IT수탁사 개인정보보호 자율점검 키포인트

IT 수탁사 개인정보보호 자율점검 주요 길라잡이

[보안뉴스=이재근 한국정보화진흥원 수석연구원] 2011년 9월 개인정보보호법이 시행되면서 개인정보를 처리하는 모든 기관 및 사업체가 개인정보보호법의 적용대상이 되었지만, 여전히 우리사회 곳곳에서 개인정보 유출 및 침해 사고가 발생하고 있다.

개인정보 유출 및 침해 사고를 사전에 예방하고 그 피해를 최소화하기 위해 정부에서도 많은 정책을 추진하고 있는데, 최근 중점을 두고 추진하는 사업 중 하나가 개인정보를 처리하는 민간 사업자 및 공공기관 등으로부터 개인정보처리 시스템의 개발·운영·유지보수 등의 업무를 전문적으로 위탁 받아 처리하는 소프트웨어 사업자(이하 IT수탁사)를 대상으로 개인정보보호 자율점검을 실시하고 현장점검을 실시하는 정책이다.

IT수탁사를 대상으로 하는 개인정보보호 자율점검은 개인정보 처리 기능이 있는 홈페이지 또는 소프트웨어 솔루션을 개발·공급하거나, 온라인 소프트웨어 임대(ASP, Application Service Provider) 서비스를 제공하는 IT수탁사를 대상으로 개인정보보호법에서 정하고 있는 개인정보처리 위탁 계약 체결, 개인정보 처리에 따른 안전성조치 등 최소한의 개인정보보호 조치를 제대로 취하고 있는지 IT수탁사 스스로 점검하고 개선하도록 했다.

이렇게 개인정보보호 자율점검 및 개선을 추진한 IT수탁사에 대해서는 개인정보 처리실태 현장점검시 법 위반 사항이 발견되더라도 바로 행정처분하지 않고, 개선 이행계획서를 징구하는 등 인센티브를 부여하도록 해서 IT수탁사 스스로의 개인정보보호 자율점검 및 개선을 활성화하고 IT수탁사가 지원하고 있는 개인정보처리자의 실질적인 개인정보보호법 준수를 유도하기 위한 정책이다.

이처럼 IT수탁사에 대한 관리를 강화는 이유는 IT수탁사가 개인정보를 처리하는 각종 소프트웨어를 개발 및 제공하는 주체로 매우 중요한 위치를 차지하고 있기 때문이다.

행정자치부에서 2012년부터 2013년까지 실시한 개인정보 처리실태 현장점검 494건 중 64.4%인 318건이 수탁사 책임형 법위반인 것으로 분석됐다. 또한 같은 시기에 발생한 개인정보 유출사고 56건의 개인정보 유출 원인을 분석한 결과에서도 수탁자 책임형 유출사고가 76.8%인 43건에 이르는 것으로 분석된 바 있다.

이처럼 각종 개인정보처리 시스템 및 관련 솔루션을 개발 및 제공하는 IT수탁자가 시스템 개발단계에서부터 개인정보보호법에서 정한 수집절차, 안전성 조치 등을 만족하는 개인정보처리 시스템을 개발한다면, 관련 프로그램 및 솔루션을 이용하는 많은 개인정보처리자를 점검하지 않더라도 직접 개선하는 효과를 기대할 수 있는 것이다.

IT수탁사가 개인정보를 처리하는 시스템 및 솔루션 개발단계부터 개인정보보호를 위한 안전성 조치를 제대로 적용한다면, 이를 이용하는 개인정보처리자는 개인정보보호법에서 정한 안전성 기준을 만족하는 시스템을 이용할 수 있게 된다.

그러나 IT수탁사로부터 법에서 정한 안전성 기준을 만족하지 못하는 개인정보처리 시스템을 제공받은 개인정보처리자의 경우, 개인정보보호법상 준수가 필요한 사항을 일일이 확인하거나 보완하기가 쉽지 않은 것이 사실이다.

특히, 개인정보보법에 대한 이해가 낮은 자영업자나 소상공인들의 경우 본인들이 인지하지 못하는 사이에 개인정보보호법을 위반할 개연성이 매우 높다. 개인정보를 처리하는 대다수 소상공인, 자영업자의 경우 개인정보보호법에서 규정하고 있는 개인정보를 처리하는 개인정보처리자의 지위에 있으나, 대부분은 IT수탁사가 제공하는 개인정보처리 시스템을 이용할 뿐 개인정보보호법의 세부 안전성 조치 등에 대해서는 전적으로 IT수탁사에 의존하고 있는 상황이다. 즉 IT수탁사의 개인정보보호 노력 여하에 따라 이들 개인정보처리자의 법 준수가 결정된다고 할 수 있다.

이러한 자영업자나 소상공인은 통계청 조사에 따르면 국내 약360만개 사업체중 82.3%인 296만개에 이르고 있는 상황이며, 특히 이·미용실, 병·의원, 쇼핑몰 운영자, 프랜차이즈 가맹점 등 고객정보를 관리하는 영세 사업자의 경우 IT개발 능력이 부족해 관련 전문 IT수탁사를 통해 고객의 정보를 관리하는 솔루션과 서비스를 월 일정금액의 수수료를 내고 이용하는 경우가 대다수라고 할 수 있다.

2014년 IT수탁사에 대한 시범점검 결과 IT수탁사 1곳이 평균 788개의 개인정보처리자를 지원하고 있었으며, 2015년 2월 의료분야와 관련된 IT수탁사를 점검한 결과 10곳의 의료분야 IT수탁사가 38,000 여개의 병의원 및 약국 등 요양기관에 개인정보처리 시스템을 제공하거나 운영지원을 실시하고 있는 것으로 확인되었다. 즉 IT수탁사 10개사에 대한 점검만으로 전국 병·의원(약 65,000개) 및 약국(약 21,000개)의 45%에 이르는 의료기관의 개인정보보호법 준수사항들을 점검하고 미흡한 사항을 개선하는 효과를 달성할 수 있는 상황인 것이다.

행정자치부는 IT수탁사에 대한 개인정보보호 자율점검과 병행하여 국민의 소중한 개인정보 보호에 중요한 역할을 담당하고 있는 IT수탁사의 시스템 개발자들이 시스템 개발 및 운영 단계에서 개인정보보호법 적용 및 준수를 지원하기 위해 ‘시스템 개발 운영자를 위한 개인정보보호 가이드라인’을 제작하고 개인정보보호 포털(http://www.privacy.go.kr) 자료마당의 지침자료를 통해 배포해 개인정보보호법을 잘 모르는 시스템 개발자들이 개인정보처리 시스템을 기획 및 개발하는 단계부터 개인정보보호법을 준수할 수 있도록 지원하고 있다. 또한, 개인정보 처리 시스템 개발 관련 법 준수 의무범위 확대, IT수탁사의 법 위반 시 처벌규정 신설 등 개인정보보호법상 IT수탁사들에 대한 관리 감독을 강화하기 위해 관련 제도도 정비해 나갈 계획이다.

IT 수탁사 개인정보보호 자율점검 주요 내용
위탁사로부터 개인정보처리 관련 업무를 위탁받아 처리하거나 개인정보처리 시스템을 개발 및 제공하는 IT수탁사라면 반드시 아래의 개인정보보호 자율점검 사항을 확인하고 미비한 사항이 있는 경우에는 개선해야 한다.

IT수탁사 개인정보보호실태 자율점검 지침은 한국인터넷진흥원 홈페이지(http:// www.kisa.or.kr) 알림마당의 공지사항에서 다운받아 이용할 수 있다.

위·수탁 계약 체결 및 개인정보취급자 관리

IT수탁사가 개인정보 처리 업무를 위탁한 위탁자와 개인정보 처리업무 관련 계약을 체결하는 경우에는 개인정보보호법 제26조에서 규정하고 있는 바와 같이 개인정보보호 관련 7대 준수 사항이 반영된 문서로된 계약서로 계약해야 한다.

개인정보 처리 위·수탁 계약을 체결하지 않고 위탁자로부터 개인정보를 제공받아 업무를 수행하는 경우 최초 개인정보를 제공한 정보주체의 동의 없는 제3자 제공 또는 개인정보 불법 취득으로 간주될 수 있는 중요한 사항이다. 정보주체의 개인정보를 보호하고 IT 수탁자의 개인정보 처리에 대한 정당성을 마련하기 위해서라도 반드시 위탁자와의 계약사항을 확인하고 문서로서 계약해야 하며, 인력 파견에 따른 시스템통합(SI)성 업무를 수행하는 경우에도 계약을 체결해야 한다.

특히, 고객관리 시스템을 ASP 형태로 제공하는 경우 IT수탁사에서 이용약관 또는 서비스 사용 신청 계약만 체결하는 경우가 있는데 이는 개인정보보호법 위반에 해당한다. 개인정보를 직접 수집하는 고객사 입장에서는 개인정보 처리 업무를 ASP 서비스 제공 회사에 위탁하는 것으로 해석되기 때문에 이용 약관과 별도로 개인정보보호 관련 7대 준수사항을 포함한 개인정보처리 위·수탁 계약을 반드시 체결해야 한다.

개인정보처리 위·수탁 계약서 양식은 개인정보보호포털(http://www.privacy.go.kr) 자료마당의 참고자료에서 ‘표준 개인정보처리위탁 계약서’를 다운받아 사용할 수 있으며 기존의 계약서와 별건으로 체결할 수 있다.

또한, IT수탁사는 개인정보보호법 제28조에서 규정하고 있는 바와 같이 IT수탁사에서 개인정보를 취급하는 임직원, 파견·시간제 근로자 등 개인정보취급자를 대상으로 개인정보보호를 위한 보안서약서 징구, 정기적인 개인정보보호 교육을 실시해야 한다.

또한, 개인정보취급자에게 개인정보처리 시스템에 대한 접근권한을 부여하는 경우 업무의 성격에 따라 최소한의 범위로 차등 부여하는 등 접근권한에 대해서도 관리·감독해야 한다. 개인정보취급자를 대상으로 개인정보보호 교육을 실시하는 경우에는 별도의 비용부담 없이 개인정보 보호포털의 배움터에서 제공하고 있는 교육 자료 및 온라인 교육과정을 이용해서 자체 교육도 가능하며 교육을 실시한 결과를 보관·관리해야 한다.

개인정보 수집 기능을 개발하는 경우
홈페이지를 구축하면서 온라인 회원모집 기능 등 개인정보를 수집하는 기능을 개발하거나 ASP 형태로 제공하는 IT수탁사는 개인정보보호법 제15조(개인정보의 수집·이용), 제16조(개인정보의 수집 제한), 제17조(개인정보의 제공), 제22조(동의를 받는 방법), 제23조(민감정보의 처리 제한), 제24조(고유식별정보의 처리 제한), 제24조의2(주민등록번호 처리의 제한) 및 제30조(개인정보 처리방침의 수립 및 공개) 등을 고려해서 위탁자가 개인정보보호법에서 정한 개인정보 수집에 따른 동의 및 고지 절차를 준수할 수 있도록 관련 개인정보처리 시스템을 개발해야 한다.

법 제15조에 따라 개인정보 수집에 따른 동의를 받는 경우 홈페이지 회원가입은 대부분 동의를 받고 있으나, 게시판, 민원 접수 등에서는 동의 받지 않고 개인정보를 수집할 수 있도록 개발하는 사례가 다수 있어 주의할 필요가 있다. 즉 게시판 등에서 개인정보를 수집하는 경우에도 동의 및 고지 절차를 반드시 거치도록 관련 시스템을 개발해야 한다.

또한 개인정보 수집에 따른 고지사항을 기술하는 경우에도 개인정보처리방침의 내용을 그대로 복사하여 게시하는 경우가 많은데, 이러한 경우 법에서 정한 4가지 필수 고지사항 중 동의를 거부할 권리 및 불이익의 내용이 빠져서 개인정보보호법을 위반하게 된다.

따라서 홈페이지에서 개인정보를 수집하는 경우에는 법에서 정한 4가지 필수 고지 사항(①개인정보의 수집·이용 목적 ②수집하려는 개인정보의 항목 ③개인정보의 보유 및 이용 기간 ④동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이 익이 있는 경우 그 불이익의 내용)이 모두 기술될 수 있도록 관련 고지 문구를 잘 검토해야 한다. 특히, 수집하려는 개인정보의 항목에는 필수 수집 항목과 선택적으로 수집하는 항목을 구분하여 기술하고, 홈페이지 이용자가 개인정보 수집 선택항목을 입력하지 않거나 선택 개인정보 수집에 동의하지 않더라도 필수 서비스를 제공할 수 있도록 홈페이지 기능을 구현해야 한다.

위탁자가 개인정보를 제3자에게 제공하는 경우에도 법 제17조에 따라 개인정보 제공에 대한 별도의 구분 동의와 법에서 정한 5가지 필수 고지 사항(①개인정보를 제공받는 자 ②개인정보를 제공받는 자의 개인정보 이용 목적 ③제공하는 개인정보의 항목 ④개인정보를 제공받는 자의 개인정보 보유 및 이용 기간 ⑤동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우 그 불이익의 내용)이 모두 기술되어 있는지 확인이 필요하다. 그리고 IT수탁사가 홈페이지를 개발하면서 혼란스러워 하는 부분 중 하나가 필수동의와 별도로 구분해서 동의 받는 경우이다.

개인정보 수집 기본 동의와 구분해서 별도의 동의를 받아야 하는 경우로는 ①제3자 제공 동의(제17조 제1항 제1호) ②국외 제3자 제공 동의(제17조 제3항) ③목적 외 이용·제공 동의(제18조 제2항 제1호) ④마케팅 목적 처리 동의(제22조 제3항) ⑤법정대리인의 동의(제22조 제5 항) ⑥민감정보의 처리 동의(제23조 제1항 제1호) ⑦고유식별정보 처리 동의(제24조 제1항 제1호) 등 7 가지 경우가 있으며, 이들 각각을 동의 받을 필요가 있을 때에는 다른 동의와 구분해서 별도의 동의를 받도록 홈페이지 기능을 개발해야 한다.

그리고 위탁자의 개인정보처리방침을 홈페이지에 공개하는 경우에도 법제30조에 따라 10가지 필수항목이 모두 기술되어 공개될 수 있도록 해야 한다. 특히 개인정보 처리 위탁에 관한 사항에 IT수탁사의 명칭이 구체적으로 기술되도록 해야 하며, 개인정보책임자의 성명 및 연락처를 정확하게 작성했는지 확인해야 한다.

개인정보처리시스템 개발 및 운영시 안전성 확보 조치
IT수탁사가 개인정보를 처리하는 솔루션, 패키지 소프트웨어 등 개인정보처리시스템 또는 개인정보를 관리하는 기능이 있는 ASP 서비스를 개발하거나 운영하는 경우에는 다음과 같이 개인정보보호법 제 29조에 따른 안전성 조치를 준수해야 한다.

1. 개인정보처리 시스템을 개발하는 경우

가. 접근권한 관리 및 접근통제 IT수탁자는 위탁자가 시스템에 대한 접근권한 부여시 필요 최소한의 범위로 업무 담당자에 따라 1인 1계정을 차등 부여할 수 있도록 기능을 개발해야 하며, 접근권한 부여·변경·말소 내역을 기록하고 최소 3년간 보관 및 관리가 이루어질 수 있도록 개발해야 한다.

개인정보 취급자별로 비밀번호를 적용하는 경우에는 비밀번호 작성 규칙에 의거 최소 8자리 이상(영어 대문자, 소문자, 숫자, 특수문자 중 3종류 조합) 또는 최소 10자리 이상(영어 대문자, 소문자, 숫자, 특수문자 중 2종류 조합)의 비밀번호를 사용할 수 있도록 개발해야 한다.

또한, 개인정보 취급자가 외부에서 홈페이지 관리자페이지 접속 시 단순 ID/패스워드로만 접속 가능하도록 하지 말고, 가상사설망(VPN), 전용선, IP 또는 Mac 주소 확인 등 안전한 접속수단을 이용하여 접속할 수 있도록 관련 기능을 개발해야 한다. 그리고 본인 확인을 위해 성명, 주민등록번호를 사용할 수 있는 경우에는 I-PIN, 공인인증서, 휴대전화, 주민등록증 발급일자 등 추가적인 정보를 확인하도록 관련 기능을 개발해야 한다.

나. 개인정보의 암호화 IT수탁사는 수탁사 자체의 암호화 계획을 수립하고, 비밀번호, 지문, 홍채 등의 바이오정보, 주민등록번호, 여권번호, 자동차운전면허번호, 외국인등록번호 등의 고유식별정보를 외부에 송·수신하거나, 내부에 저장하는 경우 SSL 등 암호화 조치를 적용하여 개발해야 한다.

특히, 비밀번호를 내부 서버 등에 저장 시에는 해쉬함수 등 일방향 암호화 알고리즘을 적용하여 암호화해야 하며, 고유식별정보를 인터넷과 내부망의 중간지점(DMZ)에 저장하는 경우 반드시 암호화 조치를 적용해야 한다. 암호화 조치와 관련해서는 개인정보보호포털에서 ‘개인정보 암호화 조치 안내서’를 다운받아 활용할 수 있다.

다. 개인정보 접속기록 보관 IT수탁사는 개인정보취급자가 개인정보에 접속한 기록을 6개월 이상 보관 및 관리될 수 있도록 관련 기능을 개발해야 한다. 특히 접속 기록은 ①접속 ID ②접속 날짜 및 시간 ③접속자 IP주소 ④수행 업무(열람, 수정, 삭제, 인쇄, 입력 등) 등 4가지 필수항목이 모두 기록될 수 있도록 관련 개인정보처리시스템을 개발해야 한다.

라. 개인정보 파기 IT수탁사는 회원탈회 등에 따라 개인정보를 파기하는 경우 단순히 데이터베이스 테이블에 삭제여부만을 표시하는 형태로 파기되도록 해서는 안되며, 데이터가 복원되지 않도록 데이터베이스에서 삭제 또는 덮어쓰기 방법으로 파기되도록 기능을 구현해야 한다.

전자상거래 기록 등 다른 법령에 따라 보존해야 하는 경우 해당 개인정보 또는 개인정보 파일을 다른 개인정보와 분리하여 보관하지 않고 단순히 테이블 필드에 플래그 형태로 남기는 경우는 파기하지 않은 것으로 인정하므로, 반드시 다른 개인정보와 분리하여 보관되도록 프로그램해야 한다.

2. 개인정보처리시스템을 운영 및 유지보수 하는 경우

가. 접근권한 및 접속기록 관리 고객관리 ASP 등을 제공하는 IT수탁사는 접근권한의 부여·변경·말소 내역의 기록을 최소 3년간 보관해야 한다. 그리고 외부에서의 불법적 접근(방화벽) 및 침해사고 방지(침입탐지)를 위한 시스템을 설치 및 운영해야 하며, P2P, 웹하드 등 비인가 프로그램 및 공유 설정 등을 통해 열람권한이 없는 자에게 개인정보가 공개 및 유출되지 않도록 접속 차단을 실시해야 한다.

또한 개인정보취급자가 개인정보에 접속한 기록을 최소 6개월 이상 보관 및 관리해야 하며, 특히 접속기록이 위·변조 및 도난, 분실되지 않도록 접속기록을 안전하게 보관해야 한다. 접속기록에 대한 위·변조를 방지하기 위해 CD-ROM, DVD 등과 같은 덮어쓰기가 불가능한 매체를 사용하는 것이 바람직하며, 접속기록을 수정 가능한 매체(HDD 또는 자기테이프 등)에 백업하는 경우에는 무결성 보장을 위해 위·변조 여부를 확인할 수 있는 정보를 별도의 장비에 보관·관리할 수 있다.

나. 개인정보의 파기 IT수탁사는 개인정보 처리 위탁자의 개인정보 파기 정책에 따라 온라인 회원가입 등을 통해 수집하여 보유하고 있는 개인정보(파일)의 당초 수집목적이 달성되었거나(회원탈회, 계약종료 등), 보유기간 이 경과된 경우(계약 종료후 5년 경과 등)에는 지체없이(보유기간 종료일로부터 5일 이내) 파기해야 한다.

특히, ASP 서비스를 제공하는 IT수탁사의 경우에는 계약이 종료된 고객사의 개인정보 파기 등에 관한 명확한 규정을 고지하고 시행해야 한다. 개인정보를 파기하는 경우에도 파기한 개인정보가 영구히 복구되지 못하도록 기록물, 인쇄물, 서면 등의 경우 파쇄 또는 소각하고, 디스크, USB 등의 전자적 파일 형태인 경우 전용 소거 장비를 이용하여 삭제하거나 데이터가 복원되지 않도록 초기화 또는 덮어쓰기 수행하는 방법으로 파기해야 한다.

전자상거래 기록 등 다른 법령에 따라 보존해야 하는 경우 해당 개인정보 또는 개인정보파일을 다른 개인정보와 분리하여 보관하지 않고 단순히 테이블 필드에 플래그 형태로 남기는 경우는 파기하지 않은 것으로 인정하므로 반드시 다른 개인정보와 분리하여 보관해야 한다.

다. 보안 프로그램 운영 IT수탁사는 악성 프로그램 등을 방지·치료할 수 있는 백신 소프트웨어 등의 보안 프로그램을 설치 및 운영해야 한다. 보안 프로그램 및 최신 운영체계 패치는 자동 업데이트 또는 일일 1회 이상 업데이트 실시로 최신의 버전 상태로 유지하고 있는지 확인해야 한다.

라. 물리적 보관 장소 운영 마지막으로 개인정보의 절도, 파괴 등의 물리적 위협으로부터 정보자산을 보호하기 위해 전산실, 자료 보관실 등 물리적 보관 장소에 대한 출입통제 절차를 수립하고 운영해야 하며, 개인정보가 포함된 서류, 보조저장매체 등은 잠금장치가 있는 안전한 장소에 보관 및 관리해야 한다.

[글 _ 이 재 근 한국정보화진흥원 수석 연구원(jglee@nia.or.kr)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)