개인정보의 안전성 확보조치 기준 및 해설(2)

(3) 내부관리계획의 수립․시행

￭ 정보주체의 개인정보를 보호하기 위한 조치를 적절히 시행하기 위해서는 개인정보처리자 전체에 통용되는 내부규정이 필요하게 된다. 이를 기초로 세부 지침이나 안내서를 마련하여 개인정보 취급자 전원이 동일한 행동을 취할 수 있도록 할 필요가 있다.

￭ 개인정보처리자는 취급하는 개인정보가 분실․도난․누출․변조 또는 훼손 되지 아니하도록 안전성을 확보하기 위하여 개인정보보호 활동에 대한 조직 내부의 개인정보 관리를 위한 내부관리계획을 수립하고, 개인정보 관련 모든 임직원 및 관련자에게 알림으로써 이를 준수할 수 있도록 하여야 한다.

- 이와 같이 내부관리계획을 수립하도록 하는 이유는 개인정보보호 활동이 임기응변식이 아니라 체계적이고 전사적인 계획 내에서 수행될 수 있도록 하는데 목적이 있으며, 이를 위하여 경영층의 방향제시와 지원이 필수적이다.

￭ 내부관리계획에는 개인정보 보호 조직의 구성 및 운영에 관한 다음과 같은 사항을 포함하여야 한다.

- 개인정보 보호책임자의 지정에 관한 사항

- 개인정보 보호책임자 및 개인정보취급자의 역할 및 책임에 관한 사항

- 제4조, 제5조, 제6조, 제7조, 제8조, 제9조 및 제10조에 따른 개인정보의 안전성 확보에 필요한 조치에 관한 사항

- 제4조(접근 권한의 관리), 제5조(비밀번호 관리), 제6조(접근통제 시스템 설치 및 운영), 제7조(개인정보의 암호화), 제8조(접속기록의 보관 및 위․변조방지), 제9조(보안프로그램 설치 및 운영), 제10조(물리적 접근방지)

- 개인정보취급자에 대한 교육에 관한 사항

- 그 밖에 개인정보 보호를 위하여 필요한 사항

￭ 내부관리계획은 전사적인 계획내에에서 개인정보가 관리될 수 있도록 최고경영층으로부터 내부결재 등의 승인을 받아 모든 임직원 및 관련자에게 알림으로써 이를 준수할 수 있도록 하여야 한다.

내부관리계획의 문서 제목은 가급적 ‘내부 관리 계획’ 이라는 용어를 사용하는 것이 바람직하나, 개인정보처리자의 내부 상황에 따라 다른 용어를 사용 할 수 있다. 공공기관의 경우에는 ‘개인정보보호 추진계획’ 이라는 이름으로 용어가 사용되기도 한다.

 

개인정보 내부관리계획 목차 (예시) 제1장 총칙   제1조(목적)   제2조(적용범위)   제3조(용어 정의) 제2장 내부관리계획의 수립 및 시행   제4조(내부관리계획의 수립 및 승인)   제5조(내부관리계획의 공표) 제3장 개인정보보호책임자의 의무와 책임   제6조(개인정보보호책임자의 지정)   제7조(개인정보보호책임자의 의무와 책임)   제8조(개인정보취급자의 범위 및 의무와 책임) 제4장 개인정보의 처리단계별 기술적·관리적 안전조치   제9조(개인정보취급자 접근 권한 관리 및 인증)   제10조(접근통제)   제11조(개인정보의 암호화)   제12조(접근기록의 위변조 방지)   제13조(보안프로그램의 설치 및 운영)   제14조(물리적 접근제한) 제5장 개인정보보호 교육 제6장 개인정보 침해대응 및 피해구제

 

 

 

 

1. 개인정보 보호책임자의 지정에 관한 사항

￭ 개인정보 보호책임자의 자격요건

- 원칙적으로 법 제31조 1항 및 시행령 제32조에 따라 개인정보의 처리에 관한 업무를 총괄해서 책임질 개인정보 보호책임자(CPO: Chief Privacy Officer) 직제를 신설하거나, 정보주체의 개인정보 보호 업무를 위해 조직된 부서의 장 등을 지정할 수 있다.

- 또는, 개인정보처리자의 사업 환경에 따라 정보주체 개인정보를 주로 활용하는 업무를 수행하는 부서(고객 응대, 마케팅, 경영지원 등)나 정보보호 업무를 수행하는 부서에서 본연의 업무와 동시에 개인정보와 관련된 정보주체의 고충처리를 담당하게 되는 경우 해당 부서의 장이 개인정보관리책임자에 지정될 수도 있다.

- 조직 내에 정보보호(Security) 업무를 총괄하는 정보보호책임자(Chief Security Officer)가 별도로 있는 경우에는 기술적 조치에 관하여 상호간의 업무를 분명하게 분장하여야 한다. 개인정보처리자는 개인정보 보호책임자와 정보보호 책임자로 동일인을 지정할 수도 있다.

- 개인정보 보호책임자는 정보보안 관련 지식뿐만 아니라 개인정보 취급에 관한 법․제도적인 측면 등의 다양한 지식을 습득할 필요가 있다.

개인정보보호법 시행령 제32조 <개인정보보호 보호책임자의 자격요건: 영 제32조(개인정보 보호책임자의 업무 및 지정요건 등) ② 항>  1. 공공기관의 경우: 다음 각 목의 구분에 따른 기준에 해당하는 공무원 등    가. 국회, 법원, 헌법재판소, 중앙선거관리위원회의 행정사무를 처리하는 기관 및 중앙행정기관: 고위공무원단에 속하는 공무원(이하 “고위공무원”이라 한다.) 또는 그에 상당하는 공무원    나. 가목 외에 정무직공무원을 장(長)으로 하는 국가기관: 3급 이상 공무원(고위공무원을 포함한다.) 또는 그에 상당하는 공무원    다. 가목 및 나목 외에 고위공무원, 3급 공무원 또는 그에 상당하는 공무원 이상의 공무원을 장으로 하는 국가기관: 4급 이상 공무원 또는 그에 상당하는 공무원    라. 가목부터 다목까지의 규정에 따른 국가기관 외의 국가기관(소속 기관을 포함한다.): 해당 기관의 개인정보 처리 관련 업무를 담당하는 부서의 장    마. 시ㆍ도 및 시ㆍ도 교육청: 3급 이상 공무원 또는 그에 상당하는 공무원    바. 시ㆍ군 및 자치구: 4급 공무원 또는 그에 상당하는 공무원    사. 제2조제5호에 따른 각급 학교: 해당 학교의 행정사무를 총괄하는 사람    아. 가목부터 사목까지의 규정에 따른 기관 외의 공공기관: 개인정보 처리 관련 업무를 담당하는 부서의 장으로서 공공기관의 장이 지정하는 사람  2. 공공기관 외의 경우: 다음 각 목의 어느 하나에 해당하는 사람    가. 사업주 또는 대표자    나. 개인정보 처리 관련 업무를 담당하는 부서의 장 또는 개인정보 보호에 관한 소양이 있는 사람

 

￭ 개인정보 보호책임자의 지정

- 개인정보처리자는 개인정보 보호책임자의 자격요건에 부합하는 사람을 개인정보 보호책임자로 지정하여야 한다. 개인정보 보호책임자의 지정 시에는 인사발령 등을 통해 공식적으로 책임과 역할을 부여하여야 한다.

- 개인정보처리자가 동창회, 동호회 등 친목 도모를 위한 단체를 운영하기 위하여 개인정보를 처리하는 경우에는 개인정보보호 책임자를 지정하지 않아도 된다.

- 근거: 개인정보보호법 제58조(적용의 일부 제외) ③ 개인정보처리자가 동창회, 동호회 등 친목 도모를 위한 단체를 운영하기 위하여 개인정보를 처리하는 경우에는 제15조, 제30조 및 제31조(개인정보 보호책임자의 지정)를 적용하지 아니한다.

 

2. 개인정보 보호책임자 및 개인정보취급자의 역할 및 책임에 관한 사항

￭ 개인정보 보호책임자의 역할

- 개인정보 보호책임자는 개인정보의 처리에 관한 업무를 총괄해서 책임지는 역할을 수행하는 사람으로, 개인정보 보호를 위해 개인정보와 관련된 내부지침을 준수하도록 기술적․관리적 보호조치를 실시하고 관리․감독하는 책임을 진다.

- 또한, 정보주체의 불만사항 접수 및 처리에 대한 책임을 지며, 개인정보를 취급하는 직원에 대해 교육훈련을 실시하여야 한다. 개인정보를 취급하는 업무를 외부에 위탁한 경우, 개인정보 보호책임자는 해당 위탁자의 개인정보 관리현황을 지속적으로 확인해야 한다.

개인정보보호법 제31조 <개인정보 보호책임자의 역할: 법 제31조(개인정보 보호책임자의 지정) ②항>   1. 개인정보 보호 계획의 수립 및 시행   2. 개인정보 처리 실태 및 관행의 정기적인 조사 및 개선   3. 개인정보 처리와 관련한 불만의 처리 및 피해 구제   4. 개인정보 유출 및 오용·남용 방지를 위한 내부통제시스템의 구축   5. 개인정보 보호 교육 계획의 수립 및 시행   6. 개인정보파일의 보호 및 관리·감독 <개인정보 보호책임자의 역할: 영 제32조(개인정보 보호책임자의 업무 및 지정요건 등) ①항>   1. 법 제30조에 따른 개인정보 처리방침의 수립ㆍ변경 및 시행   2. 개인정보 보호 관련 자료의 관리   3. 처리 목적이 달성되거나 보유기간이 지난 개인정보의 파기

 

￭ 개인정보취급자의 역할 및 책임

- ‘개인정보취급자’는 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 자로서 개인정보를 처리함에 있어서 개인정보가 안전하게 관리될 수 있도록 해야 한다.

- ‘개인정보취급자’는 기업․단체,․공공기관의 임직원, 외부기관에서 또는 외부기관으로 파견된 근로자, 계약직원, 아르바이트 직원 등의 시간제근로자 등이 해당될 수 있다.

개인정보취급자의 역할 및 책임 ∙ 개인정보보호 활동 참여 ∙ 내부관리계획의 준수 및 이행 ∙ 개인정보의 기술적․관리적 보호조치 기준 이행 ∙ 소속 직원 또는 제3자에 의한 위법․부당한 개인정보 침해행위에 대한 점검 등

 

3. 개인정보의 안전성 확보에 필요한 조치에 관한 사항

￭ 개인정보의 안전성 확보에 필요한 조치에 관한 사항을 빠짐없이 내부관리계획에 포함해야 한다. 세부내용은 해설서 각 항목에 해당하는 부분을 확인한다.

․안전성 확보관련 개인정보 법 조항: 제4조(접근 권한의 관리), 제5조(비밀번호 관리), 제6조(접근통제 시스템 설치 및 운영), 제7조(개인정보의 암호화), 제8조(접속기록의 보관 및 위․변조방지), 제9조(보안프로그램 설치 및 운영), 제10조(물리적 접근 방지)

 4. 개인정보취급자에 대한 교육에 관한 사항

￭ 개인정보보호 교육의 목적은 안전하게 개인정보가 관리될 수 있도록 개인정보취급자의 개인정보보호에 대한 인식을 제고시키고 개인정보보호 대책의 필요성을 이해시키는 것이다.

￭ 개인정보처리자는 개인정보 보호책임자 및 개인정보취급자를 대상으로 매년 정기적으로 개인정보보호 교육을 실시하여야 한다. 특히, 개인정보취급자가 고객의 개인정보를 훼손․침해․누설할 경우에는 중벌에 처해지므로, 교육 시 이러한 점을 개인정보취급자에게 인식시키기 위해 노력해야 한다.

￭ 개인정보보호 교육의 구체적인 사항에는 교육을 하는 목적, 교육 대상, 교육 내용(프로그램 등 포함), 교육 일정 및 방법 등을 포함하고, 내부관리계획 또는 임직원의 결재를 얻은 “○○년 개인정보보호 교육 계획(안)”과 같은 문서를 통해 관리하여야 한다.

￭ 교육 방법은 집체교육 뿐 아니라 조직의 환경을 고려하여 인터넷 교육, 그룹웨어 교육 등 다양한 방법을 활용하여 실시하도록 하고, 필요한 경우 외부 전문기관이나 전문요원에 위탁하여 교육을 실시할 수도 있다.

- 개인정보보호 교육시 안전행정부의 ‘개인정보보호 포털’ 사이트(www.privacy.go.kr)에서 제공하는 온라인 교육 프로그램, 개인정보보호 교육교재 등을 활용할 수 있음.

￭ 교육내용에는 해당 업무를 수행하기 위한 분야별 전문기술 교육뿐만 아니라 개인 정보보호 관련 법률 및 제도, 사내 규정 등 필히 알고 있어야 하는 기본적인 내용을 포함하여 교육을 실시하도록 한다. 교육내용에 포함될 수 있는 예시는 다음과 같은 사항들이 있다.

개인정보보호 교육내용 예시 ∙ 개인정보보호의 중요성 설명 ∙ 내부관리계획의 준수 및 이행 ∙ 위험 및 대책이 포함된 조직 보안 정책, 보안지침, 지시 사항, 위험관리 전략 ∙ 개인정보시스템 하드웨어 및 소프트웨어를 포함한 시스템의 정확한 사용법 ∙ 개인정보의 기술적․관리적 보호조치 기준 이행 ∙ 개인정보보호 위반을 보고해야 할 필요성 ∙ 개인정보보호업무의 절차, 책임, 작업 설명 ∙ 개인정보보호 관련자들의 금지 항목들 ∙ 개인정보보호 준수사항 이행 관련 절차 등

 

5. 그 밖에 개인정보 보호를 위하여 필요한 사항

￭ 개인정보처리자의 개인정보 운용(수집․이용․저장․제공․파기 등) 환경 및 중요도(민감정보 취급 등)를 고려하여 보안서약서 작성 등 개인정보 보호를 위하여 필요한 사항을 기술할 수 있다.

￭ 보안서약서 작성

- 조직에서 임직원들의 기밀정보 유출 위험을 최소화하고, 임직원에게 개인정보보호에 대한 책임을 명확히 주지시키기 위해 문서화한 보안서약서에 서명하도록 한다.

- 보안서약서의 서명은 개인정보보호를 위한 기본적인 절차 중 하나로 인식되고 이행될 필요가 있다. 이러한 절차는 일반적으로 신규 인력 채용 시 인력관리 부서에 의해 수행될 수 있다.

- 보안서약서에는 일반적으로‘고객 개인정보 보호, 회사 영업비밀 보호 등의 의무’에 관한 내용과 서명날짜, 서명자 정보 및 서명을 포함하여야 한다.

 

(4) 접근 권한의 관리

￭ 접근권한 관리의 목적은 개인정보처리시스템에 대하여 업무 목적 외 불필요한 접근을 최소화하고, 인사 이동 발생 시 인가되지 않는 접근을 차단하는데 있다. 이를 위해 업무 범위별로 권한은 차등 부여되어야 하며 인사이동 발생 시 지체없이 권한을 변경하되, 내부자 개인정보 유출 예방 및 대응 등을 위해 1인 1계정을 발급하여 관리하여야 한다.

① 개인정보처리자는 개인정보처리시스템에 대한 접근권한을 업무 수행에 필요한 최소한의 범위로 업무 담당자에 따라 차등 부여하여야 한다.

￭ 개인정보의 분실·도난·유출·변조 또는 훼손을 방지하기 위하여 개인정보처리시스템에 대한 접근권한은 업무 수행 목적에 따라 최소한의 범위로 업무담당자에게 차등 부여하고 접근통제를 위한 조치를 취해야 한다.

→ 예를 들어 개인정보 보호책임자에게는 전체권한(읽기/쓰기/변경)을 부여하거나, 개인정보 취급자에게는 읽기 권한만 제공하는 등 권한에 차등을 두어야 한다.

② 개인정보처리자는 전보 또는 퇴직 등 인사이동이 발생하여 개인정보취급자가 변경되었을 경우 지체 없이 개인정보처리시스템의 접근권한을 변경 또는 말소하여야 한다.

③ 개인정보처리자는 제1항 및 제2항에 의한 권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관하여야 한다.

￭ 조직 내의 임직원 전보 또는 퇴직 등 인사이동을 통해 사용자 계정의 변경․삭제가 필요한 경우에는 공식적인 사용자 계정 관리절차에 따라 통제될 수 있도록 한다.

- 내부 인력의 퇴직 시 해당 인력의 계정을 지체없이 변경하도록 지침에 반영하여 이행하도록 한다.

- 임직원의 퇴직 시 계정 삭제를 효과적으로 이행하기 위해서는 퇴직 점검표에 사용계정의 삭제항목을 반영하여, 계정의 삭제 여부에 대해 확인을 받을 수 있다.

￭ 개인정보처리자는 제1항 및 제2항에 의한 권한 부여, 변경, 말소에 대한 내역을 기록하고 해당 기록을 최소한 3년간 보관하여야 한다.

④ 개인정보처리자는 개인정보처리시스템에 접속할 수 있는 사용자 계정을 발급하는 경우, 개인정보취급자 별로 한 개의 사용자계정을 발급하여야 하며, 다른 개인정보취급자와 공유되지 않도록 하여야 한다.

￭ 개인정보처리시스템에 접근하는 아이디(ID)는 1인당 한 개의 사용자계정 아이디를 발급해야한다.

- 다수의 개인정보취급자가 동일한 업무를 수행한다 하더라도 하나의 아이디를 공유하지 않도록 하여야 하며 1인 1아이디 발급을 통해 개인정보 처리내역에 대한 책임 추적성(Accountability)를 확보하여야 한다.

※ 책임 추적성이란 개인정보 취급에 따른 문제 발생시 사용자계정을 기반으로 책임소재를 파악하는 것을 말한다.

 

(5) 비밀번호 관리

￭ 안전하지 못한 비밀번호를 사용할 경우 정보가 노출될 위험성이 있다. 안전한 비밀번호란 제3자가 쉽게 추측할 수 없으며 비밀번호 해킹 등을 통해서도 비밀번호를 얻어낼 수 없거나 얻어내는데 많은 시간이 요구되는 것을 의미한다.

- 따라서 개인정보취급자나 정보주체가 생일, 전화번호 등 추측하기 쉬운 숫자나 문자 등을 비밀번호로 이용하지 않도록 비밀번호 작성규칙을 수립하고 개인정보처리시스템에 적용하여야 한다.

￭ 비밀번호 작성규칙을 수립한 경우 개인정보취급자 또는 정보주체가 비밀번호를 사용하고자 할 경우 일정 수준 이하의 비밀번호는 설정되지 못하도록 하는 시스템을 구성하는 것도 효과적인 이행을 위한 수단이 될 수 있다. 다만, 정보주체가 사용하는 비밀번호에 대해서는 정보주체의 편의성 등도 고려하여 사업자 자율적으로 적절한 수준을 설정하는 것이 필요하다.

- 한국인터넷진흥원(KISA)은 비밀번호 안전성 검증 소프트웨어를 보급하고 있음.   

  → (http://seed.kisa.or.kr)의 [패스워드 안전성 검증/검증도구 보급신청]에서 참고

￭ 개인정보처리자는 개인정보취급자의 비밀번호 작성규칙을 수립하고 이를 개인정보처리시스템 및 접근통제시스템 등에 적용하여 운영하여야 한다.

- 비밀번호는 산업스파이, 침입자, 비인가자가 추측하기 어려운 문자와 숫자를 포함하도록 하거나, 전에 사용된 비밀번호를 다시 사용하지 않는 등의 다음과 같은 비밀번호 설정 원칙을 참고하여 생성하도록 한다.

   ∙ 비밀번호의 최소 길이: 비밀번호는 구성하는 문자의 종류에 따라 최소 10자리 또는 8자리 이상의 길이로 구성하여야 하며, 이는 정보주체에 대한 비밀번호 작성규칙과는 달리 반드시 준수하여야 한다

   ※ 컴퓨터 관련 기술의 발달에 따라 비밀번호의 최소 길이는 늘어날 수 있고, 변경주기는 짧아질 수 있다.

   ∙ 최소 10자리 이상: 영대문자(A~Z, 26개), 영소문자(a~z, 26개), 숫자(0~9, 10개) 및 특수문자(32개) 중 2종류 이상으로 구성한 경우

   ∙ 최소 8자리 이상: 영대문자(A~Z, 26개), 영소문자(a~z, 26개), 숫자(0~9, 10개) 및 특수문자(32개) 중 3종류 이상으로 구성한 경우

   ※ 특수문자 32개 예시 - ~ ․! @ # $ % ^ & * ( ) _ - + =  [ ] [ ] | \ ; :‘ “ < > , . ? /

- 추측하기 어려운 비밀번호의 생성:

   ∙ 생성한 비밀번호에 12345678 등과 같은 일련번호, 전화번호 등과 같은 쉬운 문자열이 포함되지 않도록 한다.

   ∙ love, happy 등과 같은 잘 알려진 단어 또는 키보드 상에서 나란히 있는 문자열도 포함되지 않도록 한다.

- 비밀번호의 주기적인 변경: 비밀번호에 유효기간을 설정하고 적어도 6개월마다 변경함으로써 동일한 비밀번호를 장기간 사용하지 않는다.

- 동일한 비밀번호 사용 제한: 2개의 비밀번호를 교대로 사용하지 않는다.

 

(6) 접근통제 시스템 설치 및 운영

￭ 사업자는 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 IP 주소를 통해 비인가자의 접근을 차단할 수 있는 보안시스템을 설치․운영해야 한다. 또한 인가된 사용자가 정보통신망 외부에서 개인정보처리시스템을 접속하는 경우에는 가상사설망(VPN) 등 안전한 보호대책을 마련하여야 한다.

￭ 사업자는 개인정보가 저장된 업무용 컴퓨터에 해커 등 비인가자의 접근을 통제하기 위해 상용 침입차단 프로그램 또는 업무용 컴퓨터 운영체제에서 제공되는 침입 차단 프로그램을 사용하여 불법적인 접근을 차단할 수 있다.

 

① 개인정보처리자는 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 다음 각 호의 기능을 포함한 시스템을 설치․운영하여야 한다.

    1. 개인정보처리시스템에 대한 접속 권한을 IP(Internet Protocol)주소 등으로 제한하여 인가받지 않은 접근을 제한

    2. 개인정보처리시스템에 접속한 IP(Internet Protocol)주소 등을 분석하여 불법적인 개인정보 유출 시도를 탐지

￭ 개인정보처리자는 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 침입차단시스템(Firewall) 또는 침입방지시스템(IPS: Intrusion Prevention System) 등을 설치하여 운영하여야 한다.

    - 침입차단시스템(Firewall) 또는 침입방지시스템(IPS: Intrusion Prevention System) 등은 정보통신망을 통한 불법적인 접근을 IP주소 등으로 제한할 수 있으며 개인정보처리시스템에 접속한 IP주소 등을 분석하여 불법적인 개인정보 유출시도를 탐지할 수 있다.

￭ 침입차단 및 침입탐지 기능을 갖춘 설비의 설치 방법

- 침입차단시스템 및 침입탐지시스템을 설치․운영하거나, 침입차단시스템과 침입탐지시스템이 동시에 구현된 침입방지시스템(IPS: Intrusion Prevention System), 웹방화벽 또는 보안 운영체제(Secure OS) 등을 도입할 수 있다.

- 또한, 스위치 등의 네트워크 장비에서 제공하는 ACL(Access Control List: 접근제어목록) 등 기능을 이용하여 IP 주소 등을 제한함으로써 침입차단 기능을 구현할 수 있다.

- 인터넷데이터센터(IDC), 클라우드 서비스 등에서 제공하는 보안서비스(방화벽, 침입방지, 웹방화벽 등)를 활용함으로써 초기 투자비용 등을 줄일 수 있다.

- 공개용(무료) S/W를 사용하거나, 운영체제(OS)에서 제공하는 기능을 활용하여 해당 기능을 포함한 시스템을 설치․운영할 수 있다. 다만, 공개용(무료) S/W를 사용하는 경우에는 적절한 보안이 이루어지는지를 사전에 점검하여야 한다.

② 개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우에는 가상사설망(VPN: Virtual Private Network) 또는 전용선 등 안전한 접속수단을 적용하여야 한다.

￭ 외부망으로부터 개인정보처리시스템에 대한 접속은 원칙적으로 차단하여야 한다. 다만 개인정보처리자가 외부망을 통해 개인정보처리시스템에 접속이 필요한 경우에는 가상사설망(VPN: Virtual Private Network) 등 안전한 보호대책을 마련해야 한다.

- 가상사설망(VPN: Virtual Private Network)은 개인정보 취급자가 사업장 내의 개인정보처리시스템에 대해 원격으로 접속할 때 IPsec이나 SSL 기반의 암호 프로토콜을 사용한 터널링 기술을 통해 안정한 암호통신을 할 수 있도록 해주는 보안 시스템을 의미한다.

※ IPsec(IP Security Protocol)은 인터넷상에 보안기능을 이용하여 데이터 도청 등의 방지를 위한 통신규약

※ SSL(Secure Sockets Layer)은 웹 브라우저와 웹 서버간에 데이터를 안전하게 주고 받기 위한 업계 표준 보안 프로토콜

 

③ 개인정보처리자는 취급중인 개인정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여 열람권한이 없는 자에게 공개되거나 외부에 유출되지 않도록 개인정보처리시스템 및 업무용 컴퓨터에 조치를 취하여야 한다.

￭ 개인정보처리시스템 또는 업무용 컴퓨터인 경우 P2P, 공유설정을 기본적으로 사용하지 않는 것이 원칙이나, 업무상 꼭 필요한 경우에는 권한 설정 등의 조치를 통해 업무상 꼭 필요한 자만 접근할 수 있도록 설정한다.

※ 개인정보취급자의 부주의로 개인정보처리시스템 또는 업무용 컴퓨터에 있는 개인정보가 인터넷 홈페이지 또는 P2P를 통해 게시되거나, 공유 설정된 PC 폴더에 개인정보 파일을 둠으로써 열람 권한이 없는 자에게 공개되는 사례가 많이 발견되고 있음

￭ 인터넷 홈페이지 취약점으로 인한 노출 방지

- 인터넷 홈페이지 운영 시, 개인정보 노출 방지를 위한 보안조치를 수행하여야 한다. 

※ 인터넷 홈페이지 취약점 예시: Directory Risting 취약점, File Down 취약점, CrossSiteScript 취약점, File Upload 취약점, Web DAV 취약점, TechNote 취약점, ZeroBoard 취약점, SQL_Injection 취약점 등

￭ P2P․공유 설정에 따른 개인정보 노출 방지

- 개인정보취급자의 컴퓨터는 원칙적으로 P2P 프로그램․공유 폴더 사용을 금지하고 있으나, 반드시 사용해야 할 경우 드라이브 전체 또는 불필요한 폴더가 공유되지 않도록 조치하고, 공유폴더에 개인정보 파일이 포함되지 않도록 정기적으로 점검하여 조치하도록 한다.

※ P2P, 웹하드 등의 사용을 제한하는 경우에도 단순히 사용금지 조치를 취하는 것이 아니라 시스템 상에서 해당 포트를 차단하는 등 원천적인 조치를 취하는 것이 필요하다.

※ 윈도우즈의 경우 시작 - 제어판 - 성능 및 유지관리 - 관리도구 - 컴퓨터 관리를 실행하여, 공유폴더 메뉴에서 공유설정 내용 확인 가능

 

④ 개인정보처리자가 별도의 개인정보처리시스템을 이용하지 아니하고 업무용 컴퓨터만을 이용하여 개인정보를 처리하는 경우에는 제1항을 적용하지 아니할 수 있으며, 이 경우 업무용 컴퓨터의 운영체제(OS: Operating System)나 보안프로그램 등에서 제공하는 접근통제 기능을 이용할 수 있다.

￭ 개인정보처리시스템을 이용하지 않고 단순히 업무용 컴퓨터에 개인정보를 저장하는 경우 운영체제나 보안프로그램에서 제공하는 접근통제 기능을 사용하여 불법적인 접근을 차단할 수 있다.

※ Windows XP 접근통제 사용방법: [설정] → [제어판] → [Windows 방화벽]에서 ‘사용(권장)‘을 클릭하여 사용할 수 있다.

<Window XP 접근통제 설정 화면>