개인정보 위·수탁과 자동차 해킹, 가장 뜨거운 감자 둘

개인정보 위·수탁 관계 중요성 및 스마트카 해킹 위협 논의
정보보호최고책임자협의회 ‘2015년 8월 CISO포럼’ 개최

[보안뉴스 김태형] 최근 개인정보 처리 업무를 위탁하는 경우, 위탁자는 개인정보보호법 규정에 따라 수탁업체의 개인정보처리 현황을 파악하는 것은 물론 개인정보보호와 안전한 관리를 위한 교육·관리·감독이 더욱 중요해지고 있다. 이를 준수하지 않을 경우 위탁사는 개인정보보호법상 처벌 및 행정제재를 받을 수 있기 때문이다.

이러한 가운데 정보보호최고책임자협의회(회장 이홍섭, 이하 CISO협의회)는 25일 코엑스 인터컨티넨탈 호텔에서 ‘2015년 8월 CISO포럼’을 개최했다. 이날 행사에서는 공공기관, 기업, 학계 등, 각 분야 정보보호최고책임자(CISO)들 50여명이 참석해 개인정보 위·수탁자의 법적 책임과 스마트카 보안 위협에 대해 논의했다.

CISO협의회 이홍섭 회장은 인사말을 통해 “최근 북한의 물리적인 보안위협 속에서 사이버 보안위협에 대한 대응도 매우 중요하다”면서 “이러한 시기에 정보보안 분야에 적절한 한자성어로 ‘호시우보(虎視牛步)’란 말이 있다. 이는 ‘호랑이의 눈으로 보고 소처럼 천천히 걷는다’는 뜻이다. 즉, 호랑이의 눈처럼 날카롭게 보고 신중하게 행동한다는 의미로 해석되는데, 사이버보안에서도 ‘호시우보’가 필요하다”고 강조했다.

▲ 김·장 법률사무소 김진환 변호사

이어서 김·장 법률사무소 김진환 변호사는 ‘최근 사례와 동향에 비춰 본 개인정보 위수탁 법리와 각종 유의사항’을 주제로 한 강연에서 “개인정보 처리 업무 위탁은 개인정보 처리자의 업무를 처리할 목적으로 개인정보를 제3자(수탁자)에 이전하는 경우”라고 말했다.

개인정보 처리 업무 위탁의 유형에는 개인정보의 수집·관리 업무 그 자체를 위탁하거나 개인정보 처리 및 취급 업무 위탁, 개인정보의 이용·제공이 수반되는 일반 업무를 위탁하는 것 등이다.

이어서 그는 “개인정보의 제3자 제공은 제공하는 회사가 고객·직원의 동의를 받아 계열사에게 정보를 제공하는 것으로, 제공자는 정보를 제공받은 자의 행위에 대해 책임을 부담하지 않는다”면서 “개인정보의 위탁에 있어 위탁자는 수탁자의 개인정보보호법 위반행위로 발생한 민사상 손해를 배상해야 한다”고 말했다.

이에 위탁자는 △문서에 의한 위탁 △위탁내용 공개·고지 △수탁자에 대한 교육 및 관리·감독 △관리·감독사항 내부관리계획 반영 등 개인정보처리자로서의 책임이 있고, 수탁자는 △수탁 목적 외 이용·제공 금지 △개인정보처리자의 의무(안전조치 의무, 개인정보처리에 관한 동의) 준용 등과 같은 개인정보처리자에 준하는 책임이 따른다.

이어 펜타시큐리티 IoT융합보안연구소 심상규 소장은 ‘스마트카의 해킹 위협과 IT보안의 역할’을 주제로, 최근 자동차 해킹 사례를 들면서 이에 대응하는 보안 기술 개발의 필요성을 강조했다.

심상규 소장은 “스마트카는 다양한 경로, 즉 네트워크나 시스템 침투 등으로 해킹이 가능하다. 최근 크라이슬러의 SUV, 지프 체로키를 해킹한 그룹은 네트워크에 연결된 모든 장비에 대한 해킹 가능하다고 언급했다”면서 “향후 이와 같은 자동차 해킹은 현실에서의 피해가 이어질 수 있다. 이제 자동차는 IoT의 일부라고 할 수 있어 스마트카는 앞으로 가장 활발하게 네트워크에 연결되고 관련 시장도 커질 것으로 보인다”고 말했다.

▲ 펜타시큐리티 심상규 IoT융합보안연구소장

이처럼 스마트카와 클라우드 서비스, 그리고 빅데이터 분석기술이 융합된다면 자동차가 움직이는 정보와 트래픽들을 활용해 운전자에게 필요한 정보나 도로관리 등, 다양한 분야에서 가치 있는 서비스를 제공할 수도 있다는 것.

이와 관련 그는 “스마트카는 특히 외부통신(V2X)의 보안이 중요하다. 즉 보안 통신보다 상위 계층인 응용 서비스에서의 서비스 연결과 보안이 필요하다”면서 “기존 IT 환경에서 보안 통신은 SSL에 해당하는데, 웹서비스를 위해서 별도의 인증과 암호화와 같은 보안이 추가로 요구된다. 스마트카의 보안을 위해서도 이와 같이 서비스 보안과 보안 통신을 연결하는 서비스 보안 프레임워크가 매우 중요하다”고 강조했다.

이처럼 보안이 매우 필요한 스마트카 내부 통신에는 TMS(Telematics), ADAS(Advanced Driver Assistance System), AVN(Audio, Visual & Navigation), NIC(Network Interface Controller), ECU(Electronic Control Unit), KMS(Key Management System) 등이 있다.

[김태형 기자(boan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)