| ① 개인정보처리자는 비밀번호, 생체인식정보 등 인증정보를 저장 또는 정보통신망을 통하여 송·수신하는 경우에 이를 안전한 암호 알고리즘으로 암호화하여야 한다. 다만, 비밀번호를 저장하는 경우에는 복호화되지 아니하도록 일방향 암호화하여 저장하여야 한다. ② 개인정보처리자는 다음 각 호의 해당하는 이용자의 개인정보에 대해서는 안전한 암호 알고리즘으로 암호화하여 저장하여야 한다. 1. 주민등록번호 2. 여권번호 3. 운전면허번호 4. 외국인등록번호 5. 신용카드번호 6. 계좌번호 7. 생체인식정보 ③ 개인정보처리자는 이용자가 아닌 정보주체의 개인정보를 다음 각 호와 같이 저장하는 경우에는 암호화하여야 한다. 1. 인터넷망 구간 및 인터넷망 구간과 내부망의 중간 지점(DMZ : Demilitarized Zone)에 고유식별정보를 저장하는 경우 2. 내부망에 고유식별정보를 저장하는 경우(다만, 주민등록번호 외의 고유식별정보를 저장하는 경우에는 다음 각 목의 기준에 따라 암호화의 적용여부 및 적용범위를 정하여 시행할 수 있다) 가. 법 제33조에 따른 개인정보 영향평가의 대상이 되는 공공기관의 경우에는 해당 개인정보 영향평가의 결과나. 암호화 미적용시 위험도 분석에 따른 결과 ④ 개인정보처리자는 개인정보를 정보통신망을 통하여 인터넷망 구간으로 송·수신하는 경우에는 이를 안전한 암호 알고리즘으로 암호화하여야 한다. ⑤ 개인정보처리자는 이용자의 개인정보 또는 이용자가 아닌 정보주체의 고유식별정보, 생체인식정보를 개인정보취급자의 컴퓨터, 모바일 기기 및 보조저장매체 등에 저장할 때에는 안전한 암호 알고리즘을 사용하여 암호화한 후 저장하여야 한다. ⑥ 10만명 이상의 정보주체에 관하여 개인정보를 처리하는 대기업·중견기업·공공기관 또는 100만명 이상의 정보주체에 관하여 개인정보를 처리하는 중소기업·단체에 해당하는 개인정보처리자는 암호화된 개인정보를 안전하게 보관하기 위하여 안전한 암호 키 생성, 이용, 보관, 배포 및 파기 등에 관한 절차를 수립·시행하여야 한다. |
안전조치 기준 제7조는 개인정보를 저장하거나 송수신할 때 암호화 처리하도록 하는 내용입니다. 제1~4항은 주로 웹사이트나 개인정보처리시스템을 직접 구축할 때 해당되는 내용입니다. 일상적인 비영리단체 업무에 꼭 해당되는 것은 아니지만, 법령에서 어떤 내용을 강조하는지 살펴보면 유용합니다. 제5항은 중요하니 잘 읽어보세요.
앞서 제6조를 다룰 때 설명한 것처럼, 암호화 관련 조항에서도 “이용자”의 개인정보와 “이용자가 아닌 정보주체”의 개인정보를 구분해서 각기 다른 기준을 적용하고 있습니다. 이용자가 아닌 정보주체의 경우 규칙이 조금 덜 엄격한 것이죠. 이 가이드에서는 비영리단체 특성상 ‘이용자’의 개념이 때로 모호할 수 있는 점, 그리고 일반적인 개인정보 보호의 관점에서 모든 정보주체의 개인정보를 안전하게 관리하는 것이 바람직하다는 점을 고려해서 둘을 엄격히 구분하지 않고 서술합니다.
암호화란?
‘암호화’는 어떤 문구를 다른 암호문으로 변환하여, 사전에 약속된 암호키를 알지 못하는 사람은 알아볼 수 어렵게 만드는 과정을 말합니다. 사실 암호화는 비단 개인정보뿐만 아니라 디지털 정보 전반에 있어 중요한 도구입니다. 암호화 방법에 관한 자세한 설명은 <디지털 보안 가이드> 4-1장 “파일과 저장기기”를 참고하세요.
안전조치 기준을 읽어보면 ‘안전한 암호 알고리즘’이라는 표현이 여러 번 등장합니다. <개인정보의 암호화 조치 안내서>를 보면 암호화에 사용할 수 있는 암호 알고리즘을 권고하고 있는데요. 통상 사용하는 아래아한글이나 엑셀 등의 프로그램에서 문서 비밀번호를 지정할 때에는 안전한 암호 알고리즘이 적용된다고 이해해도 좋습니다.
일반적으로 비영리단체가 암호화를 직접 구현할 일은 잘 없기에 해당 알고리즘을 기술적으로 파악할 필요까지는 없지만, 이런 사항이 존재한다는 것을 인지하고 웹사이트나 개인정보처리시스템을 제작/활용할 때 개발자 및 서비스 제공 업체 측에 확인해보면 안전조치 기준 이행에 도움이 될 수 있습니다.
인증정보의 암호화
제1항은 비밀번호, 생체인식정보 등 인증정보의 암호화를 다룹니다.
정보통신망을 통해 인증정보를 송·수신할 경우 SSL 등의 암호화 기술을 활용해야 합니다. 단체 웹사이트에 회원이 로그인하는 경우, CRM 시스템에 담당자가 로그인하는 경우 등 각종 상황에 모두 적용됩니다. 또, DB 또는 파일에 비밀번호를 저장할 때는 ‘원본 값을 유추하거나 복호화 할 수 없는 암호화 방법’인 일방향 암호화를 적용해야 합니다.
우리 단체의 디지털 환경에서 이러한 사항이 지켜지고 있는지 웹사이트 개발자나 개인정보처리시스템 업체 등과 소통하여 확인하시기 바랍니다.
한편 일상적인 업무에서, 예컨대 특정 비밀번호를 바탕화면에 일반 텍스트 파일로 저장해놓는다거나 할 경우 문제의 소지가 있다는 뜻도 됩니다. 보안상 위험한 것은 당연하고요.
반드시 암호화해야 하는 개인정보
제2~3항은 반드시 암호화해서 저장해야 하는 개인정보 유형을 제시합니다. 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호, 신용카드번호, 계좌번호, 생체인식정보 등입니다.
제3항에서는 이용자가 아닌 정보주체의 개인정보에 관해 조금 더 완만한 암호화 요건을 제시하는데요. 앞서 설명한 이유에 따라 우리 가이드에서는 ‘이용자 / 이용자가 아닌 정보주체’를 엄격히 구분하지 않기 때문에 이 항목의 내용은 자세히 설명하지 않습니다. (내부 인트라넷이나 자체 이메일 서버 등을 운영하지 않는 비영리단체의 경우 여기서 언급하는 DMZ나 내부망 역시 거의 해당할 일이 없다고 보면 됩니다.)
제4항의 내용은 제1항에서 다룬 것과 유사한데요. 인터넷을 통해 (인증정보뿐만 아니라) 모든 개인정보를 송·수신할 때 암호화해야 한다는 것입니다. 예를 들면 단체 웹사이트에서 회원 가입을 받는 경우, 이용자가 회원 가입 양식에 입력한 개인정보를 송·수신할 때에는 SSL 등 통신 암호 프로토콜 탑재 기술을 활용하여 암호화 전송해야 합니다. 이 또한 웹사이트 개발자 등과 소통하여 확인이 필요한 부분입니다.
개인정보를 기기에 저장할 때 암호화
제5항에서는 개인정보를 담당자 기기/보조저장매체에 저장할 때 암호화가 필요한 경우를 설명합니다.
원칙적으로 모든 개인정보를 저장할 때는 암호화하는 것이 좋습니다. (안전조치 기준에서는 암호화해야 하는 대상을 ‘이용자의 개인정보’ 또는 ‘이용자가 아닌 정보주체의 고유식별정보, 생체인식정보’로 규정합니다. 앞서 언급한 이유로 여기서도 이용자와 이용자가 아닌 정보주체를 따로 구분하지는 않겠습니다.)
암호화 방식은 크게 두 가지로 나누어 생각할 수 있습니다. 하나는 개인정보가 포함된 파일에 개별적으로 암호를 거는 것입니다. 특히 회원명부를 파일 형식으로 다운로드하여 작업하거나 공유할 경우에는 반드시 파일에 비밀번호를 설정하도록 합니다. 이렇게 하면 예컨대 이메일을 엉뚱한 수신인에게 보내는 등의 실수가 발생하더라도 받는 사람이 파일을 열어볼 위험을 줄일 수 있습니다.
엑셀이나 워드, 한글 등의 프로그램에서 제공하는 보안 기능을 이용해 비밀번호를 적용할 수 있습니다. 예를 들어 엑셀에서는 [정보 > 통합 문서 보호 > 암호 설정] 메뉴를, 한글에서는 [보안 > 문서 암호 설정]을 사용합니다. (메뉴 이름 및 위치는 프로그램 버전에 따라 다를 수 있습니다.) 이때 사용하는 암호는 다른 계정 비밀번호를 재활용하지 말고, 파일 고유의 암호를 지정하도록 합니다.
엑셀의 문서 암호 설정
한글의 문서 암호 설정
업무용 컴퓨터의 드라이브나 USB 메모리 등을 통째로 암호화하는 방법도 있습니다. 이 방법은 기기나 보조저장장치를 누군가 가져가더라도 드라이브 내용물을 보기 어렵게 해줍니다. 파일 암호화와는 상호보완적인 관계라고 볼 수 있습니다. (드라이브 암호화를 하더라도, 암호화되지 않은 개인정보 파일을 제3자에게 보내면 열어볼 수 있습니다.)
드라이브 암호화에는 윈도우 비트로커(Bitlocker), 맥 파일볼트(FileVault) 등을 활용할 수 있는데요. 자세한 방법은 <디지털 보안 가이드> 4-1장 “파일과 저장기기”를 참고하세요.
개인정보 다운로드시 자동으로 비밀번호를 적용하는 기능.
이미지 출처: 도너스
CRM 툴에 따라서는 개인정보를 다운로드받을 때 자동으로 비밀번호가 적용되도록 설정할 수 있는 경우도 있습니다.
제6항 암호 키 관리절차에 관한 내용은 100만명 이상의 개인정보를 다루는 단체에 해당하기 때문에 이 가이드에서는 다루지 않습니다. 더 자세히 알고 싶은 분은 <디지털 보안 가이드> 5-1장 “통신 보안의 이해”를 참고하세요.