개인정보위, 기업에 미사용 API·계정 정리 권고

개인정보보호위원회(이하 개인정보위)가 개인정보 유출 예방을 위해 기업에 사용하지 않는 애플리케이션 프로그래밍 인터페이스(API)와 계정을 정리하고 인증정보를 점검할 것을 권고했다. 개인에게는 2단계 인증과 계정정보 유출 여부 확인 등 생활 속 보호수칙을 당부했다.

개인정보위(위원장 송경희)는 개인정보 유출과 2차 피해를 줄이기 위해 국민과 기업·기관이 실천해야 할 보호수칙을 19일 안내했다고 밝혔다.

개인정보위는 기업·기관에 ▲관리 대상 정보자산 파악 ▲미사용 서비스 정리 ▲외부 연계 서비스와 인증정보 점검 ▲정기적인 취약점 점검과 개선 등 네 가지 보호조치를 권고했다.

기업은 서버와 저장장치, 네트워크 장비, 단말기 등 정보자산을 빠짐없이 파악해야 한다. 설치된 소프트웨어 버전과 시스템별 개인정보 처리 유형, 규모, 외부 시스템 연계 현황도 관리 대상이다.

사용하지 않거나 장기간 방치한 홈페이지와 시스템, 계정은 삭제하거나 비활성화해야 한다. 임시·시험용 시스템도 점검하고 불필요한 외부 접속 포트는 차단해야 한다.

특히 외부 서비스와 데이터를 주고받는 API의 접근권한 관리가 중요하다. 사용하지 않는 API는 폐기하고 API별 접근권한과 개인정보 조회 범위를 최소한으로 제한해야 한다. 비정상적인 대량·반복 요청을 차단하고 장기간 사용하지 않은 API 키와 토큰 등 인증정보도 즉시 회수해야 한다.

취약점이 발견되면 신속히 개선하고 개인정보 유출에 대비한 대응절차와 담당체계도 사전에 마련해야 한다.

개인에게는 사용하지 않는 웹사이트 탈퇴와 2단계 인증 활용을 권고했다. 개인정보위의 ‘털린 내 정보 찾기’ 서비스를 이용하면 다크웹 등에서 불법 유통되는 계정정보를 확인할 수 있다. 비밀번호가 유출됐다면 똑같은 비밀번호를 사용하는 다른 사이트의 비밀번호도 변경해야 한다.

본인 명의로 개설된 계정이나 통신서비스 가입 현황도 주기적으로 확인할 필요가 있다. 의심스러운 문자와 이메일을 받았다면 포함된 링크를 바로 누르지 말고 공식 홈페이지나 앱에서 사실관계를 확인해야 한다.

개인정보 침해는 개인정보 침해신고센터(118), 보이스피싱·스미싱은 경찰청 전기통신금융사기 통합대응단(1394)에 신고할 수 있다. 금전적 피해가 발생했다면 경찰청(112)이나 해당 금융사에 지급정지를 요청할 수 있다.

이정렬 개인정보위 부위원장은 “개인정보 보호는 기업·기관의 책임 있는 보호조치와 개인의 생활 속 실천이 함께하여야 한다”며 “개인은 보호수칙을 실천하고, 기업·기관은 취약점을 미리 점검해 개인정보 유출과 2차 피해를 줄이는 데 힘써 주시기를 당부드린다”고 말했다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network