목표

어디까지나 웹 개발자를 위한 개인정보

• 개인정보 기본 개념을 이해한다.
• IT에서 개인정보의 개념을 이해한다.
• 개인정보 유출의 원인을 알아본다.
• 내가 구성하는 서비스의 개인정보와 유출 가능성을 알아본다.

개인정보의 기본 개념

• 개인정보는 개인에 관한 정보로서 해당 개인을 식별할 수 있는 정보를 의미
• 개인정보는 개인의 신원, 거주지, 연락처, 가족 구성원, 학력, 직업, 건강 상태 등 다양한 형태의 정보를 포함
• 개인정보는 크게 4가지 분류로 나뉘어 구분

고유식별 정보 (Personally Identifiable Information, PII)

• 개인을 식별할 수 있는 정보로, 개인의 신원과 직접적으로 연결됩니다. 예를 들어, 이름, 주민등록번호, 생년월일, 휴대폰 번호, 주소 등이 포함

민감한 개인정보 (Sensitive Personal Information)

• 건강 상태, 인종, 종교, 성적 취향, 범죄 기록 등과 같이 개인의 민감한 측면에 대한 정보
• 개인을 구분할 수 있는 정보로, 개인정보 처리에 있어서 추가적인 제약과 조치가 필요

비식별 정보

• 개인을 식별할 수 없는 형태의 정보로, 개인 식별자가 삭제되거나 제거된 상태
• 개인을 식별할 수 있는 연결 가능성이 없으므로, 일반적으로 개인정보보호 법규의 적용 범위에서 제외

익명화 정보

• 개인을 식별할 수 없는 상태로 완전히 익명화된 정보
• 개인 식별 가능성이 없으며, 일반적으로 개인정보보호 법규에서는 적용 범위에서 제외

IT에서의 개인정보

• IT(정보 기술) 분야에서의 개인정보는 디지털 환경에서 수집, 저장, 처리, 전송되는 정보를 의미
• 인터넷, 컴퓨터, 모바일 디바이스 등을 통해 생성되는 다양한 데이터가 개인정보로 간주될 수 있음
  • 일반적인 개인정보보다 범위가 훨씬 넓어짐
  • 식별 가능한 모든 정보 개인의 이메일 주소, 소셜 미디어 계정 정보, 온라인 구매 기록, 위치 정보, 의료 기록, URL접근 기록, 도메인 주소, IP, 아파트 출입 로그 등이 이에 해당
  • 최근 리브엠의 필수 정보 동의 문제
    일반적으로 개인정보의 경우 개인이 자신의 정보가 어디서 어떻게 활용되고 사용될 수 있는지를 알고 개인의 정보에 대한 주권을 선택할 수 있어야함.
    하지만 리브엠의 경우 이를 필수 동의로 설정하여 가입 시 개인정보를 강제로 수집하는 일이 있었음 (현재는 선택조항으로 변경)
    이 때 수집된 정보는 IP·도메인주소·접속 URL 등이었음
  • 현행 개인정보보호법은 서비스의 본질적 기능을 수행하기 위해 반드시 필요한 최소한의 개인정보만을 수집하되 '해당 범위를 넘어선 개인정보에 대해선 이를 제공하지 아니한다'는 이유로 서비스 제공을 거부하지 못하도록 규정하고 있지만 알뜰폰 서비스 범위를 벗어난 항목에 대한 정보를 수집하여 문제가 되었음
  • 따라서 IT에서의 개인정보 보호는 개인정보 보호법과 같은 법적 규제 및 보안 및 개인정보 관리 정책이 훨씬 상세하고 넓음
  • 단순한 개인정보의 보호만이 아닌 개인정보를 처리하고 관리하여 기밀성과 무결성을 유지하는 일이 포함

시대에 따른 개인정보의 변화

• 개인정보법령이 만들어질 때는 비식별정보만으로는 개인을 특정할 수 없다고 했음
• 과거에는 개인을 특정할 정보를 찾으려 문서 수천 장을 하나하나 찾아 비식별 정보와 대조하는 것이 불가능하다고 판단했지만, 지금은 검색 사이트를 이용하면, 수천 장의 문서에서 개인을 특정할 수 있는 정보 또는 단어 하나를 찾을 수도 있음
  • 서울중앙지방법원의 판례(2016년 12월 15일 선고)를 살펴보면, '개인정보처리자나 누군가가 특정인을 식별하기 위해 합리적으로 사용 가능한 모든 수단을 고려해야 한다. 이때 만약, 특정인을 알아보기 위해 불합리할 정도의 시간과 노력, 비용 등이 투입돼야 한다면, 이는 다른 정보와 쉽게 결합해 특정인을 파악할 합리적 수단으로 볼 수 없다'고 규정
  • 하지만 '합리적 수단'이라면 가능해지는데, 이는 인터넷의 발달로 인한 검색이 포함
• 이러한 시대 변화로 인해 휴대번호 뒷 4자리도 개인 식별정보로 구분되어 짐
  • 대전지방법원 논산지원 판례(2013년 8월 9일 선고)에 따르면, “오늘날 휴대전화 사용이 보편화되면서 전화번호 뒷자리 4개에 생일이나 기념일 등 특정한 의미를 담는 경우가 많다. 뒷자리 4개만으로 연락처를 검색할 수 있는 스마트폰도 상당수 보급됐다”며 “따라서 뒷자리 4개만으로 사용자를 식별할 수 있는 경우도 있고, 그렇지 않더라도 가족 전화번호나 집 전화번호, 기존 통화내역 등과 쉽게 결합해 전화번호 사용자가 누구인지 알아볼 수 있다"
• 단말기의 정보라면?
  • '단말기에 부여된 단말기고유식별번호(IMEI) 또는 휴대전화 개통을 위해 필요한 유심(USIM)칩의 일련 번호' 단말기 자체의 식별 번호나 개인 정보를 담기 전 유심칩의 일련 번호는 개인 정보가 아님
• 단말기와 유심이 개인에게 귀속 된다면? (통신사 발급 휴대폰 등)
  • 서울중앙지방법원 판례(2011년 2월 13일 선고)에 따르면, “IMEI나 유심 일련 번호 모두 특정 개인의 소유로 귀속되기 전까지는 기기나 특정 카드에 부여된 고유 번호이므로 개인 정보로 보기 어렵다”고 한다. 하지만, "이들이 개인의 소유로 귀속되는 순간부터 각 번호는 ‘기기나 특정 카드에 부여된 고유번호’에서 ‘특정한 개인이 소유하는 휴대폰의 기기 번호 및 유심 카드의 일련 번호’라는 의미를 갖게 된다. 이 번호들은 휴대폰 가입 신청서 등 가입자 정보에 나타난 다른 정보와 쉽게 결합, 개인을 특정할 수 있기 때문에 개인 정보라 봄이 상당하다”

개인정보의 식별과 구분

개인정보의 식별 (Identification of Personal Information)

• 개인정보의 식별은 특정 개인을 식별할 수 있는 정보를 파악하는 과정
• 개인을 구체적으로 식별할 수 있는 개인 식별자나 속성 등을 사용하여 특정 개인과 연결될 수 있는 정보를 식별하는데, 이는 개인의 신원을 직접적으로 연결시킬 수 있는 정보
  • 예를 들어, 이름, 주민등록번호, 휴대폰 번호 등이 개인을 식별하는데 사용되는 요소

개인정보의 구분 (Classification of Personal Information)

• 개인정보의 구분은 개인정보의 특성과 범주에 따라 분류하는 과정
• 고유식별 정보 (PII), 민감한 개인정보, 비식별정보, 익명화된 정보 등으로 개인정보를 구분

지누스(약학정보관리시스템) 개인정보 유출 논란

지누스 개인정보 유출

• 병원에 알리지 않고 환자의 정보를 수집
• 약국으로부터 얻은 환자 정보(성명, 성별, 상병코드, 처방약, 주민등록번호 일부 등)는 한국IMS에 암호화 돼 제공됐으며, 의약품 사용의 통계목적으로 사용
• 하지만 환자 정보가 비식별 암호화로 제공됐음에도 이 암호화 규칙을 약정원과 IMS가 공유하고 있었다는 사실로 인해 개인정보 유출로 재판 중

IT에서 개인정보의 관리

• IT에서는 정말 다양한 정보가 수집, 관리, 처리되기 때문에 이에 따라 굉장히 다양한 이유로 개인정보 유출이 발생함
• 이를 개인정보의 유출과 개인정보 유출의 방지로 알아봄

개인정보의 유출

• 일반적으로 개인정보 유출은 개인정보의 미흡한 관리, 외부로부터의 공격, 실수로 나뉨
• 개인정보의 미흡한 관리
  • 취약한 암호, 암호화 되지 않은 데이터, 보안 업데이트의 미적용 등과 같이 보안에 결함이 있는 경우 개인정보 유출의 위험이 증가
  • 내부 직원이나 외부와의 협력자가 권한을 남용하거나 부적절한 접근을 통해 개인정보에 접근
  • 분실된 노트북, 해킹된 서버, 분실된 저장 매체, 올바르게 파기하지 않은 개인정보 등 물리적인 장치나 매체를 통해 개인정보가 유출
• 외부 공격
  • 해킹, 데이터 침입, 악성 코드, 피싱 등을 통해 악의적인 공격자가 시스템에 접근하여 개인정보를 탈취
• 실수
  • 잘못된 이메일 주소로의 전송, 잘못된 파일 공유, 실수로 개인정보를 공개하는 등의 인간의 실수에 의해 개인정보가 유출

실제 사례

탈취된 개인정보를 이용한 공격

• 최근 보안퀴즈에도 나왔던 크리덴셜 스테핑의 사례
• 크리덴셜 스테핑은 이미 유출된 개인정보를 통해 무작위 로그인을 시도하여 공격하는 방식
• 사용자가 포인트, 상품권 등을 많이 소유하고 있는 오픈마켓에 집중적인 공격이 수행
• 지마켓의 경우 크리덴셜 스터핑을 통해 사용자 인증을 한 뒤, 고객이 구매한 모바일 상품권 번호를 탈취하는 방식으로 이루어짐
  • 쉽게 사용이 가능한 상품에 대해 2차 인증 등의 방식이 적용되지 않아 발생
  • 지마켓만의 문제가 아닌 모든 사이트의 문제로 이후 11번가, SSG닷컴 등도 상품권에 대한 2차 인증을 도입하거나 점유 기기(휴대폰)으로만 해당 상품을 확인할 수 있는 방식을 도입

DB 탈취

• 오마이집이라는 배송대행 서비스의 신용카드 DB 정보가 탈취 되어 발생
• 오마이집은 배송대행 서비스로 신용카드 키인 결제와 정기결제를 이용하여 결제
• 정기결제를 위해 해당 카드 정보를 DB에 등록하게 되는데 이 정보가 유출되어 문제가 발생
• 신용카드의 경우 일반적으로 카유, 카유생, 카유생비를 통해 결제가 가능하기 때문에 카드 번호가 노출 시 카드사의 FDS(이상금융거래탐지시스템)을 통한 처리와 카드 재발급을 통한 처리만 가능

실수로 개인정보를 공개

• 담당자의 실수로 해당 메일을 수신하는 수신자 비공개를 설정하지 않아 메일을 수신한 모두가 메일이 유출되는 상황이 발생
• 비공개 설정 한번을 체크하지 않아 단 1분만에 총 30,039건의 메일 주소가 유출

내가 구성하는 서비스와 유출 가능성은?

휴대폰

• 휴대폰 본인인증 서비스의 경우 점유 인증을 수행하기 때문에 이 개인을 완전하게 식별해낼 수 있는 개인 식별 정보를 가지고 있음
• 대표적인 예로 휴대폰 번호
  • 휴대폰 번호는 뒷 4자리 만으로도 개인을 식별할 수 있는 식별 정보로서 동작
  • 따라서 인증요청 시점을 제외한 모든 구간에서는 암호화를 적용

금융 거래

• 카드 번호, 계좌 번호 등이 유출 가능성이 있음
• 금융회사의 경우 신용정보보호법이 우선되고 있기 때문에 해당 개인신용정보는 신용정보법에서는 전송할 때 암호화 처리
  • “개인정보보호법” ‘정보통신서비스 제공자’의 경우 동법 시행령 “개인정보의 기술적 관리적 확보조치 기준 제6조”에 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호, 신용카드번호, 계좌번호, 비밀번호, 생체인식정보를 암호화 대상으로 정의
  • “신용정보법”의 경우 동법 시행령의 시행규칙 “신용정보업감독규정 별표 3 기술적 물리적 관리적 보안대책 마련 기준”에 주민번호, 비밀번호, 생체인식정보, 개인신용정보, 인증정보를 암호화 대상으로 정의