기술환경 변화 등을 알기 쉽게 반영한 안전조치 안내서 개정

- 공공시스템 취약점 점검 및 침투테스트 의무화에 따른 해설 추가

인증수단·인공지능 등 변화하는 기술환경을 반영하고 자주 묻는 질문(FAQ) 보완

개인정보보호위원회(위원장 송경희, 이하 '개인정보위')는 최근 고시 개정 내용과 변화하는 기술환경 등을 반영한 「개인정보의 안전성 확보조치 기준」(이하 '고시') 안내서를 발간했다고 밝혔다.

  이번 안내서 개정은 공공시스템에 대한 취약점 점검 연 1회 이상 의무수행 등 최근 고시 개정 내용을 반영하는 한편, 다양한 인증수단의 등장과 급변하는 기술환경, 개인정보 처리방식의 변화를 고려하여 해설과 예시를 현행화하고, 현장에서 자주 제기되는 질의사항을 보완하기 위해 추진되었다.

공공시스템 취약점 점검 및 침투테스트 신설조항 내용 해설

  개인정보위는 지난 7월 1일, 외부 해킹으로 인한 공공부문 개인정보 유출사고를 예방하기 위하여 공공시스템을 대상으로 취약점 점검과 침투테스트를 연 1회 이상 시행하고, 점검 결과 확인된 취약점을 지체 없이 보완·개선하도록 고시를 개정한 바 있다. 안내서에는 이와 관련한 해설을 신설하고 관련 자주 묻는 질문(FAQ)을 추가하여 공공시스템운영기관이 해당 의무를 이해하고 이행하는 데 참고할 수 있도록 하였다.

최신 기술 등을 반영한 해설 및 예시 현행화

  빠르게 변화하는 개인정보 처리환경과 보안기술의 발전을 고려하여 인증수단*, 인공지능 등과 관련한 예시를 추가하는 등 개인정보처리자가 참고할 수 있는 안전조치 내용을 정비하였다.

  * 비밀번호·OTP·SMS 등 총 7종 → 패스키·QR코드·모바일앱 등 총 12종

  또한, 양자컴퓨팅 기술 발전에 따른 미래 암호체계의 변화 가능성을 고려하여 양자내성암호 도입에 대한 내용을 추가하고, 암호키의 안전한 보관·관리 등 키 관리 중요성을 강조하는 내용*도 추가하였다.

  * 암호 키는 응용 프로그램의 소스코드, 설정파일 등에 평문으로 저장되지 않도록 주의

응용프로그램 인터페이스(API) 관리강화 등 자주 묻는 질문(FAQ) 정비

  마지막으로, 개인정보처리자가 안전조치 기준을 적용하는 과정에서 자주 문의하는 사항을 중심으로 질의응답 내용을 추가하였다. 특히, 시스템 간 정보 연계 등에 활용되는 응용프로그램 인터페이스(API)의 안전한 이용·관리와 관련된 점검사항을 추가하고, 시스템 업데이트가 지연되는 경우 고려해야 할 안전조치 관련 설명을 보완하였다. 

  아울러, 비밀번호 작성규칙과 관련하여서는, 비밀번호를 너무 자주 변경할 경우 기억하기 쉬운 단순한 비밀번호를 사용하게 되는 등의 부작용이 존재할 수 있다는 내용을 담은 답변을 수록하는 등 국제 동향을 고려한 내용도 반영하였다.

  개인정보위 이상민 개인정보정책국장은 "금번 안내서 개정을 통해 안전조치 기준에 대한 현장의 이해를 높이고, 개인정보처리자가 업무환경에서 안전조치를 적용할 때 발생할 수 있는 혼선을 줄일 수 있을 것으로 기대된다"라며, "앞으로도 개인정보 처리환경과 기술 변화 등을 고려하여 개인정보처리자가 안전조치 의무를 합리적으로 이행할 수 있도록 안내서를 보완해 나갈 계획이다"라고 말하였다.

“이 자료는 개인정보보호위원회의 보도자료를 전재하여 제공함을 알려드립니다.”