2017 년개인정보보호법기술적 관리적보호조치방안 김호성 1
CONTENTS 1 필요성 2 최근법개정주요내용 3 개인정보의안전성확보조치기준 ( 16.9.1 시행 ) 4 고유식별정보안전성확보조치정기점검시행 5 개인정보보호기반의활용을위하여 2
1 필요성 3
요즘해킹공격분위기 [ 단독 ] 중국발 ' 소프트타깃 ' 해킹 대학 15 곳도뚫려중국싸드 THAAD 보복으로인한... 목적이있다금전손실이있다 WSJ 방글라데시중앙은행계좌해킹에 北, 연루증거발견 (17.4.4) 국내은행도 ` 나자로 ` 사이버공격표적 4
주요공격지점 사고사고사례사례 웹취약점을가짂홈페이지 15 년, 16 년전체 39 건의개인정보유출사고중 25 건 (64.1%) 이해킹으로발생하였으며, 이중웹취약점 (12 건, 48%) 이주요원인 ( 유출싞고기반 ) - 16 년원인미상의 8 건도웹쉘업로드또는 SQL 인젝션으로추정 이경우 25 건의해킹원인중 20 건 (80%) 이웹취약점에의해개인정보유출사고발생 구분 15 년 16.8 합계비율 웹쉘업로드 5 3 8(32.00%) SQL 인젝션 1 1 2(8.00%) 해킹 접근통제미흡 1 1 2(8.00%) URL 인덱스취약점 - 2 2(8.00%) 원인파악불가 - 8 8(32.00%) 기타 2 1 3(12.00%) 64% 소계 9 16 25(100%) 시스템오류 4 2 6 15% 내부직원고의유출 5-5 13% 관리자부주의 3-3 8% 총계 21 18 39 100% 5
유출사고후, 일어나는일들 민 ᆞ 형사적책임, 행정처벌부담 최근법강화로, 부담증가 - 형사처벌 - < 싞고의무 > < 소송 > < 행정기관검사 > - 손해배상 - - 책임있는자징계권고 - CEO/ 임원등 - 과태료 - - 과징금 - OO 서점, 45 억원과징금 취소소송짂행중 OO 숙박업체, 해커가이용자협박, 업체에금전요구 6
2 최근법개정주요내용 7
개인정보보호법최근개정사항 1. 주민번호전자적보관시반드시암호화 적용시기 : - 100만명미만주민번호 : 2017.1.1. 부터 - 100만명이상주민번호 : 2018.1.1. 부터 적용시점전까지, 암호화, 위험도분석또는영향평가결과에따라보관 미조치유출등 관렦법령 법제 24 조의 2 영제 21 조의 2 2. 주민번호처리제한강화 적용대상 : 모든개인정보처리자 ( 민간 / 공공 ) 처리기준 : 1 법령에서구체적요구또는허용법률, 대통령령, 국회규칙 대법원규칙 헌법재판소규칙 중앙선거관리위원회규칙및감사원규칙 (2016.3.29. 개정 ) 2 정보주체또는제 3 자의급박한생명, 신체, 재산상이익에필요 3 행정자치부령으로정하는경우 법령근거없는주민번호 2016.8.6. 까지파기의무 ( 경과조치 ) 관렦법령 법제24조2 부칙제2조 1항개정사항은 17.3.30. 시행 위반시 8
개인정보보호법최근개정사항 3. 정보주체권리구제강화 징벌적손해배상 : 고의 중과실로개인정보를유출한기관에가중된책임을물어법원이피해액의최대 3배까지배상액부과법정손해배상 : 개인정보유출등경우구체적피해액입증없이법원을통해정해진일정금액 (300만원이내 ) 을보상 관렦법령 법제 39 조, 제 39 조의 2 2015.7.24. 개정 및시행 4. 개인정보처리자의무강화 출처고지의무 : 정보주체동의에따라제 3 자로부터제공받아 개인정보를처리하는경우, 출처등고지 의무대상정보주체 5 만명이상의민감정보또는고유식별정보처리자정보주체 100 만명이상의개인정보처리자 고지방법 : 서면ㆍ전화ㆍ문자전송ㆍ전자우편등으로 3 개월이내에고지 고지기록보관 : 개인정보파기전까지통지기록보관 관렦법령 법제 20 조영 ( 안 ) 제 15 조의 2 2016.9.30. 시행 위반시 9
개인정보보호법최근개정사항 5. 민감정보보호강화 민감정보가분실 도난 유출 위조 변조 훼손되지않도록안전성확보조치수행 민감정보 : 사상 싞념, 노동조합 정당의가입 탈퇴, 정치적견해, 건강, 성생활, 유전정보, 범죄경력자료에해당하는정보 관렦법령 법제 23 조제 2 항 2016.9.30. 시행 미조치 유출등 6. 고유식별정보보호강화 고유식별정보의안전성확보조치를하였는지행정자치부가연 1 회이상조사 의무대상 : 공공기관, 정보주체 5 만명이상의고유식별정보처리자 정보주체 100 만명이상의개인정보처리자 조사방법 : 온라인, 서면조사 관렦법령 법제 24 조제 4 항 2016.9.30. 시행 10
개인정보보호법최근개정사항 개인정보보호인증 행정자치부가개인정보보호인증실시 유효기간 3 년, 연 1 회이상사후관리 KISA 를인증전문기관으로지정 개인정보보호인증기준 방법 절차 인증심사원자격등세부기준규정 관렦법령 법제 32 조의 2 2016.7.25. 시행 위반시 개인정보보호책임자지정요건강화 개인정보보호책임자를사업주, 대표자, 개인정보처리관련업무부서장, 임원으로지정하도록함 미지정시 관렦법령 영제 32 조제 2 항제 2 호나목 2016.7.25. 시행 11
3 개인정보의안전성확보조치기준 ( 16.9.1 시행 ) 12
법적근거 13
안전성확보조치기준 ( 고시, 16.9.1 시행 ) 요약 구분 개정된주요내용 ( 제1조 ) 목적 o ( 개정 ) 세부적인기준 최소핚의기준을정하는것을목적으로함 ( 제2조 ) 정의 o ( 개정 ) 개인정보처리시스템등용어에대한해석상의혼란을방지 ( 제 3 조 ) 안전조치기준 o ( 싞설 ) 개인정보보유량및사업자유형에따른안전조치기준적용 싞설 ( 제 4 조 ) 내부관리계획 o ( 개정 ) 안전성확보에필요핚조치를명확하게규정 o ( 싞설 ) 개인정보보호조직구성및운영, 유출사고대응계획수립 시행등 o ( 싞설 ) 내부관리계획의이행실태점검 관리를통한실효성확보 ( 제 5 조 ) 접근권한 o ( 싞설 ) 비밀번호를일정횟수이상잘못입력핚경우접근제핚 o ( 개정 ) 유출시도를탐지 탐지및대응 ( 제 6 조 ) 접근통제 취약점점검 점검하고필요핚보완조치이행 o ( 개정 ) 안전한접속수단 안전한접속수단이나인증수단적용 o ( 싞설 ) 일정시간이상업무처리를하지않는경우시스템접속차단조치 ( 제 7 조 ) 암호화 o ( 싞설 ) 암호키생성, 이용, 보관, 배포, 파기등에관핚절차수립 시행 * 주민번호암호화적용 ( 법개정내용반영 ) ( 제 8 조 ) 접속기록 o ( 개정 ) 유출 변조 훼손 분실 도난 유출 위조 변조또는훼손등자구수정 ( 제 9 조 ) 악성프로그램방지 o ( 싞설 ) 발견된악성프로그램등에대해삭제등대응조치 ( 제 10 조 ) 관리용단말기 o ( 싞설 ) 관리용단말기임의조작금지, 목적외사용금지등 ( 제 11 조 ) 물리적안전조치 o 현행과같음 ( 제 12 조 ) 재해 재난 o ( 싞설 ) 위기대응절차마렦및점검, 백업및복구계획마렦등 싞설 싞설 ( 제 13 조 ) 파기 o 현행과같음 14
기준적용표 15
제 4 조내부관리계획의수립 ᆞ 시행 16
제 5 조접근권한의관리 17
제 6 조접근통제 * 안전핚접속수단 : 가상사설망 (VPN), 전용선등 * 안전핚인증수단 : 인증서 (PKI), 보안토큰, 일회용비밀번호 (OTP) 등 18
제 6 조접근통제 19
제 7 조개인정보의암호화 20
제 8 조접속기록의보관및점검 21
제 9 조악성프로그램등방지 22
10 조관리용단말기의안전조치 * 고려사항 - 관리용단말기의종류에따른특성, 중요도 - 개인정보처리시스템에접속하는빈도및수행업무 - 관리용단말기를통핚개인정보의유출가능성및개인정보처리시스템에악성코드전파등 23
제 11 조물리적안전조치 24
제 12 조재해 ᆞ 재난대비안전조치 25
제 13 조개인정보의파기 26
4 고유식별정보안전성확보조치정기점검시행 27
고유식별정보안전성정기점검시행 17 년점검계획 5 만명이상보유여부가확인된 ( 사전조사등 ) 기관대상점검짂행 ( 약 3,000 개 ) ( 18 년 ) 민간분야 5 만명이상보유여부가미확인된기관대상점검 구분 기준 실태점검대상기관 1,479 점검대상 공공기관 고유식별정보를처리하는공공기관 공공기관개인정보파일등록현황기관 민간기업 5 만명이상정보주체의고유식별정보를처리하는자 1,237 직접현황조사및유관협단체활용파악 점검항목 고유식별정보보유현황, 고유식별정보에대한안전성확보조치이행여부 고유식별정보안전조치 26 개점검항목이행여부 점검기관행정자치부, 한국인터넷짂흥원 점검주기 2 년에 1 회이상 28
고유식별정보안전성정기점검시행 4 월 ~6 월 7 월 ~11 월 9 월 ~ 11 월 기관현황등록및자체점검자체점검결과확인현장점검 대상기관의고유식별정보 보유현황등기관현황등록 점검항목에따른자체점검수행및결과입력 점검항목별대상기관의 조치현황검토 자체점검결과미체출기관확인등 기관등록및자체점검결과미제출기관 대량고유식별정보처리자, 점검결과확인필요기관 https://www.privacy.go.kr/iden/inf/identityguide.do 29
고유식별정보안전성자체점검체크리스트 30
고유식별정보안전성자체점검체크리스트 31
5 개인정보보호기반의활용을위하여 32
필요성 Big Data, Cloud Computing, IoT, AI 등신기술의등장으로인한 4 차산업혁명 : 대량생산과대량소비 맞춤생산과맞춤소비 Data, 철통같이보호하여쌓아놓고만있을것인가? Why? Data 의보호와활용을조화시킬수있다면? Big Data Cloud Computing Internet of Things Mobile 핵심은 Data Artificial Intelligence 33
개인정보보호 & 활용방법 활용방법 동의획득후, 활용 문제점 동의획득이전에수집핚데이터는사용못함 동의받은목적내에서만활용 비식별조치에대핚동의시, 포괄적인동의가안되며, 구체적인용도를정해야함 비식별조치후, 활용 기술발달, 비식별정보의관리부실로인핚재식별가능성사후관리준수해야함 < 보호기반의활용 > * 비식별조치기본원칙 1. 식별방지 식별자제거 2. 추롞방지 프라이버시모델준수 파기핛개인정보를활용핛방법이있는가? 34
개인정보비식별조치 ( 16.6.30 부처합동발표 ) 1. 데이터에대핚이해 ( 개인정보여부판단 ) 식별자 (ID) / 준식별자 (QI) / 민감정보 (SA) 구분 식별자삭제 민감정보의중요도 (or 위험성 ) 판단, 비식별화이후의데이터활용방향예측 데이터손실량 / 데이터활용성 / 위험성에대한종합적고려 2. 비식별화방법결정하기 프라이버시모델및안전도수준 (k, l, t ) 모델을구현하는알고리즘 ( 기술 ) 선택하기 ( 필요시 ) 선택된기술에따른추가작업 3. 비식별화수행 선택한알고리즘 / 프로그램수행 데이터품질검토 ( 필요시 ) 단계 2 로이동 4. 비식별적정성평가 ( 외부인이포함된전문가평가단 ; k,l,t 모델사용 ) ( 부적정평가시 ) 단계 2 로이동하여비식별조치재수행 5. 비식별화된데이터사용 (+ 사후관리 ) 고객의추가동의없이시장조사, 싞상품개발, 마케팅전략수립, 업무프로세스개선, 위험관리, 고객분석, 세그먼트마케팅등의용도로이용가능 35 * 출처 : KISA 적정성평가단대상비식별조치교육자료
비식별정보집합물결합 비식별정보집합물결합 활용 전문기관 분야별전문기관 * 적정성평가비용은전문가와협의 36
37
감사합니다 38