[시큐리티 Q&A] 정보폐기 절차 및 가이드

Q. 정보폐기는 단순히 필요 없는 자료를 삭제한다고 하지만 어려움이 있습니다. 정보폐기에 대한 절차 혹은 가이드가 있나요? 정보폐기 및 데이터 저장매체 불용처리 절차 기준은 무엇인가요? 정보폐기 연한은 기관마다 다른 건가요?

A-1. 정보폐기에 대한 절차나 가이드는 현재 업종별로 만들어지고 있으며, 행정자치부에서 ‘개인정보의 안전성 확보조치 기준’에 파기에 대한 기준을 포함하여 고시안을 진행하고 있습니다. 법적인 기준에 따르면, 복원이 불가능한 방법이란 사회통념상 현재의 기술 수준에서 적절한 방법을 말하고 있습니다.

파기절차는 내부적인 문서로 수립되어 있어야 하며, 파기대상의 개인정보를 식별하는 방법을 포함하고 파기 방법 및 파기 결과에 대해 기록하고 관리하는 절차가 포함되는 것이 일반적입니다. 일반적으로 해당 기관의 정보폐기 연한은 기관이 따라야 하는 법률 및 규제를 기준으로 정의해야 하기에 다르다고 할 수 있습니다.

예를 들면 A금융회사가 따라야하는 법률로 개인정보보호법과 신용정보의 이용 및 보호에 관련 법률이 있다면 이를 기준으로 할 경우 종료된 고객의 정보에 대해 필수적인 정보만 보관하고 3개월 이내에 파기하는 것을 원칙으로 하고 있고, 5년이 경과되기 전에는 모든 개인정보를 파기해야 하는 것을 원칙으로 합니다.

(이정하 한국CISSP협회 보안연구실/jasonlee2484@gmail.com)

A-2. 2013년 6월 KISA에서 공개한 ‘정보보호 관리체계(ISMS) 인증제도 안내서’의 인증 기준 세부점검 항목에는 ISMS 인증을 획득하기 위해 점검해야 할 항목과 그 내용이 기재되어 있습니다. 이 중 ‘매체 보안’의 정보시스템 저장매체관리 및 휴대용 저장매체 관리에서 정보폐기 및 데이터 저장 매체 불용처리 절차 기준이 명시되어 있습니다.

정보폐기 및 데이터 저장 매체 불용처리 절차는 사용연한 경과, 고장 등의 사유로 정보시스템을 폐기 또는 재사용(양도, 내부판매, 재활용 등)할 경우 저장매체 처리에 관한 절차를 수립해 저장매체에 저장된 중요정보 유출을 방지할 수 있도록 해야 합니다. 정보폐기 연한은 개인정보 등과 같이 법률에 지정된 경우를 제외한 나머지 정보의 경우 기관마다 다를 수 있습니다.

(왕재윤 한국산업기술보호협회 관제운영팀 연구원/jywang@kaits.or.kr)

[김지언 기자(boan4@boannews.com)]

SK텔레콤 해킹 사태로 최근 잇슈가 되고 있는 ‘BPF도어’ 관련, 어떤 솔루션을 사용중인가요?
	안랩 V3 Net for Linux
	소만사 Server-i
	파이오링크 점검 도구
	잉카인터넷 전용 백신
	트렌드 마이크로 백신
	기타 국산(솔루션명은 댓글로)
	기타 외산(솔루션명은 댓글로)
	사용하지 않는다