[보안] 개인정보 안전성 확보조치 (feat. 개인정보보호법)

 개인정보보호법에 의거한 개인정보 안전성 확보조치에는 어떤 것이 있는지 알아봅니다. (출처: 개인정보 포털)

 

[ Contents ]

 

 

1. 개인정보처리시스템에 대한 접근권한 관리

 접근에 필요한 권한은 업무 수행에 필요한 최소한의 범위로 업무 담당자에 따라 차등 부여하고, 인사이동이 발생하여 개인정보취급자가 변경되었을 경우 지체 없이 권한을 변경 또는 말소합니다.

 접근 권한 부여, 변경 또는 말소에 대한 내역을 최소 3년간 보관해야 하는데, 정보통신서비스제공자등은 최소 5년간 보관, 개인정보취급자 별로 사용자계정을 발급하고 다른 개인정보취급자와 공유해서는 안 됩니다.

 특히 인턴이나 공익요원 등 임시직에게 업무자의 계정을 공유하는 경우를 가장 주의해야 합니다. 이는 별도 사용자 계정과 권한이임이 귀찮아서 일수도 있으나... 해당 인원이 해서는 안 되는 업무를 전가할 때 자주 발생합니다.

 

 

 

2. 비밀번호 작성규칙 적용 및 로그인 실패 누적 시 접근 제한

 비밀번호 작성규칙 관련해서는 정부에서 관련 지침서가 내려옵니다. 이에 따라 공인인증서 비밀번호 등을 설정하므로, 공인인증서 비밀번호 설정 규칙을 참고하시면 되겠습니다.

 

"세가지 종류 이상의 문자구성으로 8자리 이상의 길이로 구성된 문자열"
"두가지 종류 이상의 문자구성으로 10자리 이상의 길이로 구성된 문자열"

(종류는 총 4가지로 알파벳 소문자, 알파벳 대문자, 특수문자, 숫자입니다.)

 

 

 

3. 개인정보처리시스템에 대한 접근통제

 침입탐지시스템 및 침입차단시스템을 설치하여 운영하거나 침입차단시스템과 침입탐지시스템이 동시에 구현된 침입방지시스템(IPS), 웹방화벽, 보안운영체제 등을 설치·운영해야 합니다.

 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 가상사설망(VPN) 또는 전용선 등 안전한 접속수단을 적용하거나 안전한 인증수단을 적용하고, 개인정보처리시스템에 세션 타임아웃을 적용합니다.

 

 

 

4. 개인정보처리시스템, 업무용 컴퓨터 등에 대한 취약점 점검

 인터넷 홈페이지, P2P, 공유설정, 공개된 무선망 이용 등을 통하여 열람권한이 없는 자에게 개인정보가 공개되거나 유출되지 않도록 개인정보처리시스템을 비롯하여 업무용 컴퓨터, 모바일 기기, 관리용 단말기 등에 대한 주기적인 취약점 점검을 수행하고 접근통제가 적절하게 이뤄지고 있는지 검토합니다.

 

 

 

5. 업무망(내부망)과 외부 인터넷망 분리

 공공기관, 정보통신서비스 제공자, 금융회사 등은 업무망과 인터넷망을 물리적 또는 논리적으로 분리하여 망을 차단합니다. 군대에서 인트라넷과 인터넷망을 분리하는 것과 비슷합니다.

 다만 편의성 및 유지보수 비용이 적은 논리적 망 분리를 요즘은 좀 더 선호하는 추세입니다.

 

 

 

6. 업무용 모바일 기기에도 보안 조치

 업무용으로 사용하는 모바일 기기에는 반드시 비밀번호를 설정합니다. 사무실 내 공용 태블릿 PC, 스마트폰, 노트북 등이 해당됩니다.

 

 

 

7. 개인정보 암호화

 - 전송 시 암호화

 이용자 또는 개인정보취급자가가 정보통신망을 통해 개인정보처리시스템에 접속하여 고유식별정보, 비밀번호, 바이오정보, 계좌번호 등 중요 개인정보를 송수신할 때나 보조저장매체를 통해 전달할 때에 암호화해야 합니다.

 

 - 저장 시 암호화

 비밀번호, 고유식별정보 등 중요 개인정보는 암호화하여 저장해야 하는데, 비밀번호는 복호화되지 않도록 일방향 암호화하여 저장합니다. 또한 개인정보처리시스템이나 업무용 컴퓨터 등에 중요 개인정보를 저장하여 관리하는 경우에는 상용 암호화 소프트웨어 또는 안전한 암호화 알고리즘을 사용하여 암호화한 후 저장합니다.

 

 

 

8. 접속기록을 보관하고 점검

  - 개인정보취급자가 개인정보처리시스템에 접속한 기록을 1년 이상 보관하고 관리

 다만, 전기통신사업자, 5만명 이상의 정보주체에 관하여 개인정보를 처리하거나, 고유식별정보 또는 민감정보를 처리하는 개인정보처리시스템의 경우에는 2년 이상 보관·관리합니다.

 

  - 개인정보처리시스템의 접속기록 등은 월 1회 이상 점검

 개인정보를 다운로드한 것이 발견되었을 경우에는 내부관리계획으로 정하는 바에 따라 그 사유를 반드시 확인합니다.

 

 

 

9. 보안 프로그램 설치 및 운영

 보안 프로그램을 설치·운영합니다. 자동 보안 업데이트 기능을 사용하거나, 일 1회 이상 업데이트를 실시해야 합니다. 흔히 말하는 백신 프로그램으로, 공공계열에선 주로 V3가 되겠습니다.

 

 

 

10. 관리용 단말기 안전조치

 인가 받지 않은 사람이 관리용 단말기에 접근하여 임의로 조작하지 못하도록 조치합니다.

 개인정보처리시스템에 직접 접근하는 관리용 단말기에는 로그인 패스워드뿐만 아니라 CMOS 비밀번호 설정, 백신설치, 보안 업데이트 적용 등이 이뤄져야 하며, 외부망으로의 연결 금지, 원격접속 프로그램 설치 금지하는 등 비인가자의 접근을 차단하는 조치가 필요합니다.

 

 

 

11. 물리적 안전조치

 전산실, 자료보관실 등 개인정보를 보관하고 있는 물리적 보관 장소를 별도로 두고 있는 경우에는 출입통제 절차를 수립하여 운영 / 개인정보가 포함된 서류, 보조저장매체 등을 잠금장치가 있는 안전한 장소에 보관해야 합니다.

 

 

 

12. 재난·재해를 대비한 안전조치

  화재, 홍수, 단전 등의 재해·재난 발생 시 개인정보처리시스템 보호를 위한 위기대응 매뉴얼 등 대응절차를 마련하고 정기적으로 점검해야 합니다. 재해·재난 발생 시 개인정보처리시스템 백업 및 복구를 위한 계획도 마련해야 합니다.

 사실 이 부분이 가장 간과하기 쉬운 조치입니다. 최근 데이터센터 화재로, 네이버와 카카오의 서비스가 일시적으로 장애가 생기는 일이 있었죠. 네이버는 빠르게 대처했지만, 비교적 카카오의 대처는 미흡했던 점이 있었습니다. 관련 메뉴얼과 안전조치 유무의 차이라고 볼 수 있겠습니다.

 

 

 

13. 출력·복사 시 보호조치

  정보통신서비스 제공자등은 개인정보처리시스템에서 개인정보의 출력 시(인쇄, 화면표시, 파일생성 등) 용도를 특정하여야 하며, 용도에 따라 출력 항목을 최소화합니다.
　그리고 정보통신서비스 제공자등은 개인정보가 포함된 종이 인쇄물, 개인정보가 복사된 외부 저장매체 등 개인정보의 출력·복사물을 안전하게 관리하기 위해 출력 및 복사 기록을 보관하는 등 필요한 보호조치를 강구합니다.

 

 

 

14. 개인정보 표시 제한 보호조치

  정보통신서비스 제공자등은 개인정보 업무처리를 목적으로 개인정보의 조회, 출력 등의 업무를 수행하는 과정에서 개인정보보호를 위하여 개인정보를 마스킹하여 표시제한 조치를 취할 수 있습니다.

 

 

 

15. 개인정보 파기

 : 개인정보는 완전파괴(소각·파쇄 등), 전용 소자장비를 이용한 삭제, 데이터가 복원되지 않도록 초기화 또는 덮어쓰기 수행 등의 방법으로 파기해야 합니다.