개인정보위, 안전조치 안내서 개정…AI·패스키·API 보안 반영

개인정보보호위원회(이하 개인정보위)는 공공시스템의 취약점 점검 의무와 인공지능(AI), 새로운 인증 기술 등을 반영한 ‘개인정보의 안전성 확보조치 기준’ 안내서를 개정·발간했다고 5일 밝혔다. 이번 개정은 지난 7월 개정된 안전조치 기준 고시의 내용을 반영하고 변화하는 기술환경에 맞춰 보안조치 해설과 예시를 보완하기 위해 추진됐다.

우선 공공시스템에 대한 취약점 점검과 침투테스트 의무를 설명하는 내용을 추가했다. 개인정보위는 지난 7월 1일 외부 해킹으로 인한 공공부문 개인정보 유출을 예방하기 위해 관련 고시를 개정했다. 공공시스템을 대상으로 연 1회 이상 취약점 점검과 침투테스트를 시행하고 발견한 취약점은 지체 없이 개선하도록 의무화한 것이 핵심이다. 침투테스트는 실제 공격자의 관점에서 시스템에 침입을 시도해 보안 취약점과 공격 가능성을 확인하는 점검 방식이다.

개인정보위는 이번 안내서에 해당 의무에 관한 해설과 자주 묻는 질문(FAQ)을 추가해 공공시스템 운영기관이 점검 기준을 이해하고 적용할 수 있도록 했다.

새로운 인증 기술을 반영한 설명도 확대했다. 기존 안내서에서 비밀번호와 일회용 비밀번호(OTP), 문자메시지(SMS) 등 7종을 제시했던 인증수단을 패스키와 QR코드, 모바일 애플리케이션 등을 포함한 12종으로 늘렸다. 패스키는 비밀번호를 직접 입력하지 않고 기기에 저장된 암호화 키를 이용해 사용자를 인증하는 기술이다. 안내서에는 AI와 관련한 예시도 추가했다.

암호화 기술과 관련해서는 양자내성암호 도입에 관한 내용을 새롭게 담았다. 양자내성암호는 향후 양자컴퓨터를 활용한 공격에도 대응할 수 있도록 설계하는 암호 기술이다. 암호키 관리에 관한 설명도 보완했다. 특히 암호키를 응용프로그램의 소스코드나 설정파일에 암호화하지 않은 평문 형태로 저장하지 않도록 주의할 것을 강조했다.

애플리케이션 프로그래밍 인터페이스(API)의 안전한 이용과 관리에 관한 점검사항도 추가했다. API는 서로 다른 프로그램이나 시스템이 데이터를 주고받을 수 있도록 연결하는 기술이다. 개인정보위는 시스템 간 정보 연계 과정에서 API를 안전하게 관리하기 위한 점검사항을 FAQ에 반영했다.

시스템 업데이트가 지연되는 경우 고려해야 할 안전조치에 관한 설명도 보완했다. 비밀번호 변경 주기에 관한 내용도 달라졌다. 비밀번호를 지나치게 자주 변경하도록 요구하면 이용자가 기억하기 쉬운 단순한 비밀번호를 사용하는 등 부작용이 발생할 수 있다는 설명을 추가했다. 국제적인 비밀번호 관리 동향을 고려한 조치다.

이상민 개인정보위 개인정보정책국장은 “금번 안내서 개정을 통해 안전조치 기준에 대한 현장의 이해를 높이고, 개인정보처리자가 업무 환경에서 안전조치를 적용할 때 발생할 수 있는 혼선을 줄일 수 있을 것으로 기대된다”며 “앞으로도 개인정보처리환경과 기술변화 등을 고려하여 개인정보처리자가 안전조치의무를 합리적으로 이행할 수 있도록 안내서를 보완해 나갈 계획”이라고 말했다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network