“사업 특성 반영한 보호대상 개인정보 식별 필요”

전상미 소장, ‘개인정보보호의 전략 및 컨설팅’ 발표

29일 삼성동 코엑스에서 개최된 ‘제1회 소만사(대표 김대환 www.somansa.com) 개인정보보호 컨퍼런스’에서 전상미 A3시큐리티 연구소장은 ‘개인정보보호의 전략 및 컨설팅’이란 주제로, 개인정보보호를 위한 기업의 노력이 필요하다고 발표하는 한편 그에 따른 기업 개인정보보호 컨설팅을 제안했다.

이날 전 소장은 개인정보 보호를 위한 기업의 노력으로 ▲ 최고정보호책임자(CSO)의 확대 ▲ 개인정보 영향평가(PIA) 과정에서 ‘취약성 진단 및 세부 통제 설계’ 업무 필요 ▲ 업무 프로세스 및 개인정보 취급 현황에 대한 체계적인 분석활동 요구 등을 강조했다.

그에 따라 전 소장은 개인정보 영향평가 방법론을 예로 들고, “개인정보 영향평가 전체 프로세스를 체계화하고 각 단계별 사업주관부서와 보안팀의 R&R(역할 및 책임)을 정립하는 등의 프로세스 구축이 필요하다”고 지적했다.

그와 함께 전 소장은 “사업 특성을 반영한 보호 대상 개인정보의 식별이 필요하며, 개인정보 별 민감도 산정 등이 필요하다”고 제시했다.

아울러 전 소장은 영향평가 대상 사업 분석으로 ▲ 기업 내 개인정보 흐름 패턴 분석 ▲ 개인정보 영향평가 주안점 분석 ▲ 조직 특성에 따른 개인정보 영향평가 추진 전략 ▲ 개인정보 흐름 패턴에 따른 영향평가 대상 업무유형 분석 등이 필요하다고 제시했다.

한편 전 소장은 개인정보 영향평가 시스템의 필요 기능으로 개인정보 보유 현황 및 위험수준 모니터링과 개인정보 영향평가의 자동화&가시화, 그리고 개인정보 보안대책 및 위험 관련 지식DB 제공이 선결되는 구축 방안 등을 설명했다.

[김정완 기자(boan3@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다