개인정보도 함께 전송하고 있나요?
응용프로그램 인터페이스(API) 활용 확대에 따른 개인정보 유출 예방 권고

- 비정상 접근으로 약 3700만여 명의 이름, 전화번호 등 유출
- 오래된 API를 통해 별도 권한 확인 없이 고객 데이터 조회 가능
- 안심번호 전송 정책 변경 후에도 휴대전화번호 함께 전송, 타사 시스템에 약 13.5만여 명의 이용자 개인정보 보관 사실 확인

■ 최근 권한 관리 미흡한 API를 통해 개인정보 유출 사고 발생

· 로그인 여부만 확인하고 개인정보 조회 권한을 확인하지 않거나
· 서비스 제공에 필요하지 않은 개인정보까지 API 응답 데이터에 포함하는 경우
→ 대규모 개인정보 유출로 이어질 수 있음

■ API 권한 관리 점검사항 ① 개인정보 최소화
API가 반환하는 개인정보 항목과 제공 규모를 줄입니다.

· 필요한 데이터만 응답
- 화면에 보여주지 않거나 목적에 필요 없는 개인정보는 API 응답 데이터에서 제외

· 대량조회·응답량 제한
- 계정, IP, 자격증명 등을 기준으로 반복 호출, 대량 검색 등에 제한을 두어 대규모 개인정보 조회·유출 등 방지

■ API 권한 관리 점검사항 ② 최소 권한 기반 접근통제
허용된 주체·기능·범위만 개인정보에 접근하도록 합니다.

· 접근범위 분리
- 이용자, 취급자, 고객사 등 주체별로 사용 가능한 API 및 개인정보 항목을 필요 최소한의 범위로 차등 부여

· 기본 차단
- 로그인 여부만 확인하는 것으로는 충분하지 않으며, 권한 정책을 따르지 않는 비정상 요청은 기본적으로 차단

· 서버 권한검사
- 이용자 화면에서 보이지 않는 것만으로는 충분하지 않으며, 서버에서 요청 데이터에 대한 접속 권한 확인

■ API 권한 관리 점검사항 ③ 운영 API 지속 점검
운영 현황, 자격증명, 접속기록을 주기적으로 확인합니다.

· 오래된 API 관리
- 서비스 개편, 기능 종료 후 남아 있는 구버전·미사용 API 차단 또는 폐기

· 자격증명 회수
- 장기 미사용 API 키·토큰 등 자격증명 및 권한 정기적으로 점검 및 회수

· 이상징후 대응
- 접속기록을 점검하고 대량조회·반복 실패, 새벽시간 등 업무 외 시간 접속, 외국 등에서의 접속 등 비정상 패턴 탐지

안전한 API 관리로 개인정보를 안전하게 보호하세요.

· 개인정보 최소화
· 최소 권한 기반 접근통제
· 운영 API 지속 점검

'텍스트'에 한하여 공공누리 출처표시 및 변경을 금하는 조건으로 비상업적 이용이 가능합니다.

단, 사진, 이미지, 일러스트, 동영상 등의 일부 자료는 문화체육관광부가 저작권 전부를 보유하고 있지 아니하므로, 반드시 해당 저작권자의 허락을 받으셔야 합니다.

저작권정책 담당자안내

정책브리핑 공공누리 담당자 안내

문의처 : 문화체육관광부 정책포털과

문화체육관광부 정책포털과 공공누리 담당자

뉴스	정책뉴스, 정책칼럼, 뉴스인사이트 등 044-203-3052 국민이 말하는 정책 044-203-3254
멀티미디어	영상, 숏폼 044-203-3049 카드/한컷 044-203-3261 사진 044-203-3261 웹툰 044-203-3049
브리핑룸	보도자료 044-203-3049 사실은 이렇습니다 044-203-3052 브리핑자료 044-203-3049 연설문 044-203-3049
정책자료	국정신문 044-203-3046
정부기관 SNS	소통채널(SNS) 044-203-3046

※ 브리핑룸 보도자료는 각 부·처·기관으로부터 연계로 자동유입되는 자료로 보도자료에 포함된 연락처로 문의
※ 전문자료와 전자책의 이용은 각 자료를 발간한 해당 부처로 문의

국가법령정보센터 저작권법 바로가기 공공누리 유형안내 바로가기

닫기

기사 이용 시에는 출처를 반드시 표기해야 하며, 위반 시

저작권법 제37조

제37조(출처의 명시)

① 이 관에 따라 저작물을 이용하는 자는 그 출처를 명시하여야 한다. 다만, 제26조, 제29조부터 제32조까지,
제34조 및 제35조의2의 경우에는 그러하지 아니하다. <개정 2011. 12. 2.>

② 출처의 명시는 저작물의 이용 상황에 따라 합리적이라고 인정되는 방법으로 하여야 하며, 저작자의 실명
또는 이명이 표시된 저작물인 경우에는 그 실명 또는 이명을 명시하여야 한다.

닫기

및

제138조

제138조(벌칙)

다음 각 호의 어느 하나에 해당하는 자는 500만원 이하의 벌금에 처한다. <개정 2011. 12. 2.>

1. 제35조제4항을 위반한 자

2. 제37조(제87조 및 제94조에 따라 준용되는 경우를 포함한다)를 위반하여 출처를 명시하지 아니한 자

3. 제58조제3항(제63조의2, 제88조 및 제96조에 따라 준용되는 경우를 포함한다)을 위반하여 저작재산권자의 표지를 하지 아니한 자

4. 제58조의2제2항(제63조의2, 제88조 및 제96조에 따라 준용되는 경우를 포함한다)을 위반하여 저작자에게 알리지 아니한 자

5. 제105조제1항에 따른 신고를 하지 아니하고 저작권대리중개업을 하거나, 제109조제2항에 따른 영업의 폐쇄명령을 받고 계속 그 영업을 한 자 [제목개정 2011. 12. 2.]

닫기

에 따라 처벌될 수 있습니다.

<자료출처=정책브리핑 www.korea.kr>