기업 개인정보보호 수준 스스로 가늠
7개 단계 영향평가 거쳐
보안 침해사고 예방유도
법적규제보다 효과 높아
지난해 온라인 게임업체의 대규모 명의도용 사고가 발생하면서 개인정보보호는 정부차원의 문제만이 아닌 일반기업들에게도 민감한 이슈가 됐습니다. 특히 개인정보보호에 대한 조치를 제대로 취하지 않아 발생하는 개인정보유출과 같은 사고가 기업에게 큰 금전적 피해를 입힐 수 있다는 우려로 인해 기업들은 개인정보보호에 관심을 가지며 이를 강화하기 위한 노력들을 진행하고 있습니다. 이는 개인정보보호가 단순히 보호해야 할 대상이라는 당위적 접근에서 한 걸음 더 나아가 기업의 이익과 직결된다는 점을 인식, 자발적인 접근을 하고 있는 것이라 할 수 있습니다.
이런 현실에서 기업은 개인정보 관련 사고를 예방하는 한편 개인정보보호 강화를 실천할 수 있는 자체적인 점검 수단을 필요로 하기 마련인데요, 오늘은 정보통신부와 한국정보보호진흥원(KISA)이 기업들의 이러한 고민을 해결해 주기 위해 개발한 `개인정보 영향평가 프로그램'에 대해 알아보도록 하겠습니다.
◇개인정보 영향평가 프로그램이란=지난 2005년 11월 개발된 개인정보 영향평가 프로그램은 기업 스스로 자사의 개인정보보호 수준을 가늠할 수 있는 자가진단 프로그램으로, 이는 법적 규제나 의무화된 정보보호 안전진단이나 주요기반 시설 지정에 따른 의무조치와 달리 기업정보보호 관리를 기업 자율에 맡기기 위한 차원에서 개발됐습니다. 기업들은 이 프로그램을 통해 개인정보를 다루는 기업을 대상으로 `개인정보 침해 집중 예방', `개인정보 관리체계 점검' 등을 위해 단계별 항목을 점검함으로써 개인정보보호를 둘러싼 위험요소를 도출할 수 있습니다.
개인정보를 다량 보유 및 관리하는 정보시스템을 신규 구축하거나 변경할 때 발생할 수 있는 개인정보 침해요인 분석에서부터 모바일 무선인식(RFID)처럼 새로운 기술 또는 기존의 기술 통합 등으로 인해 프라이버시 침해가 발생할 가능성이 있는 요소까지 개인정보 관리와 관련한 다양한 시스템에 범용적으로 적용할 수 있습니다. 이는 정형화된 프로그램을 통해 기업이 개인정보보호를 위한 능동적이고 자율적인 노력을 이끌어 낼 수 있다는 점이 가장 큰 장점으로 꼽힙니다.
◇개인정보 영향평가 7단계=개인정보 영향평가 프로그램은 사전분석→영향평가수행 주체 선정→개인정보 관련 정책 법규 및 사업내용 검토→정보흐름 분석→개인정보 침해요인 분석 및 위험평가→개선 계획 수립 및 위험관리→보고서 작성 및 제출 등 7단계를 통해 기업 스스로 개인정보 침해사고에 대한 예방활동을 할 수 있도록 유도하고 있습니다. 첫 번째인 사전분석 단계에서는 일련의 체크리스트를 통해 개인정보 영향평가 도입 필요 여부를 결정하게 되고 2,3단계에서는 사업주관부서, 개인정보 소유부서, 시스템 운영부서 등으로 구분해 개인정보 영향평가팀을 구성하고 조직 내 개인정보 관리절차 및 방법, 개인정보보호 정책 및 관리책임자를 구분, 선정하게 됩니다. ▶표1 개인정보 영향평가팀 업무 배분 예시
그 다음 정보흐름 분석 단계에서는 시스템 내에서의 개인정보 유통 경로와 이용, 외부로의 제공 등을 살펴보게 되는데 수집된 각각의 개인정보가 기업의 업무절차와 조직 내에서 어떻게 흘러가는지, 즉 생성ㆍ활용ㆍ폐기 등의 일련의 과정을 도표화합니다. 이 단계에서는 개인정보 수집ㆍ활용ㆍ제공 등에서 어떠한 관리적ㆍ기술적 보안 조치가 이뤄지는지를 검토하게 되는데 이를 통해 회사 업무 단계와 정보흐름 과정별로 어떠한 개인정보 침해요인 및 가능성이 존재하는지 시각적으로 분석할 수 있는 근거를 마련하게 됩니다.
그 다음으로는 각 단계별 정보흐름 분석을 바탕으로 개인정보 오남용 사고의 가능성 등을 분석하고 위험평가에 대한 방법을 도출하게 됩니다. 즉 담당자의 부주의와 개인정보의 열람권한 미 분류 등으로 인해 개인정보가 유출 혹은 남용될 수 있는지를 검토하고 시스템 개선이나 보안 교육 실시 등 개선계획을 도출합니다. ▶표2 위험평가표 예시
이같은 일련의 과정을 통해 개인정보 영향평가가 완료되면, 평가보고서를 비롯한 평가관리 및 사후관리 방안을 마련하게 되는데 해당기업과 유사한 타 기업의 개인정보보호 관리체계를 벤치마킹하거나 전문가를 통해 개선방안을 마련하는 방법이 있습니다.
현재 KISA에서는 이미 미국과 호주 등 경제협력개발기구(OECD) 회원국들에서는 적용되고 있는 개인정보 영향평가 프로그램이 국내 기업들에 제대로 정착하기 위해서는 시간이 필요할 것으로 보고 있습니다. 아직까지 몇몇 대기업 위주로 움직임을 보이고 있기는 하지만 제도의 활성화는 곧 기업의 개인정보보호 수준향상으로 이어진다는 점에서 개인정보를 보유한 기업의 자발적인 참여를 유도하고 있습니다. 보안의 허점을 찾아내 대비하는 자체적인 노력이 단순한 법적 규제에 의해 책정된 수준보다 더 높은 수준을 유지할 수 있는 점에서 더욱 중요하다고 KISA측은 강조하고 있습니다.
이홍석기자 redstone@
7개 단계 영향평가 거쳐
보안 침해사고 예방유도
법적규제보다 효과 높아
지난해 온라인 게임업체의 대규모 명의도용 사고가 발생하면서 개인정보보호는 정부차원의 문제만이 아닌 일반기업들에게도 민감한 이슈가 됐습니다. 특히 개인정보보호에 대한 조치를 제대로 취하지 않아 발생하는 개인정보유출과 같은 사고가 기업에게 큰 금전적 피해를 입힐 수 있다는 우려로 인해 기업들은 개인정보보호에 관심을 가지며 이를 강화하기 위한 노력들을 진행하고 있습니다. 이는 개인정보보호가 단순히 보호해야 할 대상이라는 당위적 접근에서 한 걸음 더 나아가 기업의 이익과 직결된다는 점을 인식, 자발적인 접근을 하고 있는 것이라 할 수 있습니다.
이런 현실에서 기업은 개인정보 관련 사고를 예방하는 한편 개인정보보호 강화를 실천할 수 있는 자체적인 점검 수단을 필요로 하기 마련인데요, 오늘은 정보통신부와 한국정보보호진흥원(KISA)이 기업들의 이러한 고민을 해결해 주기 위해 개발한 `개인정보 영향평가 프로그램'에 대해 알아보도록 하겠습니다.
◇개인정보 영향평가 프로그램이란=지난 2005년 11월 개발된 개인정보 영향평가 프로그램은 기업 스스로 자사의 개인정보보호 수준을 가늠할 수 있는 자가진단 프로그램으로, 이는 법적 규제나 의무화된 정보보호 안전진단이나 주요기반 시설 지정에 따른 의무조치와 달리 기업정보보호 관리를 기업 자율에 맡기기 위한 차원에서 개발됐습니다. 기업들은 이 프로그램을 통해 개인정보를 다루는 기업을 대상으로 `개인정보 침해 집중 예방', `개인정보 관리체계 점검' 등을 위해 단계별 항목을 점검함으로써 개인정보보호를 둘러싼 위험요소를 도출할 수 있습니다.
개인정보를 다량 보유 및 관리하는 정보시스템을 신규 구축하거나 변경할 때 발생할 수 있는 개인정보 침해요인 분석에서부터 모바일 무선인식(RFID)처럼 새로운 기술 또는 기존의 기술 통합 등으로 인해 프라이버시 침해가 발생할 가능성이 있는 요소까지 개인정보 관리와 관련한 다양한 시스템에 범용적으로 적용할 수 있습니다. 이는 정형화된 프로그램을 통해 기업이 개인정보보호를 위한 능동적이고 자율적인 노력을 이끌어 낼 수 있다는 점이 가장 큰 장점으로 꼽힙니다.
◇개인정보 영향평가 7단계=개인정보 영향평가 프로그램은 사전분석→영향평가수행 주체 선정→개인정보 관련 정책 법규 및 사업내용 검토→정보흐름 분석→개인정보 침해요인 분석 및 위험평가→개선 계획 수립 및 위험관리→보고서 작성 및 제출 등 7단계를 통해 기업 스스로 개인정보 침해사고에 대한 예방활동을 할 수 있도록 유도하고 있습니다. 첫 번째인 사전분석 단계에서는 일련의 체크리스트를 통해 개인정보 영향평가 도입 필요 여부를 결정하게 되고 2,3단계에서는 사업주관부서, 개인정보 소유부서, 시스템 운영부서 등으로 구분해 개인정보 영향평가팀을 구성하고 조직 내 개인정보 관리절차 및 방법, 개인정보보호 정책 및 관리책임자를 구분, 선정하게 됩니다. ▶표1 개인정보 영향평가팀 업무 배분 예시
그 다음 정보흐름 분석 단계에서는 시스템 내에서의 개인정보 유통 경로와 이용, 외부로의 제공 등을 살펴보게 되는데 수집된 각각의 개인정보가 기업의 업무절차와 조직 내에서 어떻게 흘러가는지, 즉 생성ㆍ활용ㆍ폐기 등의 일련의 과정을 도표화합니다. 이 단계에서는 개인정보 수집ㆍ활용ㆍ제공 등에서 어떠한 관리적ㆍ기술적 보안 조치가 이뤄지는지를 검토하게 되는데 이를 통해 회사 업무 단계와 정보흐름 과정별로 어떠한 개인정보 침해요인 및 가능성이 존재하는지 시각적으로 분석할 수 있는 근거를 마련하게 됩니다.
그 다음으로는 각 단계별 정보흐름 분석을 바탕으로 개인정보 오남용 사고의 가능성 등을 분석하고 위험평가에 대한 방법을 도출하게 됩니다. 즉 담당자의 부주의와 개인정보의 열람권한 미 분류 등으로 인해 개인정보가 유출 혹은 남용될 수 있는지를 검토하고 시스템 개선이나 보안 교육 실시 등 개선계획을 도출합니다. ▶표2 위험평가표 예시
이같은 일련의 과정을 통해 개인정보 영향평가가 완료되면, 평가보고서를 비롯한 평가관리 및 사후관리 방안을 마련하게 되는데 해당기업과 유사한 타 기업의 개인정보보호 관리체계를 벤치마킹하거나 전문가를 통해 개선방안을 마련하는 방법이 있습니다.
현재 KISA에서는 이미 미국과 호주 등 경제협력개발기구(OECD) 회원국들에서는 적용되고 있는 개인정보 영향평가 프로그램이 국내 기업들에 제대로 정착하기 위해서는 시간이 필요할 것으로 보고 있습니다. 아직까지 몇몇 대기업 위주로 움직임을 보이고 있기는 하지만 제도의 활성화는 곧 기업의 개인정보보호 수준향상으로 이어진다는 점에서 개인정보를 보유한 기업의 자발적인 참여를 유도하고 있습니다. 보안의 허점을 찾아내 대비하는 자체적인 노력이 단순한 법적 규제에 의해 책정된 수준보다 더 높은 수준을 유지할 수 있는 점에서 더욱 중요하다고 KISA측은 강조하고 있습니다.
이홍석기자 redstone@
