2021-11-30 05:00 (화)
[박나룡 보안칼럼] 개인정보보호를 위한 고려사항들
상태바
[박나룡 보안칼럼] 개인정보보호를 위한 고려사항들
  • 길민권 기자
  • 승인 2021.06.24 14:28
이 기사를 공유합니다

“기존 개인정보보호 관행들, 적절한지 주기적으로 검토·개선해야”

개인정보보호를 위한 다양한 기술적·관리적 대책들이 필요한 상황에서 담당자들은 그 해답을 제시하고 적용하기 위해 수많은 이슈들을 고민해야 한다.

여기서는 개인정보 담당자들이 간단한 수준에서 고려해야 할 내용 위주로 정리해봤다.

1. 계정, 권한, 인증, 접근통제 관리

가장 기본적인 보안 업무지만 중요한 부분으로, 계정 부여와 권한 관리를 쉽게 관리할 수 있는 방법을 고민해야 한다.

사용자가 많지 않을 경우에는 담당자가 직접 관리해도 큰 무리가 없을 수 있지만, 다양한 업무를 수행하다 보면 휴먼 에러가 발생할 소지가 높고, 즉시 삭제되지 않을 가능성이 높아진다.

AD나 LDAP 등을 통해 인사정보와 연동을 시켜서 입·퇴사자 관리를 자동화 하는 것이 필요하고, 내부직원이 아닌 외주 인력에 대한 계정 및 권한에 대해서는 별도의 프로세스를 수립하여 관리해야 리스크를 줄일 수 있다.

인증은 2-factor(투팩터) 인증을 기본으로 적용하는 것이 필요하고, 다계층, 복잡도가 높은 인프라 구조에서는 방화벽이나 접근통제 정책에 대한 일관성을 유지할 수 있는 방안도 함께 고려해야 한다.

2. 개인정보 흐름도 그리기

개인정보 담당자가 업무를 이해하기 위한 가장 좋은 방법이 개인정보 흐름도를 그려보는 일이다.

조직의 실제 서비스와 업무 프로세스를 이해하고, 그에 대한 개인정보 리스크를 식별하기 위해서는 가장먼저 개인정보의 흐름을 파악하고 해당 흐름에서 어떤 리스크가 있는지를 파악할 수 있어야 한다.

수집부터 파기까지 서비스별 또는 전체 서비스에 대한 라이프라이클을 충분히 이해하고 정책을 수립해야 하고, 기술적 보호대책을 마련해야 효과적인 보호 활동이 될 수 있다.

3. DB 테이블 관리

데이터베이스 시스템에 대한 테이블 식별이 안 될 경우, 개인정보 파기가 원하는 프로세스대로 작동되지 않을 가능성이 높아진다.

서비스에 필요한 테이블만 생성해서 관리해야 하지만, 필요에 의해 임시용으로 생성해 둔 테이블이나 기존에 만들어서 사용하고 불필요해진 테이블을 삭제 하지 않은 경우 시간이 지날수록 히스토리 관리가 되지 않고 그에 따라 정책이나 프로세스의 적용에서 누락될 소지가 높다.

따라서, DB테이블 관리를 위한 방안을 마련해서 주기적으로 사용여부를 체크하고, 개인정보 활용여부와 사용되고 있는 서비스를 명확하게 관리할 필요가 있다.

4. 수집 항목 최소화

개인정보 수집 시 필수로 수집하는 정보와 선택적으로 수집하는 정보를 구분하고 그에 따른 동의 프로세스를 구축해야 한다.

서비스 개발 부서에서는 많은 정보를 필수로 수집해서 이용하고 싶은 마음이 크고, 개인정보 담당자 입장에서는 관련 법률에서 요구하는 내용에 따라 업무를 수행해야 하는 상충적인 입장이 발생할 수 있다.

이는 서로 간에 충분한 커뮤니케이션이 필요한 부분이고, 타사 사례나 법적 검토를 활용하여 이해의 간극을 줄일 수 있다.

5. 파기

가장 어려운 부분 중에 하나가 파기에 대한 관리다.

파기를 위해서는 법적 기준을 기반으로, 내부 서비스에 대한 이해와 보관에 대한 근거를 동시에 고려해서 프로세스를 적용해야 한다.

1년 이상 미 이용자와 탈퇴 회원, 제공받은 정보 등, 다양한 곳에서 수집·저장되고 있는 개인정보에 대해 파기 기준을 수립하고 그에 따른 프로세스 가 적절하게 운영될 수 있도록 기술적 조치를 적용해야 한다.

법적 요구사항에 따라 보관해야 하는 정보에 대해서도 식별할 수 있어야 하고, 해당 정보만 보관하는 방식으로 고민해 나가야 한다.

가장 중요한 부분은 파기 대상에서 누락되는 정보가 없는지 확인하는 것이다.

생각보다 다양한 곳에 개인정보가 보관되고 있을 수 있다는 사실을 인지하고 흐름도와 DB테이블을 기반으로 명확하게 식별하고 파기 대상을 관리해야 한다.

6. 기존 관행에 대한 의문

기존에 처리하던 업무들에 대해 지금 시점에도 적절한지를 주기적으로 고민해보고 검토할 필요가 있다.

개인정보 담당자는 기존에 관행적으로 수행하던 수집 항목이나 업무들(예를 들면, 개인정보 수집 시 성별이나 생년월일을 기존부터 수집하고 있어서 지금도 수집하고 있는)에 대한 의문을 통해 새로운 개선 방안을 찾아보고, 리스크를 사전에 예방할 수 있어야 한다.

간단하게 몇 가지 고려사항들을 살펴봤지만, 이 외에도 다양하고 복잡한 고려사항들이 있고, 조직이 개인정보보호를 위한 기준과 철학에 따라 대책을 마련하는 고민의 깊이와 적용 방식의 수준에 차이가 있을 수 있다.

박나룡 소장
박나룡 소장

법률에서 요구하는 내용을 기반으로 조직의 비즈니스 기반과 조직 문화, 정보 주체의 요구사항을 이해하고 그에 따른 보호대책들을 수립해 나간다면 보다 수준 높은 사회적 책임을 실현하고, 조직의 건강한 지속가능성에도 긍정적인 영향을 미칠 수 있을 것이다.

[글. 박나룡 보안전략연구소 소장/ isssi@daum.net]


◈ 국내 최대 의료기관 개인정보보호&정보보안 컨퍼런스 개최(MPIS 2021)

-개최일: 2021년 7월 6일(화)

-장소: 서울 양재동 더케이호텔서울 2층 가야금홀

-참석대상: 국내 모든 의료기관 개인정보보호·정보보안 책임자 및 실무자 / IT시스템 관리자 / 의료 관련 공공기관 담당자 등 300여 명

-보안교육이수: 7시간 인정

-비용: 병원 및 의료 관련 공무원은 무료 참관 (이외 유료)

-사전등록: 클릭

★정보보안 대표 미디어 데일리시큐!★