I. 개요 II. 개인정보의기술적 ᆞ 관리적보호조치기준
공공기관의개인정보보호에관한법률 공공기관의정보공개에관한법률 전자정부법 주민등록법, 호적법등 공공행정 교육 정보통신 우리나라개인정보보호법률체계 초중등교육법 교육정보시스템의운영등에관한규칙등 정보통신망이용촉진및정보보호등에관한법률 통신비밀보호법 정보통신기반보호법 전기통신사업법등 금융 / 신용 의료 신용정보의이용및보호에관한법률 금융실명거래및비밀보장에관한법률, 전자거래기본법 전자상거래등에서의소비자보호에관한법률 생명윤리및안전에관한법률 장기등이식에관한법률 응급의료에관한법률
정보통신망법 ( 08. 6. 13 개정 ) 제 28 조 ( 개인정보의보호조치 ) 정보통신망법시행령 ( 09. 1. 28 개정 ) 제 15 조 ( 개인정보의보호조치 ) 1 개인정보내부관리계획수립ㆍ시행 2 침입차단시스템등접근통제장치설치ㆍ운영 3 접속기록위조ㆍ변조방지를위한조치 4 개인정보저장ㆍ전송시암호화기술등보안조치 5 컴퓨터바이러스에의한침해방지조치 6 안전성확보를위한그밖의보호조치등 제 73 조 제 76 조 기술적ㆍ관리적조치 [2~5] 를하지아니하여이용자의개인정보를분실ㆍ도난ㆍ누출ㆍ변조또는훼손한자 (2 년이하징역또는 1 천만원이하과태료 ) 기술적ㆍ관리적조치 [1, 6] 를하지아니한자 (3 천만원이하과태료 )
기간통신사업자 ( 전기통신사업법제 5 조제 1 항 ) 별정통신사업자 ( 전기통신사업법제 19 조 부가통신사업자 ( 전기통신사업법제 21 조 전기통신사업자 정보통신서비스 영리를목적으로전기제공자통신사업자의전기통신역무를이용해정보를제공하거나매개하는자 적용대상 기타 정보통신서비스제공자로부터법제 24 조의 2 제 1 항에따라이용자의동의를얻어개인정보를제공받은자 개인정보의취급업무를위탁받은자 ( 정보통신망법제 25 조제 1 항, 제 67 조제 2 항 )
정보통신서비스제공자의사업장내에서이용자의개인정보를수집, 보관, 처리, 이용, 제공, 관리또는파기등의업무를하는자 시스템 ( 데이터베이스 ) 운영자, 개인정보보호담당자등포함 개인정보취급자를최소한으로제한 ( 정보통신망법제 28 조제 2 항 ) 개인정보를처리할수있도록체계적으로구성한데이터베이스시스템 일반적으로 DBMS 를사용하나파일처리시스템으로구성한경우도포함 개인정보처리시스템에접속하여수행한업무내역에대하여식별자, 접속일시, 접속지를알수있는정보, 수행업무등접속한사실을전자적으로기록한것 의무적으로보관해야하는접속기록은개인정보취급자의업무내역으로한정
체계적이고전사적인계획하에개인정보보호활동을수행하기위함 개인정보보호조직 개인정보관리책임자 (CPO) 지정 임원또는고충처리부서의장개인정보취급자지정담당자별업무및임무지정 개인정보보호교육 보호조치세부사항 기타 교육계획수립및연 2 회이상교육 www.sis.or.kr / 학습공간 / 개인정보보호담당자과정 접근통제, 접속기록위ㆍ변조방지, 개인정보암호화악성프로그램방지, 출력ㆍ복사시보호조치개인정보표시제한보호조치 ( 권고 ) 보안서약서, 임직원인식제고, 개인정보노출방지대책등
개인정보처리시스템에대하여인가되지않는접근 ( 개인정보의불법사용, 누출, 변조ㆍ훼손등 ) 을관리적 ( 조직내부의정책또는규정등 ) 또는기술적방법으로차단 개인정보를개인정보처리시스템의개인정보접근권한은서비스제공을위하여한개인정보관리책임자또는개인정보취급자에게만부여 개인정보취급자변경시지체없이개인정보처리시스템의접근권한변경개인정보처리시스템에대한권한부여, 변경또는말소에대한내역을기록하고, 그기록을최소 5년간보관 필요 개인정보취급자의담당업무에기초하여접근권한결정자신의업무수행에필요한가장낮은수준의권리와권한만을부여필요한가장짧은시간동안만보유해야함 RBAC (Role Based Access Control) 모델
외부망을통해개인정보처리시스템접속시공인인증서등안전한인증수단적용 일반적으로 ID/PW 만을이용하여개인정보처리시스템에접속시키로깅등에의한 ID/PW 노출에따른위험이증가하므로추가적인인증수단의적용필요 공인인증서이외에보안토큰, OTP, 휴대폰인증, 카드번호, IP 주소등활용가능 불법적인접근및침해사고방지를위해침입차단ㆍ침입탐지기능을갖는시스템설치운영해당기능을수행하는다양한방법이존재하므로기존 Firewall과 IDS 등특정제품명으로기술된것을일반기능으로추상화 Firewall, IDS, 침입방지, 웹방화벽, 네트워크장비 Access Control List 등활용가능 목적달성을위해시스템도입이후정책설정및로그분석등적절한운영ㆍ관리가중요
IP 주소및프로토콜 / 포트별서비스제어가능및 NAT, VPN 구현가능 접근제어, 로깅및감사추적, 인증, 암호화기능제공 자원의기밀성, 무결성, 가용성을위협하는불법적인침입행위탐지목적 자료수집, 필터링및축약, 침입탐지, 책임추적성과대응기능 불법사용자 F/W 개인정보처리시스템 네트워크 데이터수집 IDS 데이터가공 분석및탐지 보고및대응 호스트 패턴및 Log DB 정당한사용자
안전한비밀번호를이용할수있도록작성규칙수립ㆍ이행 [ 작성규칙내용은자율 ] 안전한비밀번호패스워드작성규칙수립ㆍ이행 3종류이상문자구성 (8자이상 ), 2종류문자구성 (10자이상 ) 생일, 전화번호등추측하기쉬운숫자를이용한패스워드이용금지비밀번호유효기간을설정하여반기별 1회이상변경 패스워드안전성검증 S/W 활용가능 (www.kisa.or.kr [ 주요서비스바로가기 ] 7. 인프라보호암호이용활성화 패스워드안전성검증 ) 개인정보가열람권한없는자에게공개되거나외부에유출되지않도록보호조치 인터넷홈페이지 ( 관리자페이지노출, 소스코드오류등 ), P2P, 공유설정등
불법적인접근또는행동을확인할수있는중요자료로서개인정보 DB 열람ㆍ수정ㆍ삭제ㆍ출력작업을기록 처리일시, 처리내역등을저장하고월 1회이상정기적으로확인ㆍ감독최소 6개월이상보존ㆍ관리 ( 단, 기간통신사업자는 2년이상 ) 정보주체식별정보취급자식별정보접속일시접속지수행업무 123456789 홍길동 (HGD) 2009.06.03 15:00:00 172.168.10.23 조회 ( 고객응대 ) 접속기록을별도의물리적인저장장치에보관하고정기적으로백업수행 CD-ROM, HMAC 값또는전자서명값등위ㆍ변조를확인할수있는방법권장
해킹또는내부자에의해개인정보가유출되더라도재활용이불가능하도록암호화저장 비밀번호및바이오정보는복호화되지않도록일방향암호화하여저장 일방향암호화는암호화된데이터로부터암호화전데이터를복구될수없음을의미 보안강도 NIST ( 미국 ) CRYPTREC ( 일본 ) ECRYPT ( 유럽 ) 국내 안전성보장기간 ( 년도 ) 80 비트이상 SHA-1 SHA-224/256 /384/512 SHA-1 SHA-256/384/512 RIPEMD-160 SHA-1 SHA-224/256 /384/512 RIPEMD-160 Whirlpool SHA-1 HAS-160 SHA-256/384/512 2010 년까지 112 비트이상 SHA-224/256/384 /512 SHA-256/384/512 SHA-224/256 /384/512 Whirlpool SHA-256/384/512 2011 년부터 2030 년까지 ( 최대 20 년 ) 128 비트이상 SHA-256/384/512 SHA-256/384/512 SHA-256/384/512 Whirlpool SHA-256/384/512 2030 년이후 ( 최대 30 년 )
10 년 1 월 29 일부터시행주민등록번호, 신용카드번호, 계좌번호는안전한알고리듬으로암호화하여저장 보안강도 NIST ( 미국 ) CRYPTREC ( 일본 ) ECRYPT ( 유럽 ) 국내 안전성보장기간 ( 년도 ) 80 비트이상 AES-128/192/256 2TDEA 3TDEA AES-128/192/256 3TDEA Camellia-128 /192/256 MISTY1 AES-128/192/256 2TDEA 3TDEA KASUMI Blowfish SEED ARIA-128/192/256 2010 년까지 112 비트이상 AES-128/192/256 3TDEA AES-128/192/256 3TDEA Camellia-128 /192/256 MISTY1 AES-128/192/256 Blowfish KASUMI 3TDEA SEED ARIA-128/192/256 2011 년부터 2030 년까지 ( 최대 20 년 ) 128 비트이상 AES-128/192/256 192 비트이상 AES-192/256 AES-128/192/256 Camellia-128 /192/256 MISTY1 AES-192/256 Camellia-/192/256 AES-128/192/256 Blowfish KASUMI AES-192/256 Blowfish SEED ARIA-128/192/256 ARIA-192/256 2030 년이후 ( 최대 30 년 ) 256 비트이상 AES-256 AES-256 Camellia-256 AES-256 Blowfish ARIA-256
서비스제공등반드시사용할필요가있는주요정보에대해서는부분암호화인정 주민등록번호는생년월일과성별 ( 또는외국인 ) 정보를포함 7 자리 (700101-1# &] 신용카드번호는카드유형정보및발급기관정보를포함한 6 자리 (4902-20$ ^] 정보통신망을통해이용자의개인정보및인증정보를송ㆍ수신할때안전한보안서버구축등의조치를통해이를암호화해야함 보안서버 라함은정보통신망에서송ㆍ수신하는정보를암호화하여전송하는웹서버웹서버에 SSL(Secure Socket Layer) 인증서를설치하여구축 또는웹서버에암호화응용프로그램을설치하여구축
[ 보안서버구축웹사이트 ] [ 보안서버미구축웹사이트 ] 인터넷 암호화통신 인터넷 A 쇼핑몰 ( 보안서버 ) @#4&*ia90! @ Kdfl887^5$#!2erpmbv&% 암호화된개인정보는공격자가해독불가능!! 공격자 홍길동개인정보입력 공격자 홍길동 700101-1234567 010-0000-0000 암호화되지않은개인정보는공격자가획득가능!! B 쇼핑몰 ( 일반서버 ) 이용자의개인정보를개인용컴퓨터 (PC) 에저장할때암호화 문서암호화전용시스템구축, OS 제공파일암호화기능, 오피스저장옵션에서제공하는암호설정기능등사용가능
백신소프트웨어를월 1 회이상주기적으로갱신ㆍ점검 백신소프트웨어및운영체제업데이트가있는경우정합성을고려하여갱신ㆍ점검 <iframe src ="http://www.xxx.xx/icyfox.htm" name ="A" width="0" frameborder="0" > 2. Insert Iframe 1.Web hacking (SQL Injection) 공격도구 < 악성코드경유지 ( 국내유명포털등 )> < 악성코드유포지 ( 해외또는국내 )> 4. Malicious Code Infected 3. Visit Web Site 5. Game ID/PW 공격자 이용자
개인정보출력시용도를특정하고출력항목을최소화 개인정보의종이인쇄및이동식저장매체저장시사전승인 출력ㆍ복사물일련번호출력ㆍ복사물의형태출력ㆍ복사일시출력ㆍ복사의목적 출력ㆍ복사를한자의소속및성명출력ㆍ복사물을전달받을자출력ㆍ복사물의파기일자출력ㆍ복사물의파기책임자 우편발송, 고지서발급등을위하여개인단위로종이에인쇄하는경우일련번호를면함 표시
사업자가개인정보표시제한보호조치를자율적으로준수하는경우에일관성을확보하여 2개이상의사업장에서유출된개인정보를이용하더라도완전한개인정보집합을구성할수없도록하고자함 성명중이름의첫번째글자이상생년월일전화번호또는휴대폰전화번호의국번주소의읍ㆍ면ㆍ동인터넷주소는버전 4의경우 17 ~ 24 비트영역버전 6의경우 113 ~ 128 비트영역
감사합니다