개인정보 보호법 대응, PC·서버 보안은 어디까지 관리해야 할까?

개인정보 보호를 위한 악성프로그램 방지 의무

「개인정보 보호법 시행령」 제30조는 ‘개인정보의 안전성 확보 조치’에 관한 사항을 규정하고 있으며, 접근 권한 관리, 접근통제, 암호화, 접속 기록 관리, 물리적 안전조치 등 개인정보 보호에 필요한 다양한 의무를 명시하고 있다.

제1항 제6호는 개인정보처리시스템과 개인정보취급자가 개인정보 처리에 이용하는 정보기기에 대해 바이러스, 스파이웨어, 랜섬웨어 등 악성프로그램의 침투 여부를 항시 점검·치료할 수 있도록 하는 등의 기능이 포함된 프로그램의 설치운영과 주기적 갱신점검 조치를 규정하고 있다.

여기서 주목할 점은 보호 대상이 일반적인 업무용 PC에만 한정되지 않는다는 것이다. 개인정보처리시스템은 데이터베이스시스템 등 개인정보를 처리할 수 있도록 체계적으로 구성한 시스템을 의미한다. 따라서 기업은 개인정보처리시스템이 운영되는 서버뿐만 아니라 개인정보취급자가 개인정보 처리에 이용하는 PC 등 정보기기의 보안 상태도 함께 고려해야 한다.

이러한 안전조치의 구체적인 이행 기준은 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회고시 제2026-9호, 2027. 7. 1 시행)에서 확인할 수 있다. 제3조 ‘안전조치의 적용 원칙’은 개인정보처리자가 처리하는 개인정보의 보유 수, 유형 및 정보주체에게 미치는 영향 등을 고려해 각자의 환경에 적합한 안전조치를 적용하도록 규정하고 있다.

이 가운데 제9조 ‘악성프로그램 등 방지’는 보안 프로그램의 설치와 운영, 최신 상태 유지, 발견된 악성프로그램에 대한 대응, 운영체제 및 응용 프로그램의 보안 업데이트 등을 구체적으로 요구하고 있다.

[표 1] 「개인정보의 안전성 확보조치 기준」 제9조 주요 내용

이처럼 개인정보 보호를 위한 악성프로그램 방지 의무는 보안 프로그램을 설치하는 데 그치지 않고, 실제 운영 환경에서 필요한 보호 조치를 지속적으로 이행하는 것까지 포함한다.

백신 설치 이후에도 필요한 보안 업데이트와 운영 관리

기업에서는 부서와 업무에 따라 서로 다른 운영체제와 응용 프로그램을 사용하는 PC·서버를 관리해야 한다. 관리 대상이 많아질수록 일부 시스템에서 업데이트가 누락되거나 보안 설정이 변경되더라도 이를 신속하게 파악하기 어려울 수 있다.

보안 운영에서 구분해야 할 부분은 백신 업데이트와 운영체제·응용 프로그램의 보안 패치다. 백신 업데이트는 새로운 악성코드와 위협에 대응하기 위한 진단 정보와 탐지 기능 등을 갱신하는 반면, 보안 패치는 소프트웨어의 취약점을 수정해 공격에 악용될 위험을 줄이는 역할을 한다. 따라서 기업은 백신의 정상 작동 및 업데이트 여부와 운영체제·응용 프로그램의 보안 패치 적용 현황을 함께 점검할 필요가 있다.

이처럼 개별 시스템의 보안 상태를 지속적으로 관리하려면 조직 차원의 관리 체계가 필요하다. 「개인정보의 안전성 확보조치 기준」 제4조는 개인정보 보호를 위한 내부 관리계획의 수립·시행 및 점검을 규정하고 있으며, 악성프로그램 등 방지와 개인정보 유출·도난 방지 등을 위한 취약점 점검에 관한 사항도 포함하도록 하고 있다. 또한 개인정보 보호책임자가 접근 권한 관리, 접속 기록 보관 및 점검, 암호화 조치 등 규정된 사항에 대한 이행 실태를 연 1회 이상 점검하고 관리하도록 명시하고 있다.

1만 명 미만의 정보주체에 관한 개인정보를 처리하는 소상공인·개인·단체는 제4조 제1항에 따른 내부 관리계획의 수립·시행을 생략할 수 있다. 다만 이러한 예외는 내부 관리계획의 수립·시행에 관한 것으로, 악성프로그램 방지 등 다른 안전조치 의무까지 일괄적으로 면제되는 것은 아니다.

실제 엔드포인트 보안 운영에서는 이 기준을 고려해 다음 사항을 점검할 수 있다.

다수의 PC와 서버를 운영하는 기업이라면 엔드포인트별 보안 상태를 일일이 확인하기보다, 보안 현황을 통합적으로 파악하고 취약 항목과 조치 현황을 체계적으로 관리할 수 있는 환경을 마련하는 것이 효율적이다.

개인정보 유출 위험을 줄이기 위한 추가 보호조치

개인정보가 저장·공유·이동하는 경로도 살펴볼 필요가 있다. 예를 들어 개인정보가 포함된 엑셀 파일을 공유 폴더에 저장한 뒤 접근 권한을 잘못 설정하면 해당 파일이 업무와 관계없는 사람에게까지 공개될 수 있다.

「개인정보의 안전성 확보조치 기준」 제6조 제3항은 인터넷 홈페이지, P2P, 공유설정 등을 통해 개인정보가 권한 없는 자에게 공개되거나 유출되지 않도록 개인정보처리시스템과 개인정보취급자의 컴퓨터 및 모바일 기기 등에 필요한 조치를 하도록 규정하고 있다.

이러한 위험을 줄이기 위해서는 업무용 PC에 저장된 개인정보 파일의 위치와 공유 범위, 접근 권한을 확인하고 불필요한 공유 설정을 정비하는 것이 중요하다.

개인정보가 포함된 보조저장매체의 관리도 빼놓을 수 없다. 「개인정보의 안전성 확보조치 기준」 제10조 제3항은 개인정보가 포함된 보조저장매체의 반출입을 통제하기 위한 보안대책을 마련하도록 규정하고 있다. 단, 별도의 개인정보처리시스템을 운영하지 않고 업무용 컴퓨터 또는 모바일 기기로 개인정보를 처리하는 경우에는 해당 조치를 적용하지 않을 수 있다.

USB 메모리나 외장하드 등 보조저장매체는 업무상 필요한 자료를 이동하는 데 활용되지만, 개인정보가 저장된 장치가 승인 없이 외부로 반출되거나 분실되면 정보 유출로 이어질 수 있다. 이를 예방하기 위한 방안으로는 보조저장매체의 사용 권한과 반출입 절차를 명확히 하고, 필요에 따라 외부 장치의 연결과 사용을 제한하는 기술적 통제 등이 있다.

개인정보 안전 조치를 지원할 안랩 엔드포인트 보안 솔루션

앞서 살펴본 안전조치를 실제 운영 환경에 적용하기 위해서는 PC·서버의 특성과 개인정보 처리 환경을 고려한 보안 수단이 필요하다.

안랩은 PC·서버 백신을 비롯해 엔드포인트 통합 관리, 취약점 점검, 패치 관리, 개인정보 파일 관리 및 장치 제어 등 다양한 보안 활동을 지원하는 솔루션을 제공한다. [표 2]는 관련 법령 및 고시의 주요 요구사항과 이를 지원할 수 있는 안랩 제품을 연계해 정리한 것이다.

[표 2] 개인정보 보호 관련 법령 및 고시의 주요 보안 조치와 안랩 제품별 기능

※ 위 표는 관련 법령과 고시의 주요 내용을 엔드포인트 보안 관점에서 재구성한 것으로, 개별 제품의 도입만으로 법령상 모든 의무를 충족한다는 의미는 아니다. 제품별 지원 기능과 적용 범위 및 관련 조항의 예외사항을 확인해야 한다.

PC와 서버에 적용할 보안 제품은 운영체제와 시스템 특성에 따라 달라지며, 관리 대상의 규모와 개인정보 처리 환경에 따라 필요한 보안 기능도 달라진다. 이를 고려해 안랩의 V3 제품군을 중심으로 악성프로그램 방지 체계를 마련하고, 필요에 따라 AhnLab EPP 기반의 보안 점검·패치 관리나 개인정보 파일·외부 장치 통제 기능을 연계할 수 있다.

사고 대응 이후에도 이어지는 안전 조치 점검

개인정보 유출 사고에 대한 대응은 침해 시스템의 복구만으로 끝나지 않는다. 사고 원인을 파악하고 동일한 문제가 반복되지 않도록 기존 보안 조치를 재점검하고 개선하는 과정도 필요하다.

개인정보보호위원회가 2026년 9월 11일 발간한 「개인정보 유출등 대응 안내서(2026.9.)」는 개인정보 유출 등 사고 발생 시 침해 시스템 격리와 로그·증거 확보, 취약점 보완 등의 대응 절차를 제시하고, 원인 분석을 바탕으로 재발 방지 대책을 수립하도록 안내하고 있다.

특히 개인정보 유출 사고에 악용된 취약점이나 미흡한 보안 설정이 다른 PC나 서버에도 존재하는지 확인하고, 필요한 보안 패치와 정책 개선을 적용하는 것이 중요하다. 이처럼 사고에서 확인된 문제를 후속 보안 개선으로 연결해야 개인정보 보호를 위한 안전조치가 실제 운영 환경에서도 지속적으로 효과를 발휘할 수 있다.

관련 콘텐츠