기존 인터넷망 차단조치 개선, 개인정보처리자별 위험분석 결과에 따라 위험수준별 차등 보호대책 적용
[보안뉴스 박은주 기자] 개인정보보호위원회(위원장 고학수, 이하 개인정보위)는 9월 12일 ‘개인정보처리시스템에 대한 인터넷망 차단조치 제도개선(안)’을 발표했다. 이에 따라 앞으로는 개인정보처리시스템에서 데이터 가명화, 암호화 등 개인정보 유출방지와 불법접근 차단을 위한 적절한 보호조치를 적용한 경우, 인공지능이나 클라우드 등의 기술을 활용할 수 있고, 특히, 마케팅 목적의 데이터 분석과 연구개발을 위한 외부 분석 도구(SaaS 형태 등)를 활용할 수 있다.
현재까지는 개인정보처리시스템에 접속하는 개인정보취급자의 컴퓨터 등에 대해 의무적으로 인터넷망 차단조치를 해야 하나, 앞으로는 개인정보처리자가 내부관리계획에 따른 위험분석을 통해 인터넷망 차단수준을 직접 설계할 수 있게 된다.
인터넷망 차단조치 제도는 과거 대규모 개인정보 유출 사태를 계기로 개인정보 보호조치의 하나로써 도입됐다. 10여 년이 지난 지금 인공지능·클라우드와 같은 인터넷 기반 기술이 급격히 발전했고, 일률적인 인터넷망 차단조치로 인해 혁신 기술의 활용이 어려워 개선이 필요하다는 의견이 지속해서 제기돼 왔다.
이에 따라, 개인정보위는 인터넷망 차단조치 관련 제도개선을 위해 그동안 업계전문가로 구성된 ‘인터넷망 차단조치 제도개선 연구반’을 구성해 논의를 이어왔다. 그 결과 인터넷망을 완전히 차단하기보다는 위협 요소를 최소화하고 인터넷을 활용해 업무 효율을 높일 수 있도록 △위험도에 따른 차단수준 차등 적용 △개인정보처리자의 책임 강화를 통한 보호수준 저하 방지 △개인정보처리자 지원 강화 등 3대 개선 방향을 제시했다.
첫째, 위험도에 따라 인터넷망 차단수준을 차등적으로 적용
현재 개인정보처리시스템상 개인정보 다운로드·파기를 하거나 개인정보의 접근 권한을 설정할 수 있는 개인정보취급자의 컴퓨터에 대해 인터넷망 차단이 의무화돼 있다. 앞으로는 차단 대상 컴퓨터 등의 위험분석을 통해 취급자 컴퓨터 등을 3단계로 구분하고, 차단수준을 차등 적용할 예정이다.
개인정보처리자는 내부관리계획에 따라 위험분석을 거쳐 위험수준을 구분해 저위험·중위험 컴퓨터 등에 대하여 인터넷망 차단조치 이외에 이와 상응하는 보호조치 하에서 제한된 인터넷망 접속도 허용하도록 완화할 방침이다.
원칙적으로 저위험, 중위험 컴퓨터 등은 개인정보처리자가 마련한 내부관리계획에 따른 위험분석을 통해 대상 컴퓨터 등을 결정해야 한다. 개인정보위는 산업계 등 이해관계자들과 논의를 거쳐 위험수준(저·중·고) 기준과 상응하는 보호조치 등을 구체화해 필요한 부분을 ‘개인정보의 안전성 확보조치 기준’에 반영할 예정이다. 다만 개인정보 데이터베이스(DB)에 대한 접근 권한을 설정할 수 있는 고위험 컴퓨터 등은 탈취 시 대규모 개인정보 유출이 우려되므로, 기존과 같이 인터넷망 차단조치 의무를 유지할 계획이다.
둘째, 개인정보처리자의 책임 강화 통해 보호수준 저하 방지
인터넷망 차단조치 완화로 인해 개인정보보호 수준이 저하되지 않도록 개인정보처리자 스스로가 책임 강화를 통해 보호수준 저하를 방지해야 한다. 개인정보위는 처리자 스스로 컴퓨터 등과 취급자 현황과 위치, 취급 개인정보의 민감도 등 분석을 통해 적절한 보안 대책을 강구할 수 있도록 유도한다. 한편, 수립한 보안 대책이 제대로 운영되고 있는지 점검하고 보완 사항에 대해 주기적으로 재평가·보완조치를 하도록 권고해 나갈 예정이다.
셋째, 개인정보처리자에 대한 지원 강화
개인정보위는 개인정보처리자가 인터넷망 차단조치 완화에 따른 보안 조치를 효과적으로 적용할 수 있도록 입체적인 지원을 강화할 예정이다. 우선, 기술지원 전담반을 구성해 상응 보호조치 적용을 원하는 개인정보처리자에 대해 현황진단, 애로 상담 등 맞춤형 원스톱 지원 서비스를 제공할 계획이다. 아울러, 사업자가 적용할 상응 보호조치가 인터넷망 차단조치에 상응하는 조치인지 여부를 사전에 검토하여 개인정보처리자의 불확실성을 제거할 예정이다.
고학수 개인정보위 위원장은 “이번 인터넷망 차단조치 제도개선으로 인공지능·클라우드 등 현장에서 필요한 분석도구를 안전하게 활용하는 것이 가능해질 것으로 기대된다”며 다만 “개인정보 보호수준 저하로 연결되지 않도록 철저한 위험분석을 하는 등 개별 개인정보처리자의 각별한 노력이 필요하다”고 강조했다.
[박은주 기자(boan5@boannews.com)]
[보안뉴스 박은주 기자] 개인정보보호위원회(위원장 고학수, 이하 개인정보위)는 9월 12일 ‘개인정보처리시스템에 대한 인터넷망 차단조치 제도개선(안)’을 발표했다. 이에 따라 앞으로는 개인정보처리시스템에서 데이터 가명화, 암호화 등 개인정보 유출방지와 불법접근 차단을 위한 적절한 보호조치를 적용한 경우, 인공지능이나 클라우드 등의 기술을 활용할 수 있고, 특히, 마케팅 목적의 데이터 분석과 연구개발을 위한 외부 분석 도구(SaaS 형태 등)를 활용할 수 있다.
[로고=개인정보위]
현재까지는 개인정보처리시스템에 접속하는 개인정보취급자의 컴퓨터 등에 대해 의무적으로 인터넷망 차단조치를 해야 하나, 앞으로는 개인정보처리자가 내부관리계획에 따른 위험분석을 통해 인터넷망 차단수준을 직접 설계할 수 있게 된다.
인터넷망 차단조치 제도는 과거 대규모 개인정보 유출 사태를 계기로 개인정보 보호조치의 하나로써 도입됐다. 10여 년이 지난 지금 인공지능·클라우드와 같은 인터넷 기반 기술이 급격히 발전했고, 일률적인 인터넷망 차단조치로 인해 혁신 기술의 활용이 어려워 개선이 필요하다는 의견이 지속해서 제기돼 왔다.
이에 따라, 개인정보위는 인터넷망 차단조치 관련 제도개선을 위해 그동안 업계전문가로 구성된 ‘인터넷망 차단조치 제도개선 연구반’을 구성해 논의를 이어왔다. 그 결과 인터넷망을 완전히 차단하기보다는 위협 요소를 최소화하고 인터넷을 활용해 업무 효율을 높일 수 있도록 △위험도에 따른 차단수준 차등 적용 △개인정보처리자의 책임 강화를 통한 보호수준 저하 방지 △개인정보처리자 지원 강화 등 3대 개선 방향을 제시했다.
첫째, 위험도에 따라 인터넷망 차단수준을 차등적으로 적용
현재 개인정보처리시스템상 개인정보 다운로드·파기를 하거나 개인정보의 접근 권한을 설정할 수 있는 개인정보취급자의 컴퓨터에 대해 인터넷망 차단이 의무화돼 있다. 앞으로는 차단 대상 컴퓨터 등의 위험분석을 통해 취급자 컴퓨터 등을 3단계로 구분하고, 차단수준을 차등 적용할 예정이다.
개인정보처리자는 내부관리계획에 따라 위험분석을 거쳐 위험수준을 구분해 저위험·중위험 컴퓨터 등에 대하여 인터넷망 차단조치 이외에 이와 상응하는 보호조치 하에서 제한된 인터넷망 접속도 허용하도록 완화할 방침이다.
▲위험수준별 개인정보취급자 컴퓨터 등 구분(안)[자료=개인정보위]
원칙적으로 저위험, 중위험 컴퓨터 등은 개인정보처리자가 마련한 내부관리계획에 따른 위험분석을 통해 대상 컴퓨터 등을 결정해야 한다. 개인정보위는 산업계 등 이해관계자들과 논의를 거쳐 위험수준(저·중·고) 기준과 상응하는 보호조치 등을 구체화해 필요한 부분을 ‘개인정보의 안전성 확보조치 기준’에 반영할 예정이다. 다만 개인정보 데이터베이스(DB)에 대한 접근 권한을 설정할 수 있는 고위험 컴퓨터 등은 탈취 시 대규모 개인정보 유출이 우려되므로, 기존과 같이 인터넷망 차단조치 의무를 유지할 계획이다.
둘째, 개인정보처리자의 책임 강화 통해 보호수준 저하 방지
인터넷망 차단조치 완화로 인해 개인정보보호 수준이 저하되지 않도록 개인정보처리자 스스로가 책임 강화를 통해 보호수준 저하를 방지해야 한다. 개인정보위는 처리자 스스로 컴퓨터 등과 취급자 현황과 위치, 취급 개인정보의 민감도 등 분석을 통해 적절한 보안 대책을 강구할 수 있도록 유도한다. 한편, 수립한 보안 대책이 제대로 운영되고 있는지 점검하고 보완 사항에 대해 주기적으로 재평가·보완조치를 하도록 권고해 나갈 예정이다.
셋째, 개인정보처리자에 대한 지원 강화
개인정보위는 개인정보처리자가 인터넷망 차단조치 완화에 따른 보안 조치를 효과적으로 적용할 수 있도록 입체적인 지원을 강화할 예정이다. 우선, 기술지원 전담반을 구성해 상응 보호조치 적용을 원하는 개인정보처리자에 대해 현황진단, 애로 상담 등 맞춤형 원스톱 지원 서비스를 제공할 계획이다. 아울러, 사업자가 적용할 상응 보호조치가 인터넷망 차단조치에 상응하는 조치인지 여부를 사전에 검토하여 개인정보처리자의 불확실성을 제거할 예정이다.
고학수 개인정보위 위원장은 “이번 인터넷망 차단조치 제도개선으로 인공지능·클라우드 등 현장에서 필요한 분석도구를 안전하게 활용하는 것이 가능해질 것으로 기대된다”며 다만 “개인정보 보호수준 저하로 연결되지 않도록 철저한 위험분석을 하는 등 개별 개인정보처리자의 각별한 노력이 필요하다”고 강조했다.
[박은주 기자(boan5@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
박은주기자 기사보기
[2024-10-31] .jpg)
