[기고] 민간 도입사례로 배워보는 개인정보영향평가

의무화된 공공기관의 개인정보영향평가제도, 제대로 정착되려면...

[보안뉴스=한재호 에이쓰리시큐리티 대표이사] 개인정보보호법 제2조에 의하면 ‘개인정보라 함은 살아있는 개인에 대한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아 볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다)를 말한다’고 되어 있다.

개인정보의 개념과 범위는 사회 환경, 기술의 발전에 따라 지속적으로 확대되고 있다. 기존 개인정보의 개념이 단순히 생존하는 개인에 관한 정보였다면 인격권과 재산권이 혼재된 개념으로 범위가 확대되고 있다.

이러한 개인정보의 활용범위도 확대되어 공공, 금융 기관뿐 아니라 주택관리업, 쇼핑센터, 결혼중개업, 학원, 영화관, 여행업 등 다양한 서비스에서 활용되고 있다.

개인정보가 제대로 관리되지 않으면 개인의 프라이버시 측면의 인격권과 재산권에 막대한 피해를 입힐 수 있다는 것을 최근의 여러 사고 사례에서 볼 수 있었다. 유비쿼터스 정보기술의 발달에 따른 개인정보 유출 위험이 확산됨과 동시에, 예전과 달리 정보사회의 핵심자원으로서의 개인정보 자체의 자산 가치에 대한 인식이 강화되고 있기 때문이다. 더욱이 자기정보에 대한 관심이 증대되고 있으며 정부는 공공의 신뢰를 위한 필수 조건으로서 개인정보보호 강화를 강조하고 있다.

개인정보 침해신고 또한 증가하고 있는 추세이며 침해 양상도 내부 직원 유출, 사업자의 무단 이용과 더불어 관리 부주의, 해킹, 웜/바이러스 등 외부공격에 의한 유출로 매우 다양하다. 또한, 이에 대한 집단 손해배상 소송도 활발하게 진행되고 있는데, 개인정보보호법 통과로 인해 향후 공공기관에 대해서도 소송 발생 가능성이 매우 커지고 있다.

이러한 사회 현실을 반영하여 개인정보보호법이 제정되었다. 개인정보보호법은 과거에는 교육부문, 의료부문, 금융/신용부문, 정보통신부문, 공공행정부문의 각 개별 법에서 적용되던 개인정보보호 관련 규제를 하나로 통합함으로써 법 적용 사각지대를 없애고, 혼선 없이 일관된 정책추진을 가능하게 하는데 의의가 있다. 참고로 과거 10년간 개인정보 침해신고건수(총 54,832건) 중 법적용이 제외된 사업자가 약 73.74%(40,431건)였던 점은 사각지대가 그 만큼 넓었다는 것을 의미한다.

이러한 개인정보보호법에서 눈에 띄는 한 가지는 공공기관에서부터 의무화된 개인정보 영향평가제도이다. 개인정보영향평가는 우선적으로 공공기관에 한해 의무화 시행이지만 향후에 민간으로까지 적극적으로 확대하고자 하는 의지를 가지고 추진하고 있다.

개인정보 영향평가란?

개인정보영향평가(PIA, Privacy Impact Assessment)란 사업자가 사업을 추진, 수행 할 때 발생할 수 있는 개인정보 침해나 유출로 인한 문제점을 사전에 측정·분석해 사후에 지속적으로 관리·지원함으로써, 회사에서 서비스 제공을 위해 이용하는 개인정보에 대한 안전성 확보를 목적으로 시행하는 개인정보 보호를 위한 개선 절차를 말한다.

기존 마케팅 중심의 사고로 볼 때는 우선 사업을 추진해 성과를 극대화하는데 전력을 다하고, 만약의 경우 개인정보와 관련한 보안사고가 발생할 경우 수익을 손해배상 비용으로 지출한다는 사후 대응 개념이었다면, 개인정보영향평가는 사전 예방으로 사후 비용을 절감한다는 보다 적극적인 예방중심의 활동이라고 볼 수 있다.

이러한 개인정보영향평가 활동을 통하여 정보의 주체인 개인 이용자들의 불만 등 외부 개입 이전에 내부적으로 문제를 파악하여 처리함으로써 기업에 대한 신뢰를 증진시킬 수 있다.

공공기관의 개인정보영향평가제도

개인정보보호법 상의 개인정보영향평가를 우선적으로 공공기관을 대상으로 하며 그 내용은 다음과 같다.

공공기관의 영향평가는 다음 그림에서 볼 수 있듯이 개인정보보호법 기반 하에 개인정보보호위원회의 심의의결을 통하여 지정된 자격이 인정된 평가기관에 의하여 수행된 후 행정안전부에 최종 결과를 보고하는 프로세스로 진행된다.

민간기업의 개인정보영향평가 도입사례

하지만 공공기관 외의 준용사업체 및 일반 민간기업들도 영향평가에 대해 소홀히 할 수는 없다. 현재 국가적으로 민간으로 의무화 시행을 확대하고자 하는 의지가 있으며, 단기적으로도 영향평가를 성실하게 수행한 민간기업들에게 혜택이 주어지기도 한다.

특히, 대형 통신사, 포털, 금융사를 중심으로 공공기관보다 앞서 적극적으로 영향평가제도를 내부에 정착시킨 사례를 찾아볼 수 있다. 민간기업의 영향평가는 2006년 KISA에서 제공한 민간기업의 영향평가를 위한 가이드라인을 기반으로 국내 대표 S통신사에서부터 선도적으로 구축했다.

S통신사는 수작업으로 진행하던 영향평가를 시스템으로 구축한 후, 선진적으로 발전시켜 여러 번의 기업내부 현실에 맞는 시스템으로 고도화하여 현재 5년 이상의 영향평가 수행사례를 데이터베이스로 구축하고 있다. 이는 많은 개인정보보호 책임자와 기업의 경영진들에게 자극이 되어 이후, 포털, 통신사뿐 아니라 금융사로까지 개인정보영향평가 체계를 도입할 수 있도록 하는데 도움을 주었다.

다음은 S사에서 수행하는 개인정보영향평가 프로세스로써 전형적인 민간기업의 개인정보영향평가 프로세스이다. S사는 기존 보안팀에서 보안을 총괄할 뿐만 아니라 개인정보영향평가까지 주관하는 형태로 업무를 시작했으나, 현재는 고객가치경영(CV) 주관부서와 협업하여 보다 고객의 개인정보를 중요시하는 관점에서 체계적으로 수행할 수 있도록 발전시키고 있다.

다음은 대표적인 IT서비스사인 A사의 사례로써 A사는 개인정보영향평가를 기획 단계에만 수행하는 것이 아니라 전체 SDLC(소프트웨어 개발 수명주기)상에서 단계별로 이루어지도록 프로세스를 정했으며 구축단계(Project) 이후 운영단계(Service)에서도 지속적으로 개선할 수 있도록 했다.

개인정보 영향평가를 위해서는 개인정보의 흐름도를 분석하여 각 흐름상의 위협을 정확하게 이해하는 것이 중요한 단계인데, 이를 적용한 사례로써 다음은 D금융사의 개인정보흐름도를 시스템 상에서 관리하는 화면이다.

이와 같이 이미 고객의 개인정보를 소중히 다루고자 하는 의지를 가진 선두적인 민간기업들은 개인정보영향평가를 전담조직을 통한 잘 짜인 프로세스로 수행하고 있을 뿐만 아니라 시스템으로 자동화된 이력관리, 모니터링을 수행하고 있다.

개인정보 영향평가 도입을 위한 고려사항

그럼 개인정보영향평가를 도입하는 데는 어떤 어려움이 예상되는지 알아보자. 먼저, 개인정보영향평가를 받아야 하는 각 사업주관부서 담당자들은 다음과 같은 어려움이 있을 것이다.

[영향평가 수검자]

·난 보안은 물론이고 IT도 잘 모르는 현업 PM이다.

·신규 시스템 구축하는 것만으로도 바쁜데, PIA 업무는 너무 힘들고, 시

간도 오래 걸린다.

·PIA는 너무 어렵고 생소한 단어들뿐이고, 나와는 상관없는 일인 것 같

다.

·보안대책을 적용해야 하는데, 왜? 적용해야 하는지 이유를 모르겠다.

·보안대책을 적용해야 하는데, 어떻게? 구체적으로 적용해야 하는지 모르겠다.

·당장 사업하는 것이 중요하지, PIA를 수행하지 않았다고 사업 OPEN에

지장이 있다는 것이 말이 되냐?

또한, 영향평가를 수행해야 하는 평가팀 담당자는 다음과 같은 고충이 예상된다.

[영향평가 수행자]

·난 보안담당자로 PIA를 수행한다.

·PIA를 반드시 받아야 한다고, 현업 PM을 설득하기 너무 어렵고, 조직

전체적으로 강압적으로 밀어붙이기도 어렵다.

·시스템 구축/변경 건 전체에 대해서 PIA를 수행하는 것은 현실적으로

어려운데, 어떤 기준으로 PIA 수행 대상을 선정해야 할까?

·PIA를 수행한 서비스에서 개인정보 유출사고가 발생하면 모두 내가 책

임져야 하는가?

·우리 회사 서비스는 너무 다양한데, 차별화된 평가 기준을 정립하기가

쉽지 않다.

·PIA의 보안대책을 왜? 어떻게? 해야 하는지를 현업 PM들에게 이해시

키기가 어렵다.

이러한 예상되는 어려움을 모두 고려해서 조직 내부에서는 적용 가능한 프로세스와 조직을 정립하고, 기준을 정하며 지속적으로 지식을 데이터베이스화하며 수준을 모니터링 할 수 있도록 해야 한다.

이런 모든 사항들은 조직의 경영진 내지는 대표가 의지를 가지고 있을 때, 가능한 일이다. “대부분의 개혁은 아래에서 위로 이루어진다. 하지만, 보안은 반드시 위로부터의 개혁이 먼저 이루어져야 한다”라는 말을 명심해야 한다.

마지막으로 개인정보영향평가를 위해서 조직 차원에서 해야 할 것과 하지 말아야 할 것을 정리하며 마무리하도록 한다.

[글_한재호 에이쓰리시큐리티 대표이사(www.a3security.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)