[G-Privacy 2017] 조직의 개인정보보호 실태 및 현황-박나룡 소장

홈페이지, 개인정보처리시스템, 보안시스템 등에서 점검해야 할 주요 점검사항 소개

▲ G-Privacy 2017에서 '조직의 개인정보보호 실태 및 현황'에 대해 설명하고 있는 박나룡 보안전략연구소 소장

국내 최대 개인정보보호 컨퍼런스 ‘G-Privacy 2017’이 4월 6일 양재동 더케이호텔서울 가야금홀에서 공공, 지자체, 금융, 기업 등 전분야 CPO 및 개인정보보호, 정보보안 실무자 1,000여 명 이상이 참석한 가운데 성황리에 개최됐다.

이 자리에서 박나룡 보안전략연구소 소장은 ‘조직의 개인정보보호 실태 및 현황’을 주제로 강연을 진행했다.

우선 박 소장은 “아이디와 비밀번호 등 식별부호는 실제 공간과는 달리 익명성이 통용되어 행위자가 누구인지 명확하게 확인하기 어려운 가상공간에서 그 행위자의 인격을 표상한다. 따라서 개인정보에 해당한다”고 밝히고 또 “이메일 주소도 특정 개인을 알아볼 수 없을지라도 다른 정보와 용이하게 결합할 경우 개인을 알아볼 수 있는 정보이기 때문에 개인정보에 해당한다”고 설명했다.

이어 개인정보보호 실무자에게 실용적인 정보들을 전달했다. 박나룡 소장은 대형 포털사와 소셜커머스 기업에서 정보보호 책임자로 일해 왔고 ISMS와 PIMS 심사원으로도 다수의 심사활동을 펼쳐왔다. 그래서 누구보다 실무에서 발생할 수 있는 문제점들에 대해 깊이 있게 알고 있는 전문가로 알려져 있다.

그는 홈페이지상에서 개인정보의 흐름을 설명하고 실제 현장에서 주요 점검결과에 대해 설명했다. 기업들이 주로 지적 받고 있는 사항들은 △홈페이지 관리자 계정 과다 보유 △개인정보처리 시스템 보안관리 미흡 △불필요한 고객정보 과다 보유 △저장된 고객정보 보호 및 파기조치 미흡 △고객정보 위탁시 보호조치 미흡 등이었다.

박 소장은 이에 대해 “홈페이지 관리자 계정 권한 재검토 후 재부여하고 개인정보 처리시스템 로그기록 보관 및 주기적인 검토가 필요하다. 또 저장된 고객정보 보호 조치 개선을 위해 이중으로 관리하는 회원정보 통일 및 정리가 필요하고 PC에 저장되는 고객정보에 대한 암호화가 필요하다. 그리고 외부 업체에 위탁해 처리하는 개인정보에 대한 파악 및 관리가 필요하다”고 조언했다.

또 개인정보처리시스템에서 점검해야 할 사항은 △접근통제 △계정/권한관리 △개인정보 마스킹 △Like 검색 △다운로드 통제 △고객센터 △녹취 및 ARS 시스템 등이다.

보안시스템 관리에 있어서는 △VPN 접근대상 제한 △방화벽 룰 관리 및 정책 적용 절차 △네트워크 장비에서 ACL, 접근통제 △모니터링 툴에서 임계치 설정 △DB 접근통제시스템에 대한 모니터링 △개인정보 검색툴에서 오탐 최소화 △PMS(패치관리시스템)에서 인증, 관리자 접속, 로그 정보를 철저히 관리해야 한다고 설명했다.

데이터베이스에서는 △DB와 DB데이블 현황 관리 △개인정보 보유 현황 파악 △DB접근통제(장애대응)을 위한 망분리 △별도 DB 관리(휴면DB와 해지DB 등) △파일 다운로드 통제 및 모니터링 △DB암호화 및 마스킹 △정책의 일관성 유지 등을 강조했다.

관리적 이슈에 대서는 △수집 시 보호조치 △개인정보 목적 외 이용 여부 △정보주체 권리 보장 여부 △개인정보 취급자 관리 △위탁업체 관리 감독 △개인정보 교육 △조직의 권한과 책임 등을 관리포인트로 거론했다.