■ 개인정보 안전성 확보 기준
■ 스마트 시큐리티 시대 열자
<3부> 개인정보보호 2.0 시대
3-2. 개인정보보호법 대비는 이렇게
개인정보보호법 발효와 함께 사업자들은 개인정보를 처리함에 있어 안전성을 확보하기 위해 다양한 조치를 취해야한다. 최근 행안부는 이러한 내용을 담은 `개인정보의 안전성 확보조치 기준 고시(안)'을 발표했다. 이를 참고로 기업들은 내부 보안을 강화해야한다.
주요 내용을 살펴보면 우선 내부관리계획을 수립ㆍ시행(제3조)해야한다. 개인정보처리자는 개인정보의 안전한 처리를 위해 △개인정보보호책임자 지정 △개인정보보호책임자 및 개인정보취급자의 역할 및 책임에 관한 사항 △개인정보의 안전성 확보에 필요한 조치 △개인정보취급자에 대한 교육 등에 관한 내부 관리 계획을 수립, 시행해야 한다.
개인정보처리시스템에 대한 접근 권한 관리(제4조)도 필요하다. 개인정보처리자는 개인정보처리시스템에 대한 접근권한을 업무 수행에 필요한 최소한의 범위로 업무 담당자에 따라 차등 부여해야 한다. 또 전보 또는 퇴직 등 인사이동이 발생해 개인정보취급자가 변경됐을 때 지체 없이 개인정보처리스템의 접근 권한을 변경 또는 말소해야 한다. 이 내용은 최소 3년 간 보관해야하며, 개인정보처리시스템에 접속할 수 있는 사용자 계정을 발급하는 경우, 개인정보취급자 별로 한 개의 사용자 계정을 발급해 다른 개인정보취급자와 공유되지 않도록 해야한다.
개인정보처리자는 정보통신망을 통한 불법적인 접근 및 침해사고를 방지하고 위해 다양한 기능을 포함한 시스템을 설치ㆍ운영(제6조)해야한다. 개인정보처리시스템에 대한 접속 권한을 IP주소 등으로 제한해 인가 받지 않은 접근을 제한해야 하며, 개인정보처리시스템에 접속한 IP 주소 등을 재분석해 불법적인 개인정보 유출 시도를 탐지해야 한다. 또 개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우, 가상사설망(VPN) 또는 전용선 등 안전한 접속수단을 적용해야 한다.
고유식별번호, 비밀번호 및 바이오정보 개인정보 등은 암호화 대상이다. 개인정보처리자는 이들 개인정보를 정보통신망을 통해 송ㆍ수신하거나 보조 저장매체 등을 통해 전달하는 경우 암호화해야한다. 특히 비밀번호 및 바이오정보는 암호화해 저장해야하며, 비밀번호를 저장하는 경우에는 복호화 되지 않도록 일방향 암호화 해 저장해야한다.
또 인터넷 구간 및 인터넷 구간과 내부망의 중간지점(DMZ)에 고유식별정보를 저장하는 경우에도 이를 암호화해야 한다.
이밖에 개인정보처리자는 개인정보취급자가 개인정보시스템에 접속한 기록을 최소 6개월 이상 보관ㆍ관리해야하며, 개인정보취급자의 접속기록이 위ㆍ변조 및 도난, 분실되지 않도록 해당 접속기록을 안전하게 보관해야 한다.
또 개인정보처리시스템 또는 업무용 컴퓨터에 악성 프로그램 등을 방지ㆍ치료할 수 있는 백신 소프트웨어 등의 보안 프로그램을 설치ㆍ운영(제9조)해야하며, 자동 업데이트 기능을 사용하거나, 일1회 이상 업데이트를 실시해야한다. 악성 프로그램 관련 경보가 발령된 경우 혹은 사용 중인 응용 프로그램이나 운영체제를 소프트웨어 제작업체에서 보안 업데이트 공지가 있는 경우 즉시 이에 따른 업데이트를 실시해야한다.
총 10조로 구성된 안전성 확보 조치 고시안은 개인정보보호연구회, 한국인터넷진흥원, 한국정보화진흥원 등 관계전문가의 검토 및 공청회를 거쳤으며, 이번 공개를 거쳐 조만간 공표될 예정이다. 자세한 사항은 개인정보보호종합포털사이트(http://www.privacy.go.kr/)를 참조하면 된다.
김지선기자 dubs45@
▶김지선기자의 블로그 : http://blog.dt.co.kr/blog/?mb_id=dubsrep
[저작권자 ⓒ디지털타임스 무단 전재-재배포 금지]
<3부> 개인정보보호 2.0 시대
3-2. 개인정보보호법 대비는 이렇게
개인정보보호법 발효와 함께 사업자들은 개인정보를 처리함에 있어 안전성을 확보하기 위해 다양한 조치를 취해야한다. 최근 행안부는 이러한 내용을 담은 `개인정보의 안전성 확보조치 기준 고시(안)'을 발표했다. 이를 참고로 기업들은 내부 보안을 강화해야한다.
주요 내용을 살펴보면 우선 내부관리계획을 수립ㆍ시행(제3조)해야한다. 개인정보처리자는 개인정보의 안전한 처리를 위해 △개인정보보호책임자 지정 △개인정보보호책임자 및 개인정보취급자의 역할 및 책임에 관한 사항 △개인정보의 안전성 확보에 필요한 조치 △개인정보취급자에 대한 교육 등에 관한 내부 관리 계획을 수립, 시행해야 한다.
개인정보처리시스템에 대한 접근 권한 관리(제4조)도 필요하다. 개인정보처리자는 개인정보처리시스템에 대한 접근권한을 업무 수행에 필요한 최소한의 범위로 업무 담당자에 따라 차등 부여해야 한다. 또 전보 또는 퇴직 등 인사이동이 발생해 개인정보취급자가 변경됐을 때 지체 없이 개인정보처리스템의 접근 권한을 변경 또는 말소해야 한다. 이 내용은 최소 3년 간 보관해야하며, 개인정보처리시스템에 접속할 수 있는 사용자 계정을 발급하는 경우, 개인정보취급자 별로 한 개의 사용자 계정을 발급해 다른 개인정보취급자와 공유되지 않도록 해야한다.
개인정보처리자는 정보통신망을 통한 불법적인 접근 및 침해사고를 방지하고 위해 다양한 기능을 포함한 시스템을 설치ㆍ운영(제6조)해야한다. 개인정보처리시스템에 대한 접속 권한을 IP주소 등으로 제한해 인가 받지 않은 접근을 제한해야 하며, 개인정보처리시스템에 접속한 IP 주소 등을 재분석해 불법적인 개인정보 유출 시도를 탐지해야 한다. 또 개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우, 가상사설망(VPN) 또는 전용선 등 안전한 접속수단을 적용해야 한다.
고유식별번호, 비밀번호 및 바이오정보 개인정보 등은 암호화 대상이다. 개인정보처리자는 이들 개인정보를 정보통신망을 통해 송ㆍ수신하거나 보조 저장매체 등을 통해 전달하는 경우 암호화해야한다. 특히 비밀번호 및 바이오정보는 암호화해 저장해야하며, 비밀번호를 저장하는 경우에는 복호화 되지 않도록 일방향 암호화 해 저장해야한다.
또 인터넷 구간 및 인터넷 구간과 내부망의 중간지점(DMZ)에 고유식별정보를 저장하는 경우에도 이를 암호화해야 한다.
이밖에 개인정보처리자는 개인정보취급자가 개인정보시스템에 접속한 기록을 최소 6개월 이상 보관ㆍ관리해야하며, 개인정보취급자의 접속기록이 위ㆍ변조 및 도난, 분실되지 않도록 해당 접속기록을 안전하게 보관해야 한다.
또 개인정보처리시스템 또는 업무용 컴퓨터에 악성 프로그램 등을 방지ㆍ치료할 수 있는 백신 소프트웨어 등의 보안 프로그램을 설치ㆍ운영(제9조)해야하며, 자동 업데이트 기능을 사용하거나, 일1회 이상 업데이트를 실시해야한다. 악성 프로그램 관련 경보가 발령된 경우 혹은 사용 중인 응용 프로그램이나 운영체제를 소프트웨어 제작업체에서 보안 업데이트 공지가 있는 경우 즉시 이에 따른 업데이트를 실시해야한다.
총 10조로 구성된 안전성 확보 조치 고시안은 개인정보보호연구회, 한국인터넷진흥원, 한국정보화진흥원 등 관계전문가의 검토 및 공청회를 거쳤으며, 이번 공개를 거쳐 조만간 공표될 예정이다. 자세한 사항은 개인정보보호종합포털사이트(http://www.privacy.go.kr/)를 참조하면 된다.
김지선기자 dubs45@
▶김지선기자의 블로그 : http://blog.dt.co.kr/blog/?mb_id=dubsrep
[저작권자 ⓒ디지털타임스 무단 전재-재배포 금지]
