<4D F736F F F696E74202D2033B1B3BDC320B0B3C0CEC1A4BAB820B1E2BCFAC0FB20B0FCB8AEC0FB20BAB8C8A3C1B6C4A12DC1A4C2F9C1D6BCB1C0D3205BC8A3C8AF20B8F0B5E55D>

Size: px

Start display at page:

Download "<4D F736F F F696E74202D2033B1B3BDC320B0B3C0CEC1A4BAB820B1E2BCFAC0FB20B0FCB8AEC0FB20BAB8C8A3C1B6C4A12DC1A4C2F9C1D6BCB1C0D3205BC8A3C8AF20B8F0B5E55D>"

해령 문
6 years ago
Views:

2 I. 개요 II. 개인정보의기술적ᆞ 관리적보호조치기준 III. 사례

4 공공기관의개인정보보호에관한법률 공공기관의정보공개에관한법률 전자정부법 주민등록법, 호적법등 공공행정 교육 정보통신 우리나라개인정보보호법률체계 초중등교육법 교육정보시스템의운영등에관한규칙등 정보통신망이용촉진및정보보호등에관한법률 통신비밀보호법 정보통신기반보호법 전기통신사업법등 금융 / 신용 의료 신용정보의이용및보호에관한법률 금융실명거래및비밀보장에관한법률, 전자거래기본법 전자상거래등에서의소비자보호에관한법률 생명윤리및안전에관한법률 장기등이식에관한법률 응급의료에관한법률

5 정보통신망법 ( 개정 ) 제 28 조 ( 개인정보의보호조치 ) 정보통신망법시행령 ( 개정 ) 제 15 조 ( 개인정보의보호조치 ) 개인정보의기술적 ᆞ 관리적보호조치기준 ( 개정 ) 1 개인정보내부관리계획수립ᆞ시행 2 침입차단시스템등접근통제장치설치ᆞ운영 3 접속기록위조ᆞ변조방지를위한조치 4 개인정보저장ᆞ 전송시암호화기술등보안조치 5 컴퓨터바이러스에의한침해방지조치 6 안전성확보를위한그밖의보호조치등 제 73 조기술적ᆞ 관리적조치 [2~5] 를하지아니하여이용자의개인정보를분실ᆞ 도난 ᆞ누출ᆞ변조또는훼손한자 (2년이하징역또는 1천만원이하과태료 ) 제 76 조 기술적 ᆞ 관리적조치 [1, 6] 를하지아니한자 (3 천만원이하과태료 )

6 기간통신사업자 ( 전기통신사업법제5조제1항 ) 별정통신사업자 ( 전기통신사업법제19조 부가통신사업자 ( 전기통신사업법제 21 조 전기통신사업자 정보통신서비스 영리를목적으로전기제공자통신사업자의전기통신역무를이용해정보를제공하거나매개하는자 적용대상 기타 정보통신서비스제공자로부터법제24조의 2 제 1 항에따라이용자의동의를얻어개인정보를제공받은자 개인정보의취급업무를위탁받은자 ( 정보통신망법제 25 조제 1 항, 제67조제2항 )

7 해킹또는내부자에의한개인정보유출과 유출된개인정보를활용한 2 차피해확산의문제등에대응 해킹공격에대한개인정보처리시스템의안전성강화를위해접근통제 규칙및방법상세화 해킹또는유출등침해사고발생징후를예측하고, 대응하는데필요한 관리 ᆞ 감독강화 해킹을통해유출된주민등록번호, 계좌번호등금융정보의불법사용을 방지하기위해개인정보의암호화강화

8 공격자 개인정보취급자 개인정보보호조직 개인정보취급자 출력ᆞ복사물 이용자 DB 이용자 전송구간 서버 개인정보처리시스템

10 정보통신서비스제공자의사업장내에서이용자의개인정보를수집, 보관, 처리, 이용, 제공, 관리또는파기등의업무를하는자 시스템 ( 데이터베이스 ) 운영자, 개인정보보호담당자등포함 개인정보취급자를최소한으로제한 ( 정보통신망법제 28 조제 2 항 ) 개인정보를처리할수있도록체계적으로구성한데이터베이스시스템 일반적으로 DBMS 를사용하나파일처리시스템으로구성한경우도포함 개인정보처리시스템에접속하여수행한업무내역에대하여식별자, 접속일시, 접속지를알수있는정보, 수행업무등접속한사실을전자적으로기록한것 의무적으로보관해야하는접속기록은개인정보취급자의업무내역으로한정

11 체계적이고전사적인계획하에개인정보보호활동을수행하기위함 개인정보보호조직 개인정보관리책임자 (CPO) 지정 임원또는고충처리부서의장개인정보취급자지정담당자별업무및임무지정 개인정보보호교육 보호조치세부사항 기타 교육계획수립및연 2 회이상교육 / 학습공간 / 개인정보보호담당자과정 접근통제, 접속기록위ᆞ 변조방지, 개인정보암호화악성프로그램방지, 출력ᆞ복사시보호조치개인정보표시제한보호조치 ( 권고 ) 보안서약서작성, 임직원인식제고, 개인정보노출방지대책등

13 개인정보처리시스템에대하여인가되지않는접근 ( 개인정보의불법사용, 누출, 변조ᆞ 훼손등 ) 을관리적 ( 조직내부의정책또는규정등 ) 또는기술적방법으로차단 개인정보를개인정보처리시스템의개인정보접근권한은서비스제공을위하여필요한개인정보관리책임자또는개인정보취급자에게만부여 개인정보취급자변경시지체없이개인정보처리시스템의접근권한변경개인정보처리시스템에대한권한부여, 변경또는말소에대한내역을기록하고, 그기록을최소 5년간보관 개인정보취급자의담당업무에기초하여접근권한결정 자신의업무수행에필요한가장낮은수준의권리와권한만을부여 필요한가장짧은시간동안만보유해야함 RBAC (Role Based Access Control) 모델

14 외부망을통해개인정보처리시스템접속시공인인증서등안전한인증수단적용 일반적으로 ID/PW 만을이용하여개인정보처리시스템에접속시키로깅등에의한 ID/PW 노출에따른위험이증가하므로추가적인인증수단의적용필요 공인인증서이외에보안토큰, OTP, 휴대폰인증, 카드번호, IP 주소등활용가능 불법적인접근및침해사고방지를위해침입차단ᆞ 침입탐지기능을갖는시스템설치운영 해당기능을수행하는다양한방법이존재하므로기존 Firewall 과 IDS 등특정제품명으로기술된것을일반기능으로추상화 Firewall, IDS, 침입방지시스템, 웹방화벽, 네트워크장비 ACL(Access Control List) 등활용가능 목적달성을위해시스템도입이후정책설정및로그분석등적절한운영 ᆞ 관리가중요

15 IP 주소및프로토콜 / 포트별서비스제어가능및 NAT, VPN 구현가능 접근제어, 로깅및감사추적, 인증, 암호화기능제공 자원의기밀성, 무결성, 가용성을위협하는불법적인침입행위탐지목적 자료수집, 필터링및축약, 침입탐지, 책임추적성과대응기능 불법사용자 F/W 개인정보처리시스템 네트워크 IDS 데이터 데이터 분석및 수집 가공 탐지 보고및대응 호스트 패턴및 Log DB 정당한사용자

16 안전한비밀번호를이용할수있도록작성규칙수립ᆞ 이행 [ 작성규칙내용은자율 ] 안전한비밀번호패스워드작성규칙수립ᆞ이행 3종류이상문자구성 (8자이상), 2종류문자구성 (10자이상) 생일, 전화번호등추측하기쉬운숫자를이용한패스워드이용금지비밀번호유효기간을설정하여반기별 1회이상변경패스워드안전성검증 S/W 활용가능 ( 안전한 U-사회환경조성 암호이용활성화 ) 개인정보가열람권한없는자에게공개되거나외부에유출되지않도록보호조치 인터넷홈페이지 ( 관리자페이지노출, 소스코드오류등 ), P2P, 공유설정등

17 불법적인접근또는행동을확인할수있는중요자료로서개인정보 DB 열람 ᆞ 수정 ᆞ 삭제 ᆞ 출력작업을기록 처리일시, 처리내역등을저장하고월 1 회이상정기적으로확인 ᆞ 감독 최소 6 개월이상보존ᆞ 관리 ( 단, 기간통신사업자는 2 년이상 ) 정보주체식별정보취급자식별정보접속일시접속지수행업무 홍길동 (HGD) :00: 조회 ( 고객응대 ) 접속기록을별도의물리적인저장장치에보관하고정기적으로백업수행 CD-ROM, HMAC 값또는전자서명값등위 ᆞ 변조여부를확인할수있는방법권장

18 해킹또는내부자에의해개인정보가유출되더라도재활용이불가능하도록암호화저장 비밀번호및바이오정보는복호화되지않도록일방향암호화하여저장 일방향암호화는암호화된데이터로부터암호화전데이터를복구될수없는방식을의미 보안강도 80비트이상 NIST CRYPTREC ECRYPT ( 미국 ) ( 일본 ) ( 유럽 ) SHA-1 SHA-224/256 /384/ 비트이상 SHA-224/256/384 /512 SHA-1 SHA-256/384/512 RIPEMD-160 SHA-256/384/ 비트이상 SHA-256/384/512 SHA-256/384/512 SHA-1 SHA-224/256 /384/512 RIPEMD-160 Whirlpool 국내 SHA-1 HAS-160 SHA-256/384/512 안전성보장기간 ( 년도 ) 2010년까지 SHA-224/ 년부터 /384/512 SHA-256/384/ 년까지 Whirlpool ( 최대 20년 ) SHA-256/384/512 Whirlpool SHA-256/384/ 년이후 ( 최대 30 년 )

19 주민등록번호, 신용카드번호, 계좌번호는안전한알고리듬으로암호화하여저장 보안강도 AES-128/192/ 비트이상 2TDEA 3TDEA 112비트이상 AES-128/192/256 3TDEA 128 비트이상 AES-128/192/ 비트이상 AES-192/ 비트이상 AES-256 NIST CRYPTREC ECRYPT ( 미국 ) ( 일본 ) ( 유럽 ) AES-128/192/256 3TDEA Camellia-128 /192/256 MISTY1 AES-128/192/256 3TDEA Camellia-128 /192/256 MISTY1 AES-128/192/256 Camellia-128 /192/256 MISTY1 AES-192/256 Camellia-/192/256 AES-256 Camellia-256 AES-128/192/256 2TDEA 3TDEA KASUMI Blowfish 국내 SEED ARIA-128/192/256 AES-128/192/256 Blowfish SEED KASUMI ARIA-128/192/256 3TDEA AES-128/192/256 Blowfish KASUMI AES-192/256 Blowfish AES-256 Blowfish SEED ARIA-128/192/256 ARIA-192/256 ARIA-256 안전성보장기간 ( 년도 ) 2010 년까지 2011 년부터 2030년까지 ( 최대 20년 ) 2030 년이후 ( 최대 30 년 )

20 이용자서비스제공등반드시사용할필요가있는주요정보에대해서는부분암호화인정 주민등록번호는생년월일과성별 ( 또는외국인 ) 정보를포함 7 자리 ( # &] 신용카드번호는카드유형정보및발급기관정보를포함한 6 자리 ( $ ^] 정보통신망을통해이용자의개인정보및인증정보를송 ᆞ 수신할때안전한보안서버구축등의조치를통해이를암호화해야함 보안서버 라함은정보통신망에서송 ᆞ 수신하는정보를암호화하여전송하는웹서버 웹서버에 SSL(Secure Socket Layer) 인증서를설치하여구축 또는웹서버에암호화응용프로그램을설치하여구축

21 [ 보안서버구축웹사이트 ] [ 보안서버미구축웹사이트 ] 인터넷 암호화통신 인터넷 A 쇼핑몰 ( 보안서버 ) 홍길동 Kdfl887^5$# !2erpmbv&% 홍길동개인정보입력 공격자공격자 암호화되지않은개인정보는공격자가획득가능!! B 쇼핑몰 ( 일반서버 ) 이용자의개인정보를개인용컴퓨터 (PC) 에저장할때암호화 문서암호화전용시스템구축, OS 제공파일암호화기능, 오피스저장옵션에서제공하는 암호설정기능등사용가능

22 백신소프트웨어를월 1 회이상주기적으로갱신 ᆞ 점검 백신소프트웨어및운영체제업데이트공지가있는경우정합성을고려하여갱신 ᆞ 점검 <iframe src =" name ="A" width="0" frameborder="0" > 2. Insert Iframe < 악성코드경유지 < 악성코드유포지 1.Web hacking ( 국내유명포털등 )> ( 해외또는국내 )> (SQL Injection) 4. Malicious Code Infected 3. Visit Web Site 공격도구 5. Game ID/PW 공격자 이용자

23 개인정보출력시용도를특정하고출력항목을최소화 개인정보의종이인쇄및이동식저장매체저장시사전승인 출력ᆞ 복사물일련번호 출력ᆞ 복사를한자의소속및성명 출력ᆞ복사물의형태 출력ᆞ복사물을전달받을자 출력ᆞ 복사일시 출력ᆞ 복사물의파기일자 출력ᆞ복사의목적 출력ᆞ복사물의파기책임자 우편발송, 고지서발급등을위하여개인단위로종이에인쇄하는경우일련번호표시를면함

24 사업자가개인정보표시제한보호조치를자율적으로준수하는경우에일관성을확보하여 2 개이상의사업장에서유출된개인정보를이용하더라도완전한개인정보집합을구성할수없도록하고자함 성명중이름의첫번째글자이상 생년월일 전화번호또는휴대폰전화번호의국번 주소의읍 ᆞ 면 ᆞ 동 인터넷주소는 버전 4 의경우 17 ~ 24 비트영역 버전 6 의경우 113 ~ 128 비트영역

26 OO 은행에서고객에게이메일을발송하는과정에서다른고객의성명, 주민등록번호, 전자메일주소등개인정보를수록한파일을첨부하여발송 주민등록번호 개인정보가누출된이용자들에대한위자료지급판결 ( 성명, 주민등록번호, 전자메일주소가누출된이용자 : 각 10 만원배상 ) ( 성명, 전자메일주소가누출된이용자 : 각 7 만원 )

27 신청인성명을검색사이트를통해 OO 베이커리에서자신의개인정보가노출되는것을알고손해배상을요구하여분쟁조정위원회에서조정 OO 베이커리는개인정보를수집관리하는데필요한기술적ᆞ 관리적보호조치를취하지않아개인정보가유출되었으므로손해배상금 30만원지급조정

28 해킹에의해 OO 쇼핑몰고객정보 1,081 만건유출 ( 성명, 주민등록번호, 전자메일주소, 구매내역, 계좌번호등 )

29 OO 주유업체 1,100만명고객정보유출위탁업체직원이주유보너스카드발급고객정보를유출시도의도적인유출및유용내부직원 ID를이용해행정보조원이주민번호불법유출및금품수수 ( 06.9월) 주민 4000 여명의주소와전화번호제공

30 성형외과환자개인정보노출등의료기관 나도모르게내사진떠돈다?. 수술전 ᆞ 후사진인터넷유포심각 ( 07.6 월 )

31 민원, 의견, 제안, 진정등민원인이직접홈페이지게시판등에게재한개인정보를방치

32 홈페이지를잘못설계하여개인정보가노출된경우 ( 공개할화면의범위를잘못설정 )

33 주요 P2P 사이트내개인정보가포함된문서, 그림, 사진파일공유 Pruna, e-donkey, imash, KaZaA, 파일구리등 이력서, 주민등록번호등을활용한개인정보수집가능 개인정보수집 P2P 프로그램을이용한이력서및주민번호검색

34 감사합니다

Microsoft PowerPoint - Ppt [읽기 전용]

Microsoft PowerPoint - Ppt [읽기 전용] I. 개요 II. 개인정보의기술적 ᆞ 관리적보호조치기준 공공기관의개인정보보호에관한법률 공공기관의정보공개에관한법률 전자정부법 주민등록법, 호적법등 공공행정 교육 정보통신 우리나라개인정보보호법률체계 초중등교육법 교육정보시스템의운영등에관한규칙등 정보통신망이용촉진및정보보호등에관한법률 통신비밀보호법 정보통신기반보호법 전기통신사업법등 금융 / 신용 의료 신용정보의이용및보호에관한법률