[개인정보보호위원회] 개인정보 안전조치 안내서 개정… 패스키·AI·API 관리 해설 보완

개인정보를 다루는 기관·기업이 바뀐 보안기술과 의무사항을 이해할 수 있도록 정부 안내서가 정비됐다. 개인정보보호위원회는 최근 고시 개정 내용과 기술환경 변화를 반영한 ‘개인정보의 안전성 확보조치 기준’ 안내서를 발간했다고 밝혔다.

이번 개정은 공공시스템 취약점 점검 의무에 대한 설명을 보강하고, 새로운 인증수단과 인공지능(AI) 활용 등 달라진 개인정보 처리환경에 맞춰 해설과 예시를 손질한 것이 핵심이다. 현장에서 자주 묻는 질문도 보완했다.

공공시스템 점검 의무, 대상 구분해 이해해야

개인정보위는 지난 7월 1일 외부 해킹에 따른 공공부문 개인정보 유출사고 예방을 위해 공공시스템의 취약점 점검과 침투테스트를 연 1회 이상 시행하도록 고시를 개정했다. 확인된 취약점은 지체 없이 보완·개선해야 한다.

안내서에는 이 신설조항의 해설과 자주 묻는 질문을 추가했다. 공공시스템운영기관이 의무를 이해하고 이행하도록 돕기 위한 설명으로, 모든 개인이나 민간사업자에게 같은 점검 의무가 새로 부여됐다는 뜻은 아니다.

패스키·QR코드 등 인증수단과 암호키 관리 반영

• 인증수단 확대 : 비밀번호·일회용 비밀번호(OTP)·문자메시지(SMS) 등 기존 7종에 패스키·QR코드·모바일앱 등을 더해 12종의 예시를 제시했다.

• AI·암호체계 : 인공지능 관련 예시와 양자내성암호 도입에 대한 내용을 추가해 변화하는 개인정보 처리환경을 반영했다.

• 암호키 보관 : 암호키를 응용프로그램 소스코드나 설정파일 등에 평문으로 저장하지 않도록 주의하는 등 안전한 키 관리의 중요성을 강조했다.

API·업데이트 지연·비밀번호 질의응답도 정비

시스템 간 정보 연계에 쓰이는 응용프로그램 인터페이스(API)의 안전한 이용·관리 점검사항을 추가했다. 시스템 업데이트가 늦어질 때 고려해야 할 안전조치에 대한 설명도 보완했다.

비밀번호 작성규칙에 대해서는 너무 잦은 변경이 오히려 기억하기 쉬운 단순한 비밀번호 사용으로 이어질 수 있다는 부작용을 설명했다. 국제 동향을 반영한 질의응답 보완으로, 비밀번호 보호가 필요 없다는 취지는 아니다.

개인정보위는 안내서 개정을 통해 현장의 이해를 높이고 안전조치 적용 과정의 혼선을 줄일 수 있을 것으로 기대한다고 밝혔다. 안내서는 개인정보보호위원회 누리집(pipc.go.kr)의 정책·법령 → 법령정보 → 안내서에서 확인할 수 있다. 문의는 신기술개인정보과(02-2100-3067)로 하면 된다.