정보통신서비스 제공자의 망분리 미이행, 접속기록 관리 소홀, 비밀번호 암호화 미비 등 개인정보 기술적·관리적 보호조치 의무 위반 사례 doc_id PCY_201809060426172101_2

피심인은 2017. 4. 21. 14시 20분 조회 시점 이전에 탈퇴한 회원 수를 제외하고 2016. 10. 1. 기준으로 개인정보가 저장‧관리되고 있는 이용자 수가 약 2,633,180명이고, 정보통신서비스 부문 2016. 매출액이 약 210억원인 정보통신서비스 제공자임에도 불구하고, 개인정보처리시스템에서 개인정보를 다운로드 또는 파기할 수 있거나 개인정보처리시스템에 대한 접근권한을 변경할 수 있는 개인정보취급자의 컴퓨터 등을 물리적 또는 논리적으로 망분리 한 사실은 없다. 피심인은 이러한 위반사실에 대하여 별다른 소명은 없다. 이 사건 해커는 외부 인터넷망에서 바로 피심인의 관리자페이지에 접속하여 개인정보 파일을 다운로드하여 유출한 사실이 있다. 만약 피심인이 개인정보처리시스템에서 개인정보를 다운로드 할 수 있는 개인정보취급자의 컴퓨터를 망분리 하였다면, 다운로드가 가능한 개인정보취급자의 컴퓨터는 외부 인터넷망이 차단되므로, 이 사건 해커는 외부 인터넷망에서 개인정보처리시스템에 접속할 수 없었거나 접속하더라도 개인정보 파일을 다운로드 받는 기능이 비활성화 되는 등 외부에서 개인정보처리시스템에 접속하여 개인정보 파일을 다운로드 할 수 있는 구조가 유지될 수 없었을 것이다. 정보통신망법 시행령 제15조제2항제3호는 ‘법 제28조제1항제2호에 따라 정보통신서비스 제공자등은 개인정보에 대한 불법적인 접근을 차단하기 위하여 ‘개인정보처리시스템에 접속하는 개인정보취급자 컴퓨터 등에 대한 외부 인터넷망 차단’ 조치를 하도록 규정하고 있다. 다만, 제3호의 조치는 전년도 말 기준 직전 3개월간 그 개인정보가 저장ㆍ관리되고 있는 이용자 수가 일일평균 100만명 이상이거나 정보통신서비스 부문 전년도(법인인 경우에는 전 사업연도를 말한다) 매출액이 100억원 이상인 정보통신서비스 제공자등만 해당한다.’라고 규정하고 있다. 이에 대해 고시 제4조제6항은 “전년도 말 기준 직전 3개월간 그 개인정보가 저장ㆍ관리되고 있는 이용자 수가 일일평균 100만명 이상이거나 정보통신서비스 부문 전년도(법인인 경우에는 전 사업연도를 말한다) 매출액이 100억원 이상인 정보통신서비스 제공자등은 개인정보처리시스템에서 개인정보를 다운로드 또는 파기할 수 있거나 개인정보처리시스템에 대한 접근권한을 설정할 수 있는 개인정보취급자의 컴퓨터 등을 물리적 또는 논리적으로 망분리 하여야 한다.”라고 규정하고 있다. 정보통신망법 시행령 제15조제6항에 따라 위 기준 수립·시행의 내용을 구체적으로 정하고 있는 ｢개인정보의 기술적ㆍ관리적 보호조치 기준」(방송통신위원회 고시 제2015-3호, 이하 ‘고시’) 제4조제1항은 “정보통신서비스 제공자등은 개인정보처리시스템에 대한 접근권한을 서비스 제공을 위하여 필요한 개인정보관리책임자 또는 개인정보취급자에게만 부여한다.”라고 규정하고 있고, 제2항은 “정보통신서비스 제공자등은 전보 또는 퇴직 등 인사이동이 발생하여 개인정보 취급자가 변경되었을 경우 지체 없이 개인정보처리시스템의 접근권한을 변경 또는 말소한다.”라고 규정하고 있으며, 제3항은 “정보통신서비스 제공자등은 제1항 및 제2항에 의한 권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 5년간 보관한다.”라고 규정하고 있다 따라서 피심인은 개인정보취급자가 개인정보처리시스템에 접속한 기록을 월 1회 이상 정기적으로 확인·감독하여야 하며, 시스템 이상 유무의 확인 등을 위해 최소 6개월 이상 접속기록을 보존·관리하여야 하나, 개인정보취급자가 관리자페이지에 접속한 기록을 월 1회 이상 정기적으로 확인ㆍ감독하지 않고, 개인정보를 조회, 다운로드 등 처리하는 경우 해당 개인정보취급자가 누구인지 확인할 수 없었으며, 개인정보취급자가 직접 ‘○○○○’ 서비스 관련 DB에 접속하여 개인정보를 조회하는 등의 업무를 하는 경우에 대해서는 접속기록을 보존ㆍ관리하지 않음으로써 정보통신망법 제28조제1항제3호(기술적·관리적 보호조치 중 접속기록의 위조ㆍ변조방지), 시행령 제15조제3항, 고시 제5조제1항을 위반하였다. 고시 제5조제1항은 “정보통신서비스 제공자등은 개인정보취급자가 개인정보처리시스템에 접속한 기록을 월 1회 이상 정기적으로 확인ㆍ감독하여야 하며, 시스템 이상 유무의 확인 등을 위해 최소 6개월 이상 접속기록을 보존ㆍ관리하여야 한다.”라고 규정하고 있다. 피심인은 관리자페이지의 웹 로그 중 POST 로그에 대해서는 2015. 4. 14.부터 개인정보취급자를 알 수 있도록 별도로 DB에 보관하고 있었으나, GET 로그는 2016. 10. 25.부터 접속일시 및 수행업무만 보관하고 있어 개인정보취급자가 관리자페이지에서 개인정보를 조회, 다운로드 등 처리하는 경우 해당 개인정보취급자를 확인할 수 없었다. 특히 피심인은 개인정보취급자가 직접 ‘○○○○’ 서비스 관련 데이터베이스(DB)에 접속하여 개인정보를 조회하는 등의 업무를 하는 경우에 대한 접속기록은 2017. 3. 22.부터 보관하기 시작하였다. 피심인은 이러한 위반사실에 대하여 별다른 소명은 없다. 고시 제6조제3항은 “정보통신서비스 제공자등은 정보통신망을 통해 이용자의 개인정보 및 인증정보를 송·수신할 때에는 웹서버에 SSL(Secure Socket Layer) 인증서를 설치하여 전송하는 정보를 암호화하여 송·수신하는 기능이나 웹서버에 암호화 응용프로그램을 설치하여 전송하는 정보를 암호화하여 송·수신하는 기능 중 하나의 기능을 갖춘 안전한 보안서버 구축 등의 조치를 통해 이를 암호화해야 한다.”라고 규정하고 있다. 고시 제6조제4항은 “정보통신서비스 제공자등은 이용자의 개인정보를 컴퓨터, 모바일 기기 및 보조저장매체 등에 저장할 때에는 이를 암호화해야 한다.”라고 규정하고 있다. ｢개인정보의 기술적ㆍ관리적 보호조치 기준 해설서」는 고시 제4조제4항에 대해 “외부에서 개인정보 처리시스템에 접속 시 단순히 아이디와 비밀번호만을 이용할 경우 유출 위험이 커지기 때문에 아이디와 비밀번호를 통한 개인정보취급자 식별·인증과 더불어 공인인증서, 보안토큰, 휴대폰인증, 일회용 비밀번호(OTP : One Time Password), 바이오정보 등을 활용한 추가적인 인증수단의 적용이 필요하다”라고 해설하고 있다. 그러나 피심인은 관리자페이지의 접근권한을 변경한 기록에 개인정보취급자의 비밀번호를 암호화하지 않고 평문으로 저장하고 있었으며, xxxxxxxx.php 파일 내에 DB 접속계정의 비밀번호를 암호화하지 않고 평문으로 저장하였다. 또한 피심인은 DB내에 저장‧관리되고 있는 회원의 비밀번호 및 관리자 계정의 비밀번호를 현재 권고하고 있지 않은 암호화 알고리즘인 PHP(ver 7.0)에서 기본으로 제공하는 SHA-1 함수를 사용하고 있어, 외부로 유출되는 경우 복호화 되어 이용자의 피해가 발생할 가능성이 크다. 피심인은 이러한 위반사실에 대하여 별다른 소명은 없다. 따라서 피심인이 개인정보취급자 및 개인정보처리시스템의 비밀번호를 일방향 암호화하지 않고 평문으로 저장하고, 이용자의 비밀번호를 안전하지 않은 암호화 알고리즘으로 암호화한 것은 정보통신망법 제28조제1항제4호(기술적ㆍ관리적 보호조치 중 암호화), 시행령 제15조제3항, 고시 제6조제1항을 위반한 것이다.