개인정보위, 안전조치 안내서 개정…공공시스템 취약점 점검 의무화 해설 담아

개인정보보호위원회가 고시 개정 내용과 달라진 기술 환경을 반영한 「개인정보의 안전성 확보조치 기준」 안내서를 새로 펴냈다고 5일 밝혔다. 지난 7월 공공부문 개인정보 유출을 막기 위해 도입한 의무 조항을 현장에서 바로 이해할 수 있도록 풀어 쓴 것이 이번 개정의 핵심이다.

가장 눈에 띄는 대목은 공공시스템 취약점 점검과 침투테스트 해설이다. 개인정보위는 지난 7월 1일 외부 해킹으로 인한 공공부문 개인정보 유출 사고를 예방하기 위해 공공시스템을 대상으로 취약점 점검과 침투테스트를 연 1회 이상 시행하고, 점검에서 확인된 취약점을 지체 없이 보완·개선하도록 고시를 고쳤다. 안내서에는 이 조항의 해설을 새로 넣고 관련 질의응답(FAQ)을 더해 공공시스템운영기관이 의무를 제대로 이행하도록 참고 자료를 붙였다.

빠르게 바뀌는 인증 방식과 인공지능 활용도 반영했다. 인증수단 예시를 비밀번호·OTP·SMS 등 7종에서 패스키·QR코드·모바일앱 등 12종으로 늘리고, 인공지능과 관련한 사례도 추가했다. 양자컴퓨팅 기술 발전에 따라 미래 암호체계가 달라질 가능성을 고려해 양자내성암호 도입 내용을 넣은 것도 이번 개정판의 변화다. 암호키를 응용 프로그램 소스코드나 설정파일 등에 평문으로 저장하지 않도록 하라는 관리 지침도 함께 담았다.

현장에서 자주 나오는 질문도 보강했다. 시스템 간 정보 연계에 쓰이는 응용프로그램 인터페이스(API)를 안전하게 이용·관리하기 위한 점검 항목을 새로 넣었고, 시스템 업데이트가 늦어질 때 챙겨야 할 안전조치 설명도 보완했다. 비밀번호 작성규칙과 관련해서는 너무 자주 바꾸라고 요구할 경우 오히려 기억하기 쉬운 단순한 비밀번호를 쓰게 되는 부작용이 있다는 국제 동향을 반영한 답변도 수록했다.

이상민 개인정보보호위원회 개인정보정책국장은 "이번 안내서 개정을 통해 안전조치 기준에 대한 현장의 이해를 높이고, 개인정보처리자가 업무환경에서 안전조치를 적용할 때 생길 수 있는 혼선을 줄일 수 있을 것으로 기대된다"고 말했다.

개인정보위는 앞으로도 개인정보 처리환경과 기술 변화를 살피면서 개인정보처리자가 안전조치 의무를 합리적으로 이행할 수 있도록 안내서를 계속 보완해 나갈 계획이라고 밝혔다.