개인정보의 안전성 확보조치 기준: 내부관리계획 및 암호화 적용방안 분석

 

1. 개인정보 보호의 법적 안전장치, 안전성 확보조치 기준의 개요

• 정의: 개인정보처리자가 개인정보를 처리함에 있어 분실·도난·유출·위조·변조 또는 훼손되지 아니하도록 안전성을 확보하기 위해 취해야 하는 기술적·관리적·물리적 조치에 관한 최소한의 기준(고시).

• 구성 체계: 내부관리계획 수립, 접근 통제, 접속기록 보관, 암호화, 악성프로그램 방지, 물리적 접근 방지 등으로 구성됨.

2. 내부관리계획의 수립 및 이행 (관리적 보안의 핵심)

개인정보보호책임자(CPO)의 주도로 조직 내 개인정보 보호 체계를 명문화하고 실행하는 단계입니다.

가. 주요 포함 내용 (고시 제4조)

1. 개인정보 보호조직: 개인정보보호책임자(CPO) 및 담당자의 지정과 역할 정의.

2. 인적 보안: 임직원 및 수탁자에 대한 정기적인 개인정보 보호 교육 계획.

3. 기술적/물리적 보안: 접근 권한 관리, 접속기록 점검, 암호화 기술 적용 등의 세부 운영 방침.

4. 침해사고 대응: 개인정보 유출 사고 발생 시 대응 절차 및 피해 복구 대책.

나. 이행 및 점검 절차

• 수립: 조직의 규모와 개인정보 처리량(소상공인/중소기업/대규모 기관 구분)에 따른 차등 수립.

• 승인: 최고경영자 또는 CPO의 공식 승인을 거쳐 전 임직원에게 공표.

• 점검: 연 1회 이상 이행 실태를 점검하고, 미비점 발견 시 즉시 내부관리계획을 수정·보완.

3. 개인정보 암호화 적용방안 (기술적 보안의 핵심)

개인정보가 유출되더라도 그 내용을 알 수 없도록 하는 최후의 방어 수단입니다.

가. 암호화 대상 및 범위 (고시 제7조)

암호화 대상	적용 상세 및 예시
고유식별정보	주민등록번호, 여권번호, 운전면허번호, 외국인등록번호
인증 정보	비밀번호(일방향 암호화), 생체인식정보(지문, 홍채 등)
외부망 전송	정보통신망을 통해 개인정보를 송수신하는 경우 (SSL/TLS 등)
저장 데이터	PC 저장 시 또는 DMZ 등 외부 노출 위험 구역 저장 시 필수

나. 기술적 암호화 적용 방식

1. 비밀번호의 암호화: 복호화가 불가능한 일방향 암호화(Hash) 방식을 적용 (Salt 추가 권고).

2. 저장 데이터 암호화: 대칭키(AES-256 등) 또는 공개키 암호화 알고리즘 사용.

   • DB 암호화 기법: API 방식, Plug-In 방식, TDE(Transparent Data Encryption) 방식 중 성능과 보안성을 고려하여 선택.

3. 전송 시 암호화: 웹 구간(HTTPS), 파일 전송(SFTP), 구간 암호화(VPN) 등을 적용하여 스니핑 방지.

4. 안전성 확보를 위한 기술사적 제언 및 향후 전망

• 암호키 관리의 중요성: 암호화 알고리즘보다 **암호키(Key)**의 생성·보관·파기 주기를 관리하는 것이 더 중요하며, HSM(Hardware Security Module) 도입 고려 필요.

• Zero Trust 관점의 접근: 경계 보안만으로는 부족하며, 데이터 자체에 대한 접근 제어와 지속적인 모니터링이 결합된 제로 트러스트 보안 모델로의 전이 요구됨.

• 결언: 안전성 확보조치 기준은 법적 처벌 방어를 위한 최소한의 가이드라인임. 기술사는 기업의 비즈니스 특성에 맞춘 최적의 보안 아키텍처를 설계하여 '규제 준수(Compliance)'와 '실질적 보안'을 동시에 달성해야 함.