개인정보 위험도 분석으로 보호조치와 권리침해 위험 관리하기

개인정보 처리 환경을 위험의 관점으로 읽기

개인정보 위험도 분석은 조직이 보유한 개인정보에 적용된 보호 수단이 적절한지, 유출이 발생했을 때 정보주체의 권리가 얼마나 침해될 수 있는지를 평가하는 과정이다. 규제 준수 여부를 확인하는 데 그치지 않고, 현재의 개인정보 보호 수준을 진단하고 개선 과제를 정하는 기준이 된다.

분석은 개인정보 수집부터 파기까지 전 생명주기를 대상으로 한다. 개인정보 처리 업무와 시스템, 처리 흐름, 보유량과 민감도, 구현된 보호조치, 담당자와 접근 권한을 함께 확인해야 위험을 놓치지 않을 수 있다. 이 과정에는 인터뷰, 문서 검토, 시스템 검사가 활용될 수 있다.

개인정보보호법 및 관련 지침에 따른 의무사항도 분석 범위에 포함된다. 목적은 유출 위험을 사전에 식별하고 대응 방안을 마련하는 데 있다.

점검 기준은 조직과 처리시스템을 함께 다뤄야 한다

기관 차원의 점검은 정책과 네트워크 통제를 중심으로 본다. 개인정보 보호 정책과 지침의 수립 여부, 개인정보 보호책임자의 지정 및 역할 수행, 취급자 교육과 관리 체계, 수집·이용·제공 동의 절차, 처리방침의 공개와 내용 적절성을 확인한다. 개인정보 영향평가 수행 여부와 유출 대응 계획도 점검 대상이다.

네트워크 영역에서는 네트워크 접근 통제와 관리, 침입차단시스템 및 침입탐지시스템 운영, 네트워크 암호화, DDoS 대응 체계, 무선 네트워크 보안 조치, 원격 접속 보안 통제를 살핀다.

개인정보처리시스템은 DB와 Application, 웹 영역으로 나누어 검토할 수 있다. DB 및 Application에서는 데이터베이스 접근 통제, 개인정보 암호화 저장, 애플리케이션 접근권한 관리, 처리 로그 기록과 점검, 개발·운영 환경 분리, 불필요한 개인정보 파기 절차, 백업 및 복구 체계를 확인한다.

웹 영역의 점검 대상은 웹 애플리케이션 보안 취약점, SSL/TLS 적용 상태, 웹 서버 보안 설정, 쿠키 및 세션 관리, 입력값 검증과 출력값 인코딩, 파일 업로드/다운로드 통제, 취약점 점검 및 조치 이행이다.

⤢✕

발생 가능성과 영향도로 위험의 우선순위를 정한다

위험도 분석은 취약점과 위협 요소를 식별하고, 그 조합으로 위험 시나리오를 구성하는 데서 시작한다. 이어 발생 가능성(likelihood)과 영향도(impact)를 평가해 위험도를 산정한다.

위험도는 다음과 같이 표현할 수 있다.

위험도 = 발생 가능성 × 영향도

산정된 위험도에는 우선순위를 부여하고, 조직이 수용할 수 있는 위험 수준을 정한다. 이때 개인정보의 민감도와 중요도, 개인정보 처리량, 기존 보호조치의 효과성, 법적 규제 요구사항, 정보주체에 미치는 영향을 함께 고려한다.

⤢✕

분석 결과를 개선 과제와 운영 관리로 연결하기

분석 결과는 위험 우선순위에 따라 개선 과제를 도출하는 데 사용한다. 과제는 단기/중기/장기로 구분하고, 예산과 자원을 배정한 뒤 이행 일정과 담당자를 지정한다.

기술적 보호조치에는 암호화 적용 확대, 접근 통제 강화, 취약점 패치, 보안 솔루션 도입이 포함된다. 관리적 보호조치는 정책 및 지침 개정, 담당자 교육 강화, 내부 감사 체계 구축, 인식 제고 프로그램으로 이어질 수 있다.

이행이 끝났다고 분석이 종료되는 것은 아니다. 개선 조치의 이행 상황과 잔여 위험을 주기적으로 평가하고, 새로운 위협 및 취약점을 식별하며, 정기적인 위험도 분석을 수행해야 한다.

금융기관에서 식별된 위험과 대응

A 금융기관은 개인정보 보호 강화를 위해 위험도 분석을 수행했고, 고객 개인정보 데이터베이스 암호화 미흡을 높음 (4)으로 판단했다. 이에 컬럼 레벨 암호화 적용과 암호화 키 관리 체계 구축을 개선 조치로 정했다.

개인정보 접근 권한 관리 체계 부실도 높음 (4) 위험으로 식별됐다. 직무 기반 접근 통제 구현과 정기적인 접근 권한 검토가 대응 방안으로 제시됐다.

웹 애플리케이션의 취약점 존재는 중간 (3) 위험으로 평가됐으며, 정기적인 보안 취약점 점검과 개발 단계에서의 시큐어 코딩 강화가 개선 조치에 포함됐다. 개인정보 유출 대응 체계 미흡 역시 중간 (3)으로 평가돼 유출 대응 매뉴얼 수립과 모의훈련 실시가 뒤따랐다.

A 금융기관은 이 위험에 대한 개선 조치를 이행한 결과 개인정보 보호 수준이 크게 향상됐으며, 이후 수행된 정보보호 관리체계(ISMS-P) 인증 심사에서도 높은 평가를 받았다.

평가의 일관성을 유지하기 위한 운영 조건

현황을 정확하게 파악하기 어렵다면 자동화된 자산 관리 도구를 활용하고 부서 간 협력을 강화할 수 있다. 평가자의 주관성으로 일관성이 떨어지는 문제는 표준화된 평가 기준을 마련하고 다수 평가자가 참여하는 방식으로 완화한다.

새로운 위협에는 위협 인텔리전스를 활용하고 분석을 정기적으로 갱신해 대응한다. 경영진의 지원이 부족한 경우에는 위험도 분석 결과가 비즈니스에 미치는 영향과 규제 준수의 필요성을 명확히 제시해야 한다.

취약점 스캐닝 도구, GRC(Governance, Risk, Compliance) 솔루션, 로그 분석 도구는 분석의 반복 업무를 줄이는 데 활용할 수 있다. 정보보호 전문가, 개인정보 보호 법률 전문가, 외부 컨설턴트의 참여도 필요하다.

정기적인 위험도 분석 일정을 수립하고 변화 관리와 연계해야 하며, 지속적인 개선 문화가 뒷받침돼야 한다. 새로운 위협 및 취약점 정보 수집, 법규 및 규제 변화 모니터링, 업계 모범 사례 벤치마킹도 이러한 운영 과정의 일부다.