개인정보보호 위해 ‘접속관리’가 필요한 이유

“권한 사용자의 개인정보 오남용·유출 관리가 중요해”

[보안뉴스 김태형] 올해 초 카드 3사 개인정보 유출을 계기로 공공 및 민간 분야의 개인정보 관리·이용방안과 개인정보 접근권한 관리·접속기록 및 보관에 대한 관심이 높아지고 있다.

정부는 개인정보를 대량으로 수집·보유하는 모든 공공기관과 국민생활과 밀접한 민간분야에 대해 한국인터넷진흥원과 합동으로 전면적인 개인정보관리실태 특별점검을 실시한 바 있다.

당시 점검대상 기업·기관들은 개인정보의 수집, 보관 및 처리, 제3자 제공, 파기 등 개인정보 관리·이용 전반에 대한 적법한 조치를 취했는지, 특히 개인정보 처리업무 제3자 위탁과 개인정보 접근권한 관리, 접속기록 보관 등의 적정성 등에 집중 점검을 받고 법 위반 사항에 대해서는 시정 조치 명령, 과태료 부과, 수사의뢰 등의 조치를 받았다.

이처럼 개인정보 접근권한 관리와 접속기록 보관 등은 법으로 규제하고 있어 정부부처를 비롯해 개인정보를 취급하는 공공기관·기업 등에서는 관련 조치를 취해야 한다.

이와 관련 개인정보접속관리 솔루션 전문기업 엔소프테크놀로지 정연오 기술이사는 “최근의 개인정보 유출사고를 분석해 보면 대부분이 내부 직원 등 인가된 사용자에 의한 비율이 약 80% 이상을 차지하고 있다”면서 “이는 내부 직원들에 대한 보안교육 강화를 통해 개개인의 정보관리 의식을 향상시키는 것과 함께 시스템적으로 개인정보의 접속상황을 완벽하게 관리해 개인정보의 오남용 및 유출에 대응할 수 있어야 한다”고 말했다.

또 다른 전문기업인 위즈디엔에스코리아 김현석 차장은 “개인정보접속관리 솔루션은 법으로 규제하고 있다. 하지만 이를 떠나 대부분의 기업과 공공기관에서는 권한을 가지고 있는 내부자 또는 외주업체 직원에 의한 악의적 개인정보 조회나 부정행위에 대한 대책이 없는 상황”이라면서 “이에 개인정보 접속기록을 남겨서 개인정보의 부정사용 및 이상징후를 상시적으로 감시하는 통합관리 시스템이 필요하다”고 설명했다.

대부분의 기관 및 기업들은 DLP, DRM, DB접근제어 솔루션 등으로 내부 직원 및 외부 용역 직원에 의한 개인정보 유출에 대비하고 있다. 하지만 내·외부에 인가된 직원들에 의한 악의적인 개인정보 접근에 대응하고 있는 기업은 많지 않다는 것.

정연오 이사는 “이러한 문제점을 해결하기 위해서는 업무 시스템에 의한 개인정보 접근을 접속건수와 개인정보 조회건수, 조회내용 등을 상시적으로 모니터링해서 개인정보 유출에 사전 대응할 수 있는 개인정보 접속관리 시스템을 구축하는 것이 효과적”이라고 덧붙였다.

업무 시스템의 변경 없이 거래관점에서 개인정보 접근기록을 자동으로 생성해 어떤 사용자가 어떤 개인정보를 언제, 어떻게 사용했는지 감시할 수 있는 시스템을 구축하는 것이 필수라는 얘기다.

현재 개인정보를 취급하는 공공기관 및 기업들은 필수적으로 개인정보의 수집, 보관 및 처리, 제3자 제공, 파기 등 개인정보 관리·이용 전반에 대한 적법한 조치를 취해야 한다. 특히, 개인정보 처리업무 제3자 위탁과 개인정보 접근권한 관리, 접속기록 보관은 필수적이기 때문에 이를 위해서는 개인정보접속관리의 시스템적인 구축이 필요하다.

엔소프테크놀로지의 ‘TScan’은 업무처리 시스템에서 발생하는 개인정보 접근기록을 자동 생성해 개인정보의 비정상 또는 오남용 상황을 실시간으로 감시 및 관리할 수 있는 기능을 제공한다.

특히 ‘TScan’은 통합 대쉬보드를 통한 개인정보 접근 이상징후 상시 모니터링, 거래 관점의 개인정보 접근기록 추적, 통계적 관점에서의 오남용패턴 분석, 민감정보 접근관리 기능 등을 수행한다.

위즈디엔에스코리아의 ‘WEEDS Blackbox Suite’는 PC와 AP서버, DB에 이르는 기업 내 모든 정보흐름을 기록하고 부정사용 및 이상징후를 상시적으로 감시, 경보, 추적하는 내부정보 부정사용 통합 시스템이다.

더욱이 ‘WEEDS Blackbox Suite’는 개인정보보호법 등 관련법이 요구하는 개인정보접속기록을 기존 프로그램이나 업무시스템의 수정 없이 생성, 안전하게 보관할 수 있으며 모든 내부정보 사용행위 및 이상 징후에 대한 감지가 가능하다.

[김태형 기자(boan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)