[보안뉴스=임한준 위즈디엔에스코리아 부장] 2011년 9월 30일 개인정보보호법이 발효된 이후 법과 관련된 수많은 대책들이 쏟아져 나왔다. 그러나 관련업체들의 법령에 관한 모호하고 자의적인 해석으로 인해 실제 도입을 고려하고 있는 업체들은 어디서부터 어떻게 대비해야 하는지 쉽게 결정하지 못하고 고민하고 있는 실정이다. 이에 개인정보보호법에서 요구하는 ‘안전성 확보를 위한 조치’에 대해 정리하고 무엇부터 어떻게 준비해야 좋을지 알아보고자 한다.

개인정보의 안전성 확보조치 기준은 개인정보보호법 시행령 제30조에 따라 개인정보처리자는 개인정보의 안전성 확보에 필요한 조치를 다음과 같이 취해야 한다고 명시하고 있다.

이와 같이 개인정보의 안전성 확보에 필요한 조치는 비인가자/해커 대상으로 개인정보에 접근을 통제 하는 조치와 인가를 받은 내부자를 대상으로 개인정보 접근에 대한 기록을 보관하고 관리하는 조치로 나누어 생각할 수 있다. 필자는 특히, 이 가운데서도 접속기록의 보관 및 위변조 방지 항목에 주목하고자 한다.

개인정보의 유출 및 오남용 사건 사례를 통해 알 수 있듯이, 내부정보 사고의 70% 이상이 내부자, 특히 업무담당자 등 인가자에 의해 주로 발생한다. 이로 인해 접근권한의 관리나 암호화 등 통제 위주의 보안대책으로는 이들의 범죄를 막을 수 없기 때문에 접속기록을 누락 없이 정확하게 생성하여 안전한 장소에 보관해 사고시 그 기록을 통해 범죄사실을 확인하고 근거자료를 확보하는 것이 반드시 필요하다.

또한, 개인정보 접속기록을 토대로 업무자의 행동 분석을 통해 개인정보의 사용여부를 상시 모니터링함으로써 사고를 미연에 방지하는 효과도 기대할 수 있다.

개인정보 접속기록, 개인정보취급자의 정확한 식별 등이 중요

개인정보 접속기록이란 이용자 및 개인정보취급자 등이 개인정보처리시스템에 접속하여 수행한 업무 내역에 대하여 식별자, 접속일시, 접속지를 알 수 있는 정보, 수행업무 등 접속한 사실을 전자적으로 기록한 것을 말한다(개인정보보호법 제29조 안전조치 의무).

이때 개인정보 접속기록의 가장 중요한 점은 어떠한 업무시스템에서라도 실제 개인정보취급자를 정확히 식별하고, 이 취급자가 언제 어디에서 누구의 정보를 어떻게 수행했는지 빠짐없이 명확하게 기록해야 한다.

개인정보 접속기록의 보관

개인정보 접속기록을 생성한 후, 6개월 이상 안전한 장소에 보관하여 위변조를 방지해야 한다(개인정 보보호법 시행령 제30조 및 개인정보의 안전성 확보조치 기준 고시 제8조).

개인정보 상시 모니터링 시스템

보관된 개인정보 접속기록을 생성하는 이유는 유출 사고나 오남용 사고 등 만일의 사태에 대비하여 그 증거를 확보하기 위해서라고 할 수 있다. 하지만 개인정보 접속기록은 매일매일 대량으로 생성되며, 6개월 이상 무계획적으로 보관할 경우 그 기록들은 단순한 로그더미에 지나지 않게 된다. 따라서 개인정보 접속기록의 생성과정에서부터 구조화·표준화하여 보관하고 이를 상시적으로 모니터링하여 사전에 부정행위나 이상징후를 포착할 수 있는 것이 진정한 개인정보 접속기록의 관리라고 할 수 있다.

개인정보 유출사고시 통지·신고 항목

만일 개인정보 유출사고가 발생한 경우, 5일 이내에 정보주체(개인정보의 당사자)에게 이를 통지하고, 1만명 이상의 유출사고시에는 통지 및 조치결과를 5일 이내에 한국정보화진흥원 또는 한국인터넷진흥원 등 대통령령이 정하는 전문기관에 신고해야 한다(개인정보보호법 제34조 개인정보 유출통지 등). 이때 정보주체에게 통지하는 항목으로는,

·유출된 개인정보의 항목과 유출된 시점과 그 경위

·유출로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보

·개인정보처리자의 대응조치 및 피해구제절차