개인정보 안전성 확보조치

왜 배우는가: 개인정보 유출 사고가 반복되면서 기업은 개인정보 안전성 확보조치를 법적 의무로 이행해야 하고, 기술사 시험에서는 고시의 항목을 ISO 27001·DB보안 관점과 연결해 묻는 문제가 반복적으로 출제된다. 이 절은 기준 체계와 개념의 출발점을 정리한다.

출제 이력: 제131회 4교시 2번, 제102회 4교시 3번

1. 한 줄 정의와 핵심 키워드

개인정보 안전성 확보조치는 개인정보처리자가 개인정보의 분실·도난·유출·변조·훼손을 막기 위해 이행해야 하는 관리적·기술적·물리적 보호조치 기준이다.

• 안전성 확보조치
• 내부관리계획
• 접근통제
• 접속기록
• 암호화
• 악성프로그램 방지
• 물리적 안전조치

2. 개념 풀이

쉬운 말로 하면, 개인정보를 가진 조직이 사고를 막으려고 지켜야 할 최소한의 보안 수칙이다. 개인정보를 모으는 것보다 지키는 책임이 더 무겁다는 뜻이다.

정식 정의는 「개인정보 보호법」 제29조에 따라 개인정보처리자가 개인정보가 분실·도난·유출·위조·변조 또는 훼손되지 않도록 대통령령으로 정하는 기준에 따라 안전성 확보에 필요한 조치를 하도록 한 규정에서 나온다. 그 구체적 기준이 「개인정보의 안전성 확보조치 기준」 고시다.

개인정보처리자는 업무를 목적으로 개인정보를 처리하는 공공기관, 법인, 단체, 개인을 말한다. 이 주체가 고시의 적용 대상이다.

개인정보 침해사고는 해킹, 컴퓨터바이러스, 논리폭탄, 메일폭탄, 서비스 거부 또는 고출력 전자기파 등으로 정보시스템을 공격해 개인정보가 유출·파기·훼손된 결과를 말한다. 고시는 이런 사고를 막는 통제를 항목별로 정한다.

보조저장매체는 이동형 하드디스크, USB메모리, CD, DVD 등 개인정보처리시스템과 쉽게 분리되는 저장매체다. 반출·입 통제와 암호화 대상에 들어간다.

접속기록은 개인정보취급자가 개인정보처리시스템에 접속한 사실을 알 수 있는 계정, 접속일시, 접속자 정보, 수행업무를 전자적으로 기록한 것이다. 사후 추적의 근거가 된다.

3. 등장 배경과 필요성

개인정보 유출 사고가 대형화하면서 사후 처벌 중심에서 사전 예방 중심으로 제도가 바뀌고 있다. 유출 신고 건수가 늘고, 수백만 명 이상이 영향을 받는 사례도 나오고 있다. 기업이 예산과 인력을 사전에 투자하도록 유도하는 것이 정책의 방향이다.

고시가 필요한 이유는 기준이 없으면 조직마다 보호 수준이 달라지기 때문이다. 고시는 최소 기준을 정해 모든 개인정보처리자가 같은 수준의 통제를 갖추도록 한다. 내부관리계획, 접근통제, 암호화, 접속기록 보관, 악성프로그램 방지, 물리적 접근 방지, 파기가 핵심 항목이다.

기술 환경이 바뀌면서 기준의 범위도 넓어졌다. 클라우드, 원격근무, 생성형 인공지능 활용으로 개인정보가 처리되는 경로가 늘었다. 그래서 기존 시스템 중심 통제만으로는 부족하고, ISO/IEC 27001 같은 관리체계와 DB보안 같은 데이터 중심 통제를 함께 보아야 한다.

시험 관점에서는 이 배경이 '왜 이 조치를 강화해야 하는가'를 설명하는 근거가 된다. 사고 피해(스미싱, 카드 재발급 비용, 집단 소송)와 조치 항목을 연결하는 답안 구조를 익혀 두어야 한다.

4. 구성요소·원리·절차

안전성 확보조치는 개인정보를 처리하는 시스템 전 구간에 관리적·기술적·물리적 통제를 함께 적용하는 체계다. 각 구성요소는 내부관리계획을 기준으로 설계하고 점검한다.

위 표의 구성요소는 독립된 항목이 아니다. 내부관리계획이 나머지 항목의 책임과 주기를 정하고, 나머지 항목의 이행 결과가 내부관리계획의 점검 근거가 된다. 따라서 답안에서는 내부관리계획을 상위 체계로 두고 나머지를 하위 통제로 배치한다.

원리는 위험 기반 접근이다. 처리 현황을 먼저 파악하고, 위험이 큰 대상(고유식별정보, 비밀번호, 바이오정보)에 더 강한 통제를 적용한다. 그 결과를 다시 내부관리계획에 반영하는 순환 구조다.

절차는 다음 순서로 수행한다.

• 개인정보 처리 현황과 위험을 분석한다.
• 위험 분석 결과를 반영해 내부관리계획을 수립하고 승인받는다.
• 접근통제, 암호화, 접속기록, 악성프로그램 방지, 물리적 조치를 적용한다.
• 접속기록과 시스템 점검을 주기적으로 수행하고 결과를 기록한다.
• 점검 결과로 취약점을 개선하고 내부관리계획을 변경한다.

5. 관련 법령·기준·표준

근거 법률은 「개인정보 보호법」 제29조(안전조치의무)다. 세부 기준은 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시)이 정한다. 이 고시는 구 「개인정보의 기술적·관리적 보호조치 기준」을 현행 명칭으로 바꾼 것이다.

표의 값은 고시 원문 조문에 있는 값이다. 고시가 정한 기준은 최소 기준이므로, 위험이 큰 시스템은 더 강한 통제를 추가로 적용한다.

6. 유형과 비교

개인정보 안전성 확보조치는 조치 대상에 따라 관리적·기술적·물리적 조치로 나뉜다. 관리적 조치는 내부관리계획과 교육·권한 관리를, 기술적 조치는 접근통제·암호화·접속기록·악성프로그램 방지를, 물리적 조치는 출입통제와 보조저장매체 보관을 맡는다. 세 조치는 서로 빠질 수 없으며, 한 축만 강화하면 나머지 축의 공백으로 유출이 일어난다.

위 표는 고시의 조치 체계를 세 축으로 나눈 것이다. 답안에는 관리적 조치를 먼저 쓰고, 이어서 기술적 조치와 물리적 조치를 순서대로 쓰면 된다. 기술적 조치 항목은 DB 보안 관점과 연결된다.

암호화 방식은 저장 암호화, 전송 암호화, 비밀번호 일방향 암호화로 구분한다. 각 방식은 보호 대상과 알고리즘이 다르다.