보안 법규 정리 :: 개인정보보호법, 정보통신망법, ISMS-P
개인정보보호법
법의 성격과 적용 범위
개인정보를 처리하는 모든 공공기관, 법인, 단체, 개인에게 적용되는 일반법
온라인, 오프라인 구분 없이 개인정보를 다루는 거의 모든 활동에 적용된다는 점이 핵심(과거엔 온라인은 정보통신망법, 오프라인은 개인정보보호법으로 나뉘어 있었지만 2020년 데이터 3법 개정으로 개인정보 관련 규정이 이 법으로 상당 부분 일원화됨)
개인정보의 정의
살아있는 개인에 관한 정보로서, 성명, 주민등록번호, 영상 등을 통해 개인을 알아볼 수 있는 정보
다른 정보와 쉽게 결합해서 알아볼 수 있는 것도 포함 (예: 이름만으로는 특정 안 되지만 이름+생년월일+거주지역이 합쳐지면 특정 가능한 경우)
수집·이용의 기본 원칙
정보주체의 동의를 받거나, 법률에 특별한 규정이 있는 경우 등 법이 정한 근거가 있어야 수집 가능
수집 시 목적, 수집 항목, 보유·이용 기간, 동의 거부 권리를 명확히 고지
목적 달성에 필요한 최소한의 정보만 수집(과잉금지 원칙)
목적이 달성되거나 보유기간이 지나면 지체 없이 파기
정보주체의 권리
개인정보 처리 현황에 대한 열람 요구권
잘못된 정보에 대한 정정·삭제 요구권
처리 정지 요구권
자신에 관한 개인정보 처리로 인한 피해를 신속하고 공정한 절차로 구제받을 권리
민감정보와 고유식별정보
민감정보: 사상·신념, 노동조합·정당의 가입·탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보. 원칙적으로 별도 동의 없이는 처리 금지
고유식별정보: 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호. 이 중 주민등록번호는 원칙적으로 수집 자체가 금지되고, 법령에 구체적 근거가 있는 예외적인 경우만 허용
안전성 확보 조치 (기술적·관리적 보호조치)
개인정보처리자가 갖춰야 할 조치들이 시행령/고시로 구체화되어 있음
접근 권한의 차등 부여 및 관리
비밀번호 등 인증 정보 암호화 저장
개인정보를 저장하는 데이터베이스에 대한 접근통제
접속기록(로그)의 저장 및 정기적 점검(위변조 방지 조치 포함)
개인정보처리시스템에 대한 백신 등 악성프로그램 방지 조치
유출 시 대응 의무
개인정보 유출 사실을 알게 된 경우 지체 없이(72시간 이내로 규정) 정보주체에게 통지
일정 규모 이상의 유출이면 개인정보보호위원회 또는 한국인터넷진흥원에 신고
통지 내용에는 유출된 항목, 시점, 대응 방법, 피해 구제 절차, 담당부서 연락처 등이 포함되어야 함
위반 시 제재 수준
행정처분: 시정명령, 과징금(위반행위와 관련한 매출액의 일정 비율까지 부과 가능)
과태료: 안전조치 의무 위반, 유출 통지 미이행 등
형사처벌: 개인정보를 부정한 방법으로 취득하거나 목적 외로 이용·제공한 경우 등은 징역형까지 가능한 중대 위반으로 다뤄짐
정보통신망법
법의 정식 명칭과 성격
정보통신망 이용촉진 및 정보보호 등에 관한 법률
정보통신서비스라는 특정 영역(인터넷, 온라인 서비스)에 초점을 맞춘 특별법 성격. 개인정보보호법과 내용이 겹치는 부분은 개인정보보호법 쪽으로 통합되었고, 지금은 정보통신망 자체의 안전성과 침해행위 처벌에 더 집중된 구조
정보통신서비스 제공자의 의무
정보통신망의 안정적 운영을 방해하는 침해사고를 예방하기 위한 기술적·물리적 보호조치 마련
이용자의 개인정보가 아니더라도, 서비스 자체의 안전성 확보를 위한 조치 요구(예: 접근통제시스템 설치, 백신 소프트웨어 운영 등)
침해행위에 대한 처벌 규정 (실무적으로 중요한 부분)
정당한 접근권한 없이 정보통신망에 침입하는 행위(해킹) 처벌
정보통신망의 안정적 운영을 방해할 목적으로 대량의 신호나 데이터를 보내는 행위(DDoS 등) 처벌
악성프로그램을 전달하거나 유포하는 행위 처벌
타인의 정보를 훼손하거나 비밀을 침해·도용·누설하는 행위 처벌
이 조항들이 실제로 해킹, DDoS, 악성코드 유포 사건에서 적용되는 핵심 처벌 근거
침해사고 신고 및 대응 체계
정보통신서비스 제공자는 침해사고 발생 시 원인 분석 및 대응 조치, 그리고 관계 기관(한국인터넷진흥원 등) 신고 의무
정부는 침해사고 예보·경보를 발령하고 필요한 조치를 취할 수 있음
스팸 관련 규정
영리 목적의 광고성 정보를 전송할 때는 수신자의 사전 동의 필요(옵트인 방식)
광고성 정보에는 전송자 명칭, 수신거부 방법 등을 명시해야 함
동의 없는 대량 스팸 전송에 대한 과태료 규정
정보통신망법과 개인정보보호법의 관계
과거엔 온라인 서비스의 개인정보 처리는 정보통신망법이, 오프라인은 개인정보보호법이 각각 규율하는 이원화 구조였음
2020년 데이터 3법 개정으로 온라인 개인정보 관련 조항 대부분이 개인정보보호법으로 이관되어 일원화
현재 정보통신망법에는 개인정보 조항보다는 망 자체의 안전성, 해킹·DDoS 등 침해행위 처벌, 스팸 규제 위주로 남아있음
ISMS-P
제도의 배경과 통합 과정
과거에는 정보보호 관리체계 인증(ISMS)과 개인정보보호 관리체계 인증(PIMS)이 별도로 운영됨
기업이 두 인증을 따로 준비해야 하는 부담을 줄이기 위해 2018년부터 ISMS-P로 통합되어 하나의 인증 체계로 운영
법적 근거와 의무 대상
정보통신망법에 근거를 둔 인증 제도
매출액, 이용자 수, 서비스 유형(예: 정보통신서비스 부문 매출 100억 이상 또는 일일 평균 이용자 100만 명 이상 등 일정 기준) 등을 기준으로 의무 인증 대상 기업이 법으로 정해져 있음
그 외 기업은 자율적으로 인증을 신청해서 받을 수 있음
인증 심사 영역 구조
1. 관리체계 수립 및 운영 (16개 항목)
정보보호 정책 수립, 조직 구성, 위험도 평가 및 분석, 관리체계 점검 및 개선 등 전체 관리 사이클을 다룸
2. 보호대책 요구사항 (64개 항목)
접근통제, 인증 및 권한관리, 암호화 적용, 시스템 및 서비스 보안, 물리적 보안, 사고 예방 및 대응 등 기술적·관리적 보호조치 전반을 세부 항목으로 심사
3. 개인정보 처리단계별 요구사항 (22개 항목, 개인정보를 처리하는 기업만 해당)
개인정보 수집 시 보호조치, 개인정보 제공 시 조치, 개인정보 파기 시 조치 등 개인정보 처리의 생애주기 전체를 다룸
인증 절차 흐름
1단계, 기업이 자체적으로 관리체계를 수립하고 최소 2개월 이상 실제로 운영한 이력을 쌓음
2단계, 인증기관(한국인터넷진흥원 또는 지정된 심사기관)에 인증 신청
3단계, 서면심사로 문서와 정책이 요구사항을 충족하는지 확인
4단계, 현장심사로 실제 시스템과 운영 현황이 문서와 일치하는지 확인, 인터뷰와 시스템 점검 병행
5단계, 심사 결과에 따라 인증위원회가 인증 여부 최종 결정
인증 유효기간은 3년이며, 매년 사후심사를 통해 인증 유지 여부를 확인. 사후심사에서 중대한 결함이 발견되면 인증 취소도 가능
━━━━━━━━━━━━━━━━━━
세 가지 비교 정리
개인정보보호법: 성격은 일반법, 대상은 개인정보를 처리하는 모든 주체, 핵심은 개인정보의 수집부터 파기까지 전 생애주기 보호
정보통신망법: 성격은 특별법, 대상은 정보통신서비스 제공자, 핵심은 망의 안전성과 해킹·DDoS 등 침해행위 처벌
ISMS-P: 성격은 인증 제도(법이 아님), 대상은 의무/자율 대상 기업, 핵심은 위 법들이 요구하는 보호조치를 실제로 이행하고 있는지 검증
전체 그림으로 보면
법이 의무를 정하고, 위반하면 처벌하는 개인정보보호법과 정보통신망법이 한 축
그 의무를 기업이 실제로 갖췄는지 사전에 검증하고 인증해주는 제도적 장치가 ISMS-P