서버, DB 개인정보 검출
이전부터 꾸준히 기사화되었던 내용은 개인정보 유출에 관련되어있다. 금융회사는 개인정보를 많이 다루기 때문에 그만큼 철저히 관리해야 한다. 법적으로도 관리를 해야 한다고 나와있다.
개인정보보호법 제24조(고유식별정보의 처리 제한) ③ 개인정보처리자가 제1항 각 호에 따라 고유식별정보를 처리하는 경우에는 그 고유식별정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 대통령령으로 정하는 바에 따라 암호화 등 안전성 확보에 필요한 조치를 하여야 한다.
개인정보보호법 제24조의2(주민등록번호 처리의 제한) ② 개인정보처리자는 제24조제3항에도 불구하고 주민등록번호가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 암호화 조치를 통하여 안전하게 보관하여야 한다. 이 경우 암호화 적용 대상 및 대상별 적용 시기 등에 관하여 필요한 사항은 개인정보의 처리 규모와 유출 시 영향 등을 고려하여 대통령령으로 정한다.
개인정보보호법 제34조의2(과징금의 부과 등) ① 보호위원회는 개인정보처리자가 처리하는 주민등록번호가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손된 경우에는 5억원 이하의 과징금을 부과ㆍ징수할 수 있다. 다만, 주민등록번호가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 개인정보처리자가 제24조제3항에 따른 안전성 확보에 필요한 조치를 다한 경우에는 그러하지 아니하다.
회사 PC에 DRM이 깔려있어서 괜찮지 않나요?
만약 유출된다면 DRM이 걸려있기 때문에 못 열어본다. PC에 개인정보가 담긴 파일들이 많이 있겠지만 대량의 개인정보들은 DB에 적재되어있고 서버 안에 파일 형태로 남아있다. PC만 보호해선 안되고 데이터가 쌓일 수 있는 시스템에 대해 개인정보가 남아있지 않은지 모두 의심을 해봐야 한다.
정보처리시스템은 DRM을 설치할 수 없기 때문에 별도의 솔루션으로 개인정보검출 솔루션을 진행해야 한다.
필자의 경우는 반기에 한번 DB, 서버 개인정보 검출을 진행하고 있다.
주민번호 위주로 검출하고 있지만 주민번호 규칙이 있어도 오탐은 수 없이 많이 나온다.
주로 타임스탬프, 법인번호가 주민번호 오탐으로 잡힌다.
DB에 주민번호를 넣는 컬럼이 없어요.
그래도 검출해야 할까요?
무조건해야 한다. 다양한 케이스들이 있기 때문에 검출은 필수적으로 해야 한다. 메일 주소가 주민번호인 경우, 계좌번호가 주민번호인 경우, 상담 이력에 주민번호가 그대로 들어간 경우 등등 예상 밖의 케이스가 많다.
프로세스상 서버에 첨부파일을 떨어뜨리지 않아요.
그래도 검출해야 할까요?
무조건해야 한다. 첨부파일이 없더라도 서버가 트랜잭션을 처리하고 찍은 로그파일이나, 소스파일 내 주석 처리된 개발자의 주민번호가 있는 경우가 있기 때문이다.
개인정보를 마스킹했습니다.
암호화해야 하나요?
마스킹을 했다면 비식별조치를 한 것으로 개인을 알아보지 못한다면 안 해도 된다. 하지만 다른 정보와 결합해서 식별이 가능하게 된다면 재식별이 되기 때문에 암호화를 해야 한다. (상세링크)
개인정보 검출은 실제 운영 중인 DB와 서버 대상으로 검출하기 때문에 서비스 지연이나 장애가 발생하지 않을까 고민이 될 것이다.
필자도 운영 DB에 영향을 줄까 싶어 새벽에 DB 데이터를 샘플링(1,000개만 select 등) 스캔하거나 테스트 DB를 대상으로 스캔한다. 서버 검출의 경우 SFTP로 파일들을 가져와서 검사하기 때문에 검출 대상 서버의 부하가 적다.
스캔 결과를 개발팀, 인프라팀에 전달하여 암호화를 하던지, 데이터 삭제를 해야 하는데 쉽지가 않다. 당연히 해야 하는 일인데도 불구하고 보안팀이 일을 던져주는 것처럼 느끼기 때문에 평소에 소통을 잘해놔야 한다.
오탐도 많고 검출도 까다롭고 불편한 업무이지만 과징금을 생각하며 꾸준히 관리하도록 하자.
