2009 기업 개인정보보호 위험분석 고도화 방안1

개인정보보호를 위한 정보보안 최신동향

1. 국내ㆍ외 법적 제도의 확립
1970년대 최초의 컴퓨터 보급 이후로 자동화기기의 사용이 보편화 되면서 선진국을 중심으로 개인정보보호에 관심이 증대되고 있다. 1980년에는 OECD(Organization for Economic Co- operation and Development;1980년)가 ‘개인정보보호 8원칙’ 이라는 최초의 국제규범을 채택한 이래 UN(United Nations;1990년), EU(European Union;1995년), ILO(International Labor Organization;1996년), APEC(Asia-Pacific Economic Cooperation;2004년) 등에서 잇따라 개인정보 보호원칙을 선언하였으며 대다수의 EU회원국과 캐나다, 호주, 뉴질랜드, 일본 등이 개인정보보호법을 보유하고 있으며 국내 역시 공공과 민간의 통합된 개인정보보호법의 신설이 눈앞에 와있는 상황이다.

2. 정보자산(데이터)의 취급ㆍ관리 중요성 증대
이러한 국내외 법ㆍ제도적 움직임은 개인정보와 내부 정보유출 등의 정보자산의 취급ㆍ관리의 중요성이 증대되고 있기 때문이다.
개인 측면에서는 컴퓨팅 파워의 증가로 인해 서버중심의 업무처리 프로세싱이 개인사용자 단말기(PC)로 이동하고, 기술발전에 따른 하드웨어 가격하락 등으로 인한 USB, 외장하드 등의 이동 가능한 외부저장 매체의 이용이 증가되었으며, http의 활성화로 또 하나의 플랫폼이 인식되는 World Wide Web의 이용으로 UCC, blog 등의 사용자 참여가 가능한 문화코드를 들 수 있을 것이다.
조직 측면에서는 Web이라는 매체의 홍보 및 매출을 기대할 수 있는 대상이 증가하였다는 측면이 있으며 정보보호 측면에서는 기존의 1차적이며 기술적인 네트워크 기반 침입차단시스템, 침입탐지시스템 뿐만 아닌 다양한 정보보호 제품의 등장으로 기존 공격방식이 힘들어짐에 따라 응용프로그램(Application) 서비스 방해 또는 데이터(Data) 자체를 목적으로 한 사회공학적 방식의 복합적 공격(Combined Attack)이 증가되었기 때문이다. .(‘[그림 1] 정보보호 최신동향’ 참조)

[그림 1] 정보보호 최신동향

또한, 공격자 입장에서는 기존의 실력을 과시하기 위한 침해시도 행위에서 정보자산의 금전적 가치상승에 따른 금전적 획득의 목적 등으로 볼 수 있다.

3. 정보보호 패러다임의 변화
이러한 최신동향은 정보보호 패러다임의 변화를 이끌어 서비스 및 이용자 보호로 확대되었는데 초기에는 System의 무결성과 기밀성 만을 중시하다가 Network의 보호 개념이 추가되면서 가용성의 속성이 포함되었으며 최근에는 Service도 정보보호의 영역으로 포함됨에 따라 안전성, 신뢰성, 건전성까지 확장된 상황이다.
정보보호의 개념 역시 초창기의 바이러스 등의 악성코드로부터의 보호를 위한 컴퓨터 바이러스 백신설치가 전부였던 시절에서 이용자의 프라이버시 보호까지 확장된 IT 컴플라이언스를 포함하고 있다.

4. 개인정보 유출 흐름(Flow)
정보자산, 특히 고객 개인정보는 무형의 자산으로 이용, 보관 등의 처리 취급에 따른 주요 취약점이 발생할 수 있다. (‘[그림 2] 개인정보 유출 흐름’ 참조)



[그림 2] 개인정보 유출 흐름(KISA 2007)

전기 통신 사업자, 호텔, 백화점, 은행, 카드사, 의료기관, 동호회 등을 통해 수집ㆍ집적된 개인정보가 내부자의 악의적인 남용, 관리부주의와 외부 위탁점 및 해커를 통해 유출하게 된다. 이러한 개인정보들은 축적되어 거래되면서 인터넷 등의 명의도용이나 민감한 개인정보 등이 P2P, Blog, Café 등을 통해 유통될 가능성등이 있다.

5. 개인정보 침해 양상
개인정보 침해신고 및 양상의 변화를 살펴보면 2006년도에는 내부유출의 비중이 높은 상황에서 2007년 무단이용과 관리부주의가 가장 높은 신고율을 나타내었다. 2008년 3월까지의 기준으로 보면 해킹에 의한 유출이 높은 것으로 나타났다.


# 2008년 3월 기준으로 개인정보 침해신고는 6,676건(전년동기 대비 62.1% 증가) - 방송통신위원회(2008.04)