 실무에 뿌리를 둔 용어로, 여기서는 일반적으로 직접 식별자와 간접 식별자를 구분합니다. 성명, 사회보장번호, 여권번호, 이메일 주소, 전화번호와 같은 직접 식별자는 그 자체로 한 사람을 가리킵니다. 생년월일, 우편번호, 직함과 같은 간접(또는 준) 식별자는 단독으로는 누군가를 식별하지 못할 수 있지만 결합되면 식별할 수 있습니다.
이 개념은 GDPR의 더 넓은 '개인정보' 개념과 겹치지만 동일하지는 않습니다. GDPR의 개인정보는 식별되었거나 식별될 수 있는 자연인과 관련된 모든 정보를 포괄하며, IP 주소나 디바이스 식별자와 같은 온라인 식별자를 포함합니다. 그 결과, 미국의 체계에서는 PII가 아닌 것으로 취급될 수 있는 데이터라도 유럽법상으로는 여전히 개인정보에 해당할 수 있습니다.
조직은 적절한 보호 장치를 적용하기 위해 PII를 분류하고 목록화한다: 접근 통제, 암호화, 보유 한도, 침해 통지 절차 등이 그것입니다. 가명화(식별자를 토큰으로 대체), 익명화(개인과의 연결을 되돌릴 수 없게 제거), 해싱과 같은 기법은 일부 유용성을 유지하면서 데이터의 민감도를 낮추는 데 사용됩니다.
사기 및 디바이스 인텔리전스 맥락에서 핵심 질문은 디바이스 신호나 핑거프린트가 PII 또는 개인정보에 해당하는지 여부입니다. 개별적으로 화면 해상도나 설치된 글꼴과 같은 신호는 식별 정보가 아니지만, 다수의 신호로부터 도출된 안정적인 핑거프린트는 하나의 디바이스를, 나아가 한 사람을 특정할 수 있으며, 이는 이름이 결부되지 않았더라도 프라이버시 법의 적용 범위 안에 놓이게 합니다.
PII (개인 식별 정보)이(가) 사기 방지에서 중요한 이유
PII를 비식별 텔레메트리와 구분하는 것은 프라이버시를 고려한 사기 방지의 핵심입니다. 효과적인 탐지는 흔히 안정적인 식별자를 필요로 하지만, 필요 이상으로 많은 식별 데이터를 다루면 규제 노출과 침해 위험이 커집니다. 목표는 필요한 최소한의 식별 정보를 사용해 사기를 탐지하고, 원시 개인정보보다 가명 디바이스 신호를 선호하며, 실제 PII는 엄격하게 통제하는 것입니다. 이 균형을 올바르게 맞추면 보안팀은 데이터 최소화 원칙을 지키면서 공격자를 저지할 수 있습니다.
TRACIO의 처리 방식
TRACIO는 전통적인 PII에 대한 의존을 최소화하도록 구축되었습니다. 그 식별은 이름, 이메일, 정부 발급 식별자가 아니라 130개가 넘는 기술 신호로부터 디바이스 신호를 도출하여, 보안 활용을 지향하는 가명 방문자 식별자를 생성합니다. 신호가 하나의 식별자로 결합되는 경우, TRACIO는 설계상 해싱과 데이터 최소화 관행을 적용합니다. 그 결과로 생성된 식별자가 특정 관할에서 개인정보에 해당하는지는 고객이 자신의 활용 사례에 대해 스스로 내려야 하는 법적 판단입니다. TRACIO는 포괄적인 법적 보증이 아니라 그 평가를 뒷받침하는 투명성과 제어 수단을 제공합니다.