개인정보보호위원회가 공공시스템의 취약점 점검, 침투테스트 의무화, 인공지능(AI) 등 기술환경 변화를 반영해 개인정보 안전조치 안내서를 개정했다.
개인정보위는 최근 개정된 '개인정보의 안전성 확보조치 기준'을 반영하고 현장에서 자주 제기되는 질의사항을 보완한 안내서를 발간했다고 5일 밝혔다.
핵심은 공공시스템 보안점검 의무에 대한 해설이다. 개인정보위는 지난 7월 외부 해킹에 따른 공공부문 개인정보 유출을 예방하기 위해 공공시스템의 취약점 점검과 침투테스트를 연 1회 이상 실시하고, 발견된 취약점을 지체 없이 개선하도록 고시를 개정했다.
안내서에는 관련 의무의 이행을 돕기 위한 해설과 질의응답을 새롭게 담았다.
기술환경 변화에 맞춰 인증수단 관련 설명도 확대했다. 기존 비밀번호와 일회용 비밀번호(OTP), 문자메시지(SMS) 등 7종에서 패스키와 QR코드, 모바일 앱 등을 포함한 12종으로 예시를 늘렸다.
양자컴퓨팅 기술 발전에 대비한 양자내성암호 도입 관련 내용도 추가했다. 암호키를 소스코드나 설정파일에 평문으로 저장하지 않도록 하는 등 안전한 키 관리의 중요성도 강조했다.
시스템 간 정보 연계에 활용하는 응용프로그램 인터페이스(API)의 보안 점검사항을 추가하고, 시스템 업데이트가 지연될 때 필요한 안전조치도 보완했다. 잦은 비밀번호 변경이 오히려 단순한 비밀번호 사용으로 이어질 수 있다는 국제적 논의도 반영했다.
이번 개정은 기술환경 변화에 맞춰 개인정보 보호조치의 실효성을 높이는 데 초점을 맞춘 것으로 보인다. 획일적인 비밀번호 변경 등 기존 관리 방식에서 벗어나 실제 보안 위험을 고려하고, 시스템 간 데이터 연계에 따른 취약점 관리까지 안전조치의 내용을 구체화한 셈이다.
이상민 개인정보위 개인정보정책국장은 “안내서 개정을 통해 안전조치 기준에 대한 현장의 이해를 높이고 실제 업무환경에서 발생하는 혼선을 줄일 수 있을 것으로 기대한다”며 “앞으로도 기술 변화 등을 고려해 개인정보처리자가 안전조치 의무를 합리적으로 이행할 수 있도록 안내서를 보완하겠다”고 말했다.
박진형 기자 jin@etnews.com
