법규 미준수에 의한 과태료 처분 사례와 시스템 재구축 사례 증가
누락된 접속기록 보관해 과태료 처분, 수행업무 누락, 민감정보 기록 불가 등 문제 발생
개인정보 접속기록 생성, BCI SW 방식 통해 정보주체 정보가 100% 기록돼야

[보안뉴스 김경애 기자] 공공부문에서 개인정보가 유출되는 사건이 증가함에 따라 사회문제로 대두되고 있다. 이른바 ‘송파살인사건’, ‘n번방 사건’과 같이 국민들의 2차 피해가 커지기 때문이다.


‘송파살인사건’의 경우 지자체 공무원이 자동차(건설기계) 관리 시스템에서 취득한 피해자 주소를 흥신소에 유출했다. 이를 취득한 피의자가 피해자 가족을 살해한 사건이다. ‘n번방 사건’은 피의자의 공범인 지자체 사회복무요원이 다른 공무원 계정으로 보육행정 지원시스템에서 조회한 피해자 신상정보를 취득하고 유출해 피해자를 협박한 바 있다.

이에 개인정보보호위원회는 지난해 ‘공공부문 개인정보 유출 방지대책’을 발표한 바 있다. 개인정보보호위원회는 집중관리 대상 시스템을 선정해 강화된 3단계 안전조치를 적용하고, 시스템 소관 부처와 운영기관, 이용기관을 통합해 보호체계를 구축할 것을 주문했다. 또한, 국민의 개인정보를 고의로 유출, 부정 이용하는 공무원은 한 번만 적발되도 파면 혹은 해임되도록 규제를 강화했다.

특히, 개인정보보호위원회는 취급자 접속기록을 보관·분석하고, 비정상적 접근 시도를 탐지·차단하는 ‘접속기록 관리 시스템’ 도입을 의무화했다. 또한, 대규모 개인정보나 민감한 정보 처리 시 상급자 등의 사전 승인이나 사후 소명 절차가 오는 2025년까지 마련될 방침이다.

이 때문에 정보취급자는 자신의 행위를 확인하고 위험성을 인지해 자신의 행위를 스스로 소명할 수 있는 보안체계가 필요하다. 또 누가 언제 어떤 개인정보를 접속해 들여다 봤는지 점검할 수 있는 개인정보 접속기록 관리의 중요성이 커지고 있다.

하지만 관련 법규 미준수에 의한 과태료 처분 사례와 시스템 재구축 사례가 증가하고 있다. 접속기록 누락으로 인한 과태료 600만원 처분, 수행업무(열람) 일부 누락, 민감정보(혈액형) 기록 불가 등 다양한 문제가 발생하고 있다. 이처럼 개인정보의 부정 사용과 관련된 보안사고가 지속적으로 증가하고 있다.

이와 관련 위즈코리아 김훈 부문장은 PIS FAIR 2023 강연에서 “잘못된 접속기록 생성 방식의 선택은 기본적인 법규 준수조차 불가능하게 만들고, 운영 및 관리 시 여러 문제가 발생한다”며 “자바(JAVA) 필터 방식은 SQL문, SQL결과 기록이 불가능하다. 특히, 해설서에서 요구하는 SQL문 기록이 불가능하고, 결과화면(HTML) 정보주체 정보 분석 과정에서 패턴필터링 분석시 오류가 발생한다. 자바필터 기술력 부족시 대상 시스템에 장애를 유발시킬 수도 있다”고 설명했다.

김훈 부문장은 “개인정보가 취급되는 정보처리시스템에서 정보취급에 대한 전사 가시성을 확보해야 한다”며 “접속기록 생성의 기본원칙은 법규 준수를 위한 필수 포함항목인 계정(누가), 처리한 정보주체 정보(누구의), 접속일시, 접속자 정보, 수행업무, 조회명(건)수를 기록해야 한다”고 설명했다.

특히, 개정 기준고시에서 요구하는 정보주체 정보와 검색조건문의 정확한 기록이 보장돼야 한다. 이를 위해서는 검색조건문(쿼리)를 통해 이름, 아이디 등 취급된 정보주체 정보의 확인이 가능해야 한다는 것이다.

위즈코리아 김훈 부문장은 “정보주체 정보 선별시 패턴필터링을 사용하지 않고, DB 결과값 기록으로 컬럼명을 통해 이름, 아이디 등 정보주체 정보가 100% 기록돼야 한다”며 “개인정보처리 시스템에 접속해 수행한 모든 업무내역이 유실되거나 누락되지 않도록 기록되는 게 중요하다. BCI SW 방식을 통해 계정, 처리한 정보주체 정보, 접속일시, 접속지, 수행업무 , 정보주체 처리명수 등을 확인할 수 있는 접속기록을 생성해야 한다”고 강조했다.
[김경애 기자(boan3@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>