개인정보처리시스템의 안전한 관리를 위한 기술적·관리적 보호조치 규정과 이를 위반한 사업자에 대한 법적 책임 및 제재 doc_id PCY_201809060426172101_3

고시 제4조제8항에 대해 “비밀번호는 산업스파이, 침입자, 비인가자가 추측하기 어려운 문자와 숫자를 포함 하거나, 전에 사용된 비밀번호를 다시 사용하지 않는 등의 비밀번호 설정 원칙을 참고하여 생성하도록 한다”라고 해설하고 있다. 고시 제4조제9항에 대해 “개인정보취급자의 부주의로 고객 개인정보가 인터넷 홈페이지 또는 P2P를 통해 게시되거나, 공유 설정된 PC 폴더에 고객명단 파일을 둠으로써 열람 권한이 없는 자에게 공개되는 사례가 발견되고 있어 외부에 유출되지 않도록 개인정보처리시스템 및 개인정보취급자의 컴퓨터에 조치를 취하여야 한다”라고 해설하고 있다. 고시 제6조제1항에 대해 “개인정보취급자 및 이용자의 비밀번호가 노출 또는 위․변조되지 않도록 일방향 함수(해쉬함수)를 이용하여 저장하여야 하며, 안전한 암호화 알고리즘은 CPU 및 메모리를 관련 장비의 발전에 따라 달라 질 수 있으나 일방향 해쉬함수의 경우 128비트 이상의 보안강도를 안전성을 권고한다”라고 해설하고 있다. 고시 제4조제9항은 “정보통신서비스 제공자등은 취급중인 개인정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여 열람권한이 없는 자에게 공개되거나 외부에 유출되지 않도록 개인정보처리 시스템 및 개인정보취급자의 컴퓨터와 모바일 기기에 조치를 취하여야 한다.”라고 규정하고 있다. 고시 해설서는 ▲“인터넷 홈페이지 취약점으로 인한 노출 방지 즉, 인터넷 홈페이지 개발 시 보안기준을 따르지 않아서 발생하는 취약점으로 인해 개인정보 DB가 노출되는 사례가 발생하지 않도록 수시로 인터넷 홈페이지 취약점을 점검하여 조치하도록 한다.”라고 설명하고 있다. 이에 따라 ‘모든’ 웹 취약점이 발생하지 않도록 조치를 하는 것은 현실적으로 불가능하나, 적어도 ‘잘 알려진’ 웹 취약점에 대한 점검 및 조치를 하여야 한다. ‘잘 알려진’ 웹 취약점은 이 사건 해킹사고에 사용된 SQL 인젝션 취약점 및 Cross Site Script 취약점, File Upload 취약점 등을 비롯하여 행정안전부, OWSAP(The Open Web Application Security Project, 국제웹보안표준기구), 국가사이버안전센터(NCSC) 등에서 발표하는 항목이 있다. 정보통신망법 시행령 제15조제2항은 “개인정보에 대한 불법적인 접근을 차단하기 위하여 ‘개인정보를 처리할 수 있도록 체계적으로 구성한 데이터베이스시스템(이하 “개인정보처리시스템”이라 한다)에 대한 접근권한의 부여·변경·말소 등에 관한 기준의 수립·시행(제1호)’등의 조치를 하여야 한다.”고 규정하고 있고, 제4항은 “정보통신서비스 제공자등은 개인정보가 안전하게 저장·전송될 수 있도록 ‘주민등록번호, 계좌정보 및 바이오정보(지문, 홍채, 음성, 필적 등 개인을 식별할 수 있는 신체적 또는 행동적 특징에 관한 정보를 말한다) 등 방송통신위원회가 정하여 고시하는 정보의 암호화 저장(제2호)’ 및 ‘정보통신망을 통하여 이용자의 개인정보 및 인증정보를 송신‧수신하는 경우 보안서버 구축 등의 조치(제3호)’ 등의 보안조치를 하여야 한다.”고 규정하고 있다. 그러나, 피심인은 결제정보관리시스템(○○○○)을 운영하면서 이용자들로부터 직접 휴대전화번호, 성명, 생년월일, 통신사 정보 등을 수집·관리하고 있으므로 위 결제정보관리시스템이 개인정보처리 시스템임은 명백하다. 그리고, 이를 토대로 가맹점에 제공하는 ‘가맹점 관리자 사이트’에서도 휴대전화번호 끝자리 외에 고객번호, 통신사명, 거래일시, 청구금액, 상품명, 결제승인번호 등이 제공되고 있으며, 또한 가맹점이 자신의 고객들을 관리하기 위해 고객들의 완전한 휴대전화번호 등 이용자의 개인정보를 보유하고 있는 경우가 일반적이므로, 가맹점에 제공하는 ‘가맹점 관리자 사이트’에서 휴대전화번호 가운데 자리가 조회되지 않는다 하더라도, 가맹점으로서는 ‘가맹점 관리자 사이트’에서 제공하는 정보와 자신이 보유하고 있는 정보를 쉽게 결합하여 특정 개인을 식별할 수 있으며, 따라서 위 ‘가맹점 관리자 사이트’에서 제공하는 정보는 정보통신망법 제2조제1항제6호에 따른 개인정보에 해당한다고 할 것이다. 그러므로 위 ‘가맹점 관리자 사이트’는 ‘개인정보처리시스템’으로 보아야 한다. 피심인이 개인정보 보호와 관련하여 이 법을 위반한 행위가 ①개인정보처리시스템에 대한 접근권한을 과도하게 부여한 행위, ②개인정보처리시스템에 대한 접근권한을 변경ㆍ말소하지 않은 행위, ③외부에서 개인정보처리시스템에 접속 시 안전한 인증수단을 적용하지 않은 행위, ④침입차단시스템 및 침입탐지시스템의 설치ㆍ운영을 소홀히 한 행위, ⑤개인정보취급자의 컵퓨터 등을 망분리를 하지 않은 행위, ⑥인터넷 홈페이지 등을 통해 개인정보가 유출되지 않도록 개인정보처리시스템에 조치를 취하지 않은 행위, ⑦개인정보취급자가 개인정보처리시스템에 접속한 기록을 월 1회 이상 정기적으로 확인·감독하지 않고, 최소 6개월 이상 접속기록을 보존·관리하지 않은 행위, ⑧개인정보취급자·이용자의 비밀번호를 암호화 하지 않은 행위, ⑨이용자의 개인정보를 개인정보취급자의 컴퓨터에 저장하면서 암호화하지 않은 행위, ⑩정보통신서비스를 1년 동안 이용하지 아니하는 이용자의 개인정보를 즉시 파기 또는 별도로 저장·관리하지 아니한 행위 등으로, 안전하고 체계적인 개인정보 관리를 위한 정보보호에 대한 투자를 게을리 하여 이용자의 개인정보를 유출한 책임은 피심인의 최고 경영자 등 임원에게 있다. 이에 의할 때, 피심인의 ▲기술적ㆍ관리적 보호조치 위반행위는 ①개인정보처리시스템에 대한 접근권한을 과도하게 부여한 점, ②개인정보처리시스템에 대한 접근권한을 변경ㆍ말소하지 않은 점, ③외부에서 개인정보처리시스템에 접속 시 안전한 인증수단을 적용하지 않은 점, ④침입차단시스템 및 침입탐지시스템의 설치ㆍ운영을 소홀히 한 점, ⑤개인정보취급자의 컵퓨터 등을 망분리를 하지 않은 점, ⑥인터넷 홈페이지 등을 통해 개인정보가 유출되지 않도록 개인정보처리시스템에 조치를 취하지 않은 점, ⑦개인정보취급자가 개인정보처리시스템에 접속한 기록을 월 1회 이상 정기적으로 확인·감독하지 않고, 최소 6개월 이상 접속기록을 보존·관리하지 않은 점, ⑧개인정보취급자·이용자의 비밀번호를 암호화 하지 않은 점, ⑨이용자의 개인정보를 개인정보취급자의 컴퓨터에 저장하면서 암호화하지 않은 점 등 2개 이상(제28조제1항 제2호와 제4호)에 해당하므로 기준금액의 50%를 가중하고, ▲정보통신서비스를 1년 동안 이용하지 아니하는 이용자의 개인정보를 즉시 파기 또는 별도로 저장·관리하지 아니한 행위는 가중할 만한 사유가 없으므로 기준금액을 유지한다. 방송통신위원회는 ＇17.8.8.(화) 전체회의를 개최하여, 개인정보처리시스템 접근통제 등 개인정보 기술적․관리적 보호조치를 위반한 3개 사업자에 대하여 시정명령을 하였으며 1개 사업자에 대하여 총 1,500만원의 과태료를 부과하고, 목적을 달성한 개인정보를 파기하지 않은 1개 사업자에 대해서는 해당 사안이 형사처벌에 해당하는 점, 위반행위가 조사 이후에도 지속된 점 등을 고려하여 대검찰청 ‘개인정보범죄 정부합동수사단’에 조사결과를 이첩하기로 의결하였다. 방송통신위원회는 행정자치부와 공동으로 개인정보 관리 취약분야인 통신사 판매점(8개사)의 개인정보보호 법규 위반 여부에 대하여 정보통신망법 위반 여부에 대하여 기획조사(2017.2.7.～2017.2.8.)를 실시하였다. 이번 기획조사 결과 ‣개인정보 미파기(1개사) ‣개인정보처리시스템에 대한 접근통제 등 개인정보의 기술적‧관리적 보호조치는 총 3개 사업자가 개인정보보호 법규를 위반한 것으로 나타났다.