| 제1조 목적
- 개인정보처리자가 개인정보를 처리할 때
- 개인정보가 분실, 도난, 유출, 위조, 변조, 훼손되지 않도록
- 안전성 확보에 필요한 기술적, 관리적, 물리적 안전조치에 대한 최소한의 기준 정하기
- 최소한 : 개인정보처리자의 개인정보 보유량에 따라 차이
- 보호조치기준 1조 1항 : 정보통신서비스 제공자(수범자) 등이 이용자의 개인정보를 처리할 때
- 위임법령 : 민감정보/고유식별정보 처리 제한, 안전조치의무, 개인정보/고유식별정보의 안전성 확보 조치
| 제2조 정의
- 개인정보파일 : 개인정보를 쉽게 검색할 수 있도록 규칙에 따라 체계적으로 배열/구성한 개인정보의 집합물
- 종이에 정갈하게 쓰면 O 낙서하듯이 쓰면 X
- 개인정보처리시스템 : 데이터베이스시스템 등 개인정보를 처리할 수 있도록 체계적으로 구성한 시스템
- 실제 데이터로 서비스 제공하는 웹 서비스 O
- 데이터베이스에 관여하면 처리시스템으로 포괄적으로 보는 추세
- 접속기록 : 개인정보취급자 등이 개인정보처리시스템에 접속하여 수행한 업무 내역, 계정, 접속 일지, 접속지(IP), 처리한 정보주체, 수행업무 등을 전자적으로 기록한 것
- 접속 : 개인정보처리시스템과 연결되어 데이터 송신, 수신이 가능한 상태
- 전자적이여야 한다는 것이 핵심
- 관리용 단말기 : 개인정보처리시스템의 관리, 운영, 개발, 보안 등의 목적으로 개인정보처리시스템에 직접 접속하는 단말기 → 법률용어
- CLI를 통해 실제 접속 가능한 권한이 있는 단말기
- 다른 용도로 사용하면 안됨, CLI 용도로만 사용
| 제4조 개인정보보호 내부 관리계획
- 개인정보보호법이 요구하는 개인정보보호 필수문서 : 개인정보처리방침, 개인정보보호 내부 관리 계획
- 이용자 : 정보통신망법 상의 이용자
- 개인정보처리자 : 정보통신망법 상의 처리자 (클라우드, 데이터센터)
| 제5조 접근 권한 관리
- 계정 Identity, 권한 Access
- 최소 권한 부여 : 개인정보처리시스템에 대한 접근 권한은 최소한의 권한 부여
- 권한 변경 관리
- 개인정보취급자 또는 권한이 변경되었을 때 접근 권한을 변경, 말소
- 접근 권한 부여, 변경, 말소 기록을 3년 보관
- 1인 1계정 - 계정 공유 금지
- 공유 시 문제점 : 사고 발생 시 추적, 비밀번호 변경 문제
- Root 계정은 사용하지 말고 개인 계정에 관리자 권한을 부여해야 함
- Root 계정과 회사 공용 계정은 사용자를 별도로 관리
- Id 1을 A와 B 함께 사용 X / A가 Id1, Id2, Id3를 모두 사용 O
- 안전한 비밀번호 작성 규칙 수립, 적용
- 개인정보취급자 또는 정보주체에 적용
- 문자, 숫자 조합 → 특수문자는 최근 도움 안된다해
- 일정 횟수 이상 로그인 실패 시 접근 제한 : 무작위 대입공격, 사전 대입공격 방어
- 크롬에 Id, pwd 저장하면 메모리에 다 평문으로 올라가
- 그래도 쓸거면 크롬 생성 비밀번호 써
- Q 비밀번호는 얼마나 자주 바꿔야해?A 전자금융감독규정 : 분기별 1회 이상
- A 한국인터넷진흥원 : 6개월, 제3자에게 노출되었을 경우 즉시
- A 보호조치 기준 : 반기별 1회 이상
| 제6조 접근통제
- 침해사고 방지를 위한 조치
- 외부에서 공격 탐지, 차단 : 네트워크 방화벽(침입차단시스템), L7 방화벽, 웹 방화벽(WAF) / 침입탐지시스템(IDS), 침입방지시스템(IPS) / 호스트 방화벽 : 운영체제 또는 안티바이러스 제품 제공
- 내부에서 개인정보 유출 탐지, 대응 : 침입탐지시스템(IDS), 내부정보 유출방지시스템(DLP)
- AWS : VPN, NACL, SG, WAF
- 인터넷을 통한 접속 시 안전한 접속수단 또는 안전한 인증수단
- 개인정보취급자가 외부에서 정보통신망을 통해 개인정보처리시스템에 접속하고자할 때
- 안전한 접속수단 : 전용회선/가상사설명(VPN, 암호화, 기밀성, 외부에 IP 드러나지 않음)
- 안전한 인증수단 : 이중인증(2단계 인증, 1회용 비밀번호OTP), 다중인증(다단계 인증)→ MFA는 가성비 좋은 2단계 인증 : 네이버, 카카오 등 인터넷 서비스에 제→ 소유 기반 : 스마트폰, 스마트 카드, 하드웨어 단말
- → 생체 기반 : 지문, 홍체, 얼굴
- → 지식 기반 : 비밀번호, 보안 질문, PIN
- → 다중 인증 : 지식기반/소유기반/생체기반 중 서로 다른 2개 이상을 사용해야 함
- 개인정보가 인터넷 홈페이지, P2P, 공유설정, 공개된 무선망을 이용해 권한없는 자에게 공개/유출되지않도록 접근 통제 등에 관한 조치
- 홈페이지에 대한 취약점 점검 : 정보주체가 접근하는 웹사이트는 취약점 점검해야 함
- 최대 접속시간 제한 : 접속 후 일정 시간 이상 아무 업무 하지 않으면 차단해라
- 모바일 기기 보안 : 비밀번호 설정
- Q 실수로 회원 명부를 홈페이지 게시판에 올려 개인정보 유출Q ID, 패스워드 외에 OTP를 발생시켜 이메일 보내 인증할 경우 2단계 인증?
- A 소유인증, 지식기반인증이므로 2단계 인증
- A 열람권한이 없는 자에게 공개/유출된 것
| 제7조 개인정보의 암호화
- 고유식별정보, 비밀번호, 생체인식정보는 암호화해야 함
- 비밀번호 및 생체인식벙보는 암호화, 비밀번호는 일방향 암호화하여 저장
- DMZ에 고유식별정보를 저장하는 경우 암호화해야 함
- 내부망에 고유식별정보를 저장하는 경우 아래 두 기준 지키면 암호화 안해도돼!
- 법 제33조에 따른 개인정보 영향평가의 대상이 되는 공기관의 경우
- 암호화 미적용시 위험도 분석에 따른 결과
- Q 경우의 수가 많은 이유? A 공공기관의 잔머리를 위해서
- 안전한 암호화알고리즘으로 암호화해야 해
- 안전한 암호키 생성, 이용, 보관, 배포 및 파기 등에 대한 절차를 수립/시행해야 해
- 업무용 컴퓨터/모바일 기기에 고유식별정보를 저장하는 경우 상용화된 안전한 알고리즘 써
- 정보통신서비스 제공자는 “안전한”이 없으므로 상용 프로그램 암호화 기능 쓰면돼
- 대칭키 알고리즘 AES, 단순해시(패스워드 저장)
- Q 주민등록번호 내부망 저장 시 위험도 분석을 통해 평문 분석이 가능한가?
- A 놉 개인정보보호법 24조에 주민등록번호 암호화하라 했잖아 법률이 시행령보다 먼저
| 제8조 접속기록의 보관 및 점검
- 개인정보취급자의 개인정보처리시스템 접속 기록 1년 이상 보관
- 5만명 이상의 개인정보 처리 시 2년 이상 보관
- 접속기록 월 1회 이상 점검
- 개인정보의 오남용, 분실, 도난, 유출, 위조, 변조, 웨손에 대응
- 점검 증적의 확보
- 접속기록의 안전한 보관
- 접속기록 내 이상행위 예시 : 권한, 접속일시(업무시간 외), 접속지 정보(인가되지 않은 단말기/지역), 처리한 정보주체의 정보(과도 조회/다운로드), 수행업무, 짧은 시간 내 여러 지역의 IP로 접속한 경우
| 제9조 악성프로그램 등 방지
- 악성 프로그램 방지를 위한 백신 소프트웨어 등 보안 프로그램 설치 운용
- 자동 업데이트 또는 일 1회 업데이트
- 악성프로그램 관련 경보 발령 시 보안 공지가 나면 바로 업데이트
- 발견된 악성프로그램 등에 대해 삭제 등 대응 조치
- Q 운영 중인 리눅스 서버의 OS 보안 업데이트 공지가 나면 즉시 업데이트 해야하나?Q MacOS 보안 업데이트 중 파티션 손상되어 디스크를 포맷됨. 업데이트 공지 나면 즉시 업데이트해야 하나?
- A 디스크 복구 후 업데이트 해야 해
- A 응!
| 제10조 관리용 단말기의 안전조치
- 관리용 단말기 : 개인정보처리시스템의 관리, 운영, 개발, 보안 목적으로 직접 접속하는 단말기
- 개인정보 침해사고 방지 목적으로 아래를 모두 수행
- 1호 인가 받지 않은 사람이 임의로 조작하지 못하도록 조치
- 접근통제: 호스트/네트워크 방화벽 차단 → 인바운드
- 부팅, 로그인, 화면보호기 비밀번호 설정
- 별도 구역 출입 통제, 관리용 단말기 반출 금지
- 2호 본래 목적 외로 사용되지 않도록 조치
- 애플리케이션 제어가 가능한 단말기이면 필요한 애플리케이션만 실행할 수 있도록 제어
- SSH 등 암호화 CLI, Telnet, USB 차단
- 3호 악성프로그램 감염 방지 등을위한 보호조치 적용
- 악성프로그램 방지, 안티바이러스 설치, USB 차단
- 6조 3항 : 열람권한이 없는 자에게 공개/유출되지 않도록 관리용 단말기 등에 접근 통제 등에 관한 조치해
| 제11조 물리적 안전조치
- 1항 개인정보의 물리적 보관 장소 존재 시 출입 통제 절차 운영해
- 물리적 보관 장소 : 전산실, 자료 보관실, 데이터 센터
- 출입통제 절차 : 비밀번호 vs 스마트카드/생체인증 vs 출입대장
- 2항 개인정보가 포함된 서류, 보조저장매체는 잠금장치가 있는 안전한 저장소에 보관해
- 3항 개인정보가 포함된 보조저장매체의 반출입을 통제해
- 반출입 절차 : 승인 절차 → 날짜, 반출물, 담당자, 승인자, 반출/입출
- 보조저장재체 : USB, 외장하드, 스마트폰(개인/회사)
- Q 가장 바람직한 출입통제 절차와 이유
- A 출입 신청서 및 관리대장과 물리적 접근 방지 장치 등으로 2단계 기록/인증
| 제12조 재해/재난 대비 안전조치
- 1항 재해, 재난 발생 시 개인정보처리시스템 보호를 위한 위기 대응 매뉴얼을 마련하고 정기적 점검해
- 재난 : 재난안전법 제3조 제1호 정의 / 재해 : 재난으로 인한 피해
- 정기 점검 : 대응 절차의 적정성과 실효성 보장 → 내부(조직, 절차 변경 반영) 외부(재난, 법령 변경 반영)
- 2항 재해, 재난 발생 시 개인정보처리시스템 백업 및 복구 계획 마련
- 위기 대응 매뉴얼에 포함 가능
| 제13조 개인정보의 파기
- 1항 전체 파기 방법 → Wear Leveling 저장장치
- 완전 파괴 : 종이/하드디스크 등 소각, 파쇄
- 전용 소자장비를 이용하여 삭제 : 디가우저 이용해 하드디스크/자기테이프 정보 삭제
- 데이터가 복원되지 않도록 초기화 또는 덮어쓰기 수행 : SW 방식→ 데이터 영역을 난수로 덮어쓰기 3회 이상→ SSD를 SW 방식으로 파기하려면 제작업체가 제공하는 Secure Erase 유틸리티 사용해야 함
- → 드라이브를 안전한 암호화 알고리즘으로 암호화 저장 후 삭제, 키 완전 폐기
- → 하드디스크에 대해 low level 포맷 3회 이상
- 2항 일부 파기 방법
- 전자적 파일 형태인 경우 : 개인정보를 삭제한 후 복구/재생되지 않도록
- 특정 파일의 완전 파기 : 완전 삭제 SW 사용, SSD 실효성 X
- 기록물, 인쇄물 등 기록매체의 경우 : 해당 부분을 마스킹, 천공 등으로 삭제
