Transcript 2. 개인정보보호법 안전성 확보조치 방안 (한국인터넷진흥원)

2015. 5. 19.
오용석 (한국인터넷진흥원)
1
목차
I1
주요 개인정보 유출 사례 및 시사점
3
II
개인정보의 안전성 확보조치 사항
3
III
주요 상담사례
2
주요 개인정보 유출 사례 및 시사점
(유출 정보․규모) 이름, 주민등록번호, 주소, 전화번호, 아이디 등
1,863만명의 개인정보 유출 (‘08.1)
중국측 해커들이
옥션 직원들에게
해킹 프로그램(키
로거)을 내장한 메
일
100여개
발송
중국측 해커들,
옥션 직원들의 사
내 ID(관리자 ID)로
옥션 서버에
접속
* 서버에 백도어
업로드 및 설치
진행경과
<대법원 확정판결>
o 손해배상 책임 없음 (’15.2)
- 필요한 범위내에서 기술적
보안조치 취함
옥션 직원들이 메
일 확인한 순간 직
원의 ID와 패스워
드가 해커들에게
넘어감
- 비정상적 탐지가 기술적으로
어려움
- 주의의무 위반했다고 보기
어려움
옥션의
고객 개인
정보(이름,
주민번호, ID, 주소,
이메일, 전화번호
등) 유출
3
주요 개인정보 유출 사례 및 시사점
진행경과
(손해배상 소송)
<법원(중앙지법)>
o 손해배상 책임 없음 (’12.11.23)
- 공개용 프로그램 사용과 손해
발생 사이에 인과관계 없음
- 주의의무 위반 아님
<법원(서부지법)>
o 손해배상 책임 있음 (’13.2.15)
- 대량 개인정보 유출 탐지 실패
- 관리자가 logout하지 않고 Idle Time
또는 세션 종료타임 설정 안함
<법원(서울고법)>
O 손해배상 책임 없음 (’15.3.20)
- 법적 의무 조치 다함
4
주요 개인정보 유출 사례 및 시사점
2014년 2월경 전문해커를 고용하여 해킹프로그램을 자체 제작, 홈페이지를 통해
1년간 수 차례 해킹, 통신사 총 가입고객 1,600만명 중 981만명(1,170만건)의
고객정보를 유출하여 텔레마케팅으로 활용
진행경과
<경찰>
기소의견으로 검찰에 송치 (’14.5)
<다음, 네이버 카페>
집단 소송 카페 약 20여개
<경실련>
위약금 없는 KT 서비스 해지를
위한 집단분쟁조정 신청(‘14.7)
<검찰>
KT임원, 부장급 간부, KT법인 –
무혐의 처분 (‘14.11.9)
<법원(중앙지법)>
주의의무 소홀로 각 10만원씩 손
해배상 책임 있음(8.22 28,717명,
12.5 100명)
(하루 약 20~30만건)
5
주요 개인정보 유출 사례 및 시사점
해커가 수집한 개인정보(성명, 주민번호 등)를 이용해 공공 i-PIN 발급시스템의
인증절차를 우회하여 공공 i-PIN 75만건을 부정발급 받음
진행경과
<행자부>
부정발급 공공아이핀 삭제(3월)
<게임사이트>
부정발급된 공공아이핀이 사용된
게임사이트에서 신규회원 탈퇴,
사용중지 등
<행자부>
종합대책 발표(3.25)
- 부정사용방지시스템(FDS) 도입
- 2차 인증 도입
- 시스템 보안강화 및 모니터링
- 공공기관 웹사이트에서 회원가입 삭제
- 공공아이핀 관리ㆍ운영주체 이관 검토 등
6
주요 개인정보 유출 사례 및 시사점
1. 안전성 확보조치 준수가 기업/기관의 Legal Risk로 부각
2. 기관/기업의 개인정보보호 주의의무 범위 구체화
3. 보호조치 기준 준수에도 불구하고 지속적 개인정보 유출사고 발생
7
개인정보의 안전성 확보조치 사항 - 법률근거
개인정보보호법
개인정보보호법 시행령
고시
8
개인정보의 안전성 확보조치 사항 - 기준
구분
주요내용
(제3조) 내부관리계획 수립•시행 • 보호책임자 지정 및 역할과 책임, 취급자 교육 등
(제4조) 접근권한 관리
• 업무수행에 필요한 최소한의 범위로 차등 부여, 취급자별 계정 발급
• 접근권한 부여기록은 최소 3년간 보관
(제5조) 접근통제
• 방화벽 등 접근통제시스템 설치·운영
• 고유식별정보 수집 홈페이지 취약점 점검 1회/년 이상, 모바일 기기
보호조치, 외부에서 접속시 VPN 등 안전한 접속수단 사용
(제6조) 암호화
• 암호화 대상 : 고유식별정보, 비밀번호, 바이오정보
16.1.1부터 주민
• 암호화 기준
번호는 무조건
-(전송시) 정보통신망 송수신 등의 경우 암호화
암호화 하도록
-(저장시) ① 비밀번호 및 바이오정보 암호화 (비밀번호 일방향
암호화)
변경됨
② 고유식별정보는 인터넷구간, DMZ구간 저장시 암호화하고
내부망 저장시 위험도 분석에 따라 암호화 적용여부, 적용범위 결정
(제7조) 접속기록 보관 및 점검
• 최소 6개월 이상 보관, 반기별 1회 이상 점검
(제8조) 악성프로그램 등 방지
• 백신 등 보안프로그램 설치, 자동 또는 일1회 이상 최신 업데이트
(제9조) 물리적 접근방지
• 물리적 보관장소 출입통제, 보조저장매체 반ㆍ출입 통제 절차 등
(제10조) 개인정보의 파기
• 개인정보 완전파기 및 부분파기
미조치에 따른 유출시
보호조치 미비
벌칙조항
2년 이하 징역 또는 1천만원 이하 벌금
벌칙조항
3천만원 과태료
* 주민번호 유출시 5억원 이하 과징금(‘14.8.7~)
9
개인정보의 안전성 확보조치 사항 – 세부조치 방법
개인정보의
안전성확보조치기준(고시) 해설서
10
개인정보의 안전성 확보조치 사항 – 내부관리계획 수립ㆍ시행
□ 기관내 개인정보 관리에 대한 기본 계획 -‘내부관리계획’수립ㆍ시행
<신규>
11
[참고] 내부관리계획 예시
CPO
12
[참고] 위탁시 준수사항
위탁사항 공개(예시)
위탁-안전한 처리감독 점검 샘플
위탁계약서(예시)
13
개인정보의 안전성 확보조치 사항 – 접근권한의 관리
개인정보 보호책임자
개인정보처리시스템 접근권한을 업무수행에
필요한 최소한 범위로 업무담당자별 차등부여
내부관리계획에 따라 접근권한 설정ㆍ운영
예) 개인정보 보호책임자에게는 전체권한(읽기/쓰기/변경)을 부여하고
여부 주기적 확인, 기록 3년 보관
개인정보취급자에게는 일부권한(읽기)을 부여
개인정보취급자
개인정보취급자 변경 시 지체 없이
접근권한에 따른 업무 수행, 계정 공유금지
개인정보처리 시스템의 접근권한 변경 또는 말소
비밀번호 작성 규칙에 따라 비밀번호 설정
권한부여, 변경, 말소 내역 기록 및 최소 3년간 보관
개인정보처리시스템(DBMS)
개인정보취급자별 사용자 계정 발급 및 공유금지
<변경> 개인정보취급자별 한 개의 사용자 계정
→ 개인정보취급자별 사용자 계정
개인정보취급자, 정보주체가 안전한 비밀번호를
설정 할 수 있도록 비밀번호 작성 규칙 수립 및 적용
14
비밀번호 관리기준 적용
[참고] 비밀번호 사용 실태
15
개인정보의 안전성 확보조치 사항 – 접근통제
접근통제(IP주소 등) 및 불법유출시도 탐지 기능
포함 시스템 설치 및 운영
개인정보 보호책임자
☞ Firewall, IPS, 웹 방화벽 등 사용
내부관리계획에 따라 접근통제 설정ㆍ운영
여부 주기적 확인
- 보안장비, 보안설정의 접근통제 적절성 검사
- 서비스 개시 전후 홈페이지 취약점 점검〮조치
- 취급자의 PC P2P〮공유설정 정기 검사 및 조치
외부 접속시 가상사설망(VPN) 또는 전용선 등
안전한 접속수단 이용
개인정보취급자
홈페이지에서 주민번호 사용 본인확인시 추가적인
정보 확인 <신규>
인가되지 않은 P2P 사용 및 공유설정 금지
고유식별정보 처리 홈페이지 연 1회 이상 취약점 점검<신규> PC 방화벽 설정ㆍ운영
홈페이지 유노출 방지, P2P 사용 및 공유 설정 금지,
모바일 기기에 비밀번호 설정 등
<신규>
공개된 무선망 이용시 보호조치
모바일 기기에 비밀번호 설정 등 보호조치 등
개인정보처리시스템(DBMS)
<신규>
☞
DBMS 접속시 VPN, 전용선 접속 설정
조치방법 참고
- www.privacy.go.kr 사이버 교육 동영상
- 개인정보 안전성 확보조치, 업무용 PC에서 개인정보
보호조치 설정방법
16
개인정보의 안전성 확보조치 사항 – 암호화
개인정보 보호책임자
암호화 대상 개인정보
- 고유식별정보
내부관리계획에 따라 암호화 여부 주기적 확인
주민번호, 여권번호, 운전면허번호, 외국인등록번호
- 전사적 암호화 대상 개인정보 파일 목록 관리
- 비밀번호
- DBMS 등에서 암호화 대상 개인정보 저장시
즉시 암호화 또는 영향평가/위험도 분석에
따른 해당 개인정보파일의 개인정보 암호화
- 홈페이지, 외부와 개인정보 교환시 전송 암호화
적용여부 점검 및 조치
- 바이오정보 (식별 및 인증 용도)
암호화 방법
전송시
비밀번호, 바이오정
보, 고유식별정보
비밀번호
바이오정보
저장시
고유
식별
정보
암호화
개인정보취급자, 업무용 PC
일방향 암호화
불필요한 개인정보 보유 금지
암호화
인터넷,
DMZ구간
암호화
내부망
영향평가, 위험도 분석 결
과에 따른 암호화
업무용 PC
모바일 기기
암호화(상용 암호화 소프트웨
암호화 대상 개인정보 암호화 저장
(암호화 도구/솔루션, OS/응용프로그램 등 활용)
개인정보처리시스템(DBMS)
어, 안전한 암호화 알고리즘)
암호화 조치
주민등록번호
제외됨(‘16.1.1)
17
[참고] 홈페이지 전송구간 암호화 확인 방법
언론보도 사례
전송구간 암호화 확인 방법 예시
해당 홈페이지에 ID / PW를 입력
패킷분석도구를 활용하여 입력한 ID를 검색
- tcp contains KISATEST : 패킷중 입력한
ID(KISATEST) 정보가 포함된 패킷만을
출력하는 시스템 명령어
홈페이지에 로그인시 입력하는 비밀번호 등
전송구간 암호화 확인 방법 예시
암호화 되지 않고 서버에 전송됨 (14.2./YTN)
패킷을 암호화 하였다면 아래와 같이 ID
▶ 안전성 확보조치 기준 제6조제2항
(KISATEST)에 대한 평문정보가 나타나지 않음
- 정보통신망, 보조저장매체를 통한 송/수신시
비밀번호, 바이오정보, 고유식별정보는
반면, 암호화 미조치된 경우, 정보가 나타남
암호화 조치 필요
18
개인정보의 안전성 확보조치 사항 – 접속기록의 보관 및 점검
개인정보 보호책임자
개인정보취급자 접속 기록 6개월 이상
내부관리계획에 따라 접속기록 보관 및
위변조 여부 주기적 확인
보관·관리
필수기록 항목
ID
날짜 및 시간
접속자 IP 주소
수행업무
설명
- 각 DBMS별 접속기록 보관 및 백업 여부 확인
개인정보취급자 식별정보
- 접속기록이 위〮변조 되지 않도록 관리체계
구성 및 운영
- 접속기록의 6개월 이상 보관 및 점검
접속 일시
접속지 정보
열람,수정,삭제,인쇄,입력 등
개인정보처리시스템(DBMS)
접속기록을 반기별 1회 이상 점검
<신규>
접속기록을 남기도록 시스템 설정
접속기록 위·변조, 도난, 분실되지 않도록
안전하게 보관
예) DVD-ROM 등 덮어쓰기 방지 매체에 보관
예) HDD 보관 및 Hash값 저장ㆍ관리
19
개인정보의 안전성 확보조치 사항 – 악성프로그램 등 방지
개인정보 보호책임자
백신 소프트웨어 등의 보안 프로그램
내부관리계획에 따라 보안프로그램
설치〮운영 여부 주기적 확인
설치·운영
- 보안프로그램 관리서버 등 운영 고려
개인정보취급자, 업무용 PC
백신 설치운영 및 자동 업데이트 설정
응용프로그램, OS의 적시 보안패치 실시
자동 업데이트 기능 사용 또는 일 1회 이상
업데이트를 실시하여 최신상태 유지
<변경> 일 1회 업데이트 → 최신상태 유지
보안 업데이트 공지가 있는 경우, 즉시
업데이트 실시
20
개인정보의 안전성 확보조치 사항 – 물리적 접근 방지
개인정보 보호책임자
별도의 물리적 보관장소
(전산실, 자료보관실)에
내부관리계획에 따라 물리적 접근방지 조치
대한 출입통제 절차
설정〮운영 여부 주기적 확인
수립 및 운영
- 전산실, 자료보관실 점검
- 자동화된 관리체계 구축 운영 고려
개인정보 문서, 보조저장매체 등은
- 각 부서별 문서, 보조저장매체 관리현황 점검
잠금장치가 있는 안전한 장소 보관
개인정보취급자
개인정보 문서, 보조저장매치 무단방치 금지
- 출퇴근, 출장 등의 경우 안전한 장소에 보관
- 업무시간 종료 후, 잠금장치에 보관
보조저장매체의 반출/입 통제를 위한
보안대책 마련 <신규>
21
개인정보의 안전성 확보조치 사항 – 개인정보의 파기
완전파괴(소각, 파쇄 등)
전체 파기
[소각]
전용 소자장비를 이용하여 삭제
0100101010
1010110111
1010101010
1011101010
데이터가 복원되지 않도록 초기화 또는
전체 파기
덮어쓰기 수행
[파쇄]
[덮어쓰기, 완전포맷,
[디가우저]
암호화 등]
전자적 파일 형태 : 개인정보를 삭제한
일부 파기
후 복구 및 재생되지 않도록 관리 및 감독
[천공]
기록물, 인쇄물, 서면 등 : 해당 부분을
마스킹, 천공 등으로 삭제
일부 파기
[삭제 후, 관리 및 감독]
22
행정처분 및 상담 사례 – FAQ
23
행정처분 및 상담 사례 – FAQ
24
행정처분 및 상담 사례 – FAQ
25
26