 |
| ▲ 개인정보 유출 예방을 위한 API 점검사항 [개인정보보호위원회 제공] |
개인정보보호위원회가 기업·기관에 사용하지 않는 시스템과 계정을 정리하고 외부 연계 서비스의 접근권한을 점검하도록 권고했다. 개인에게는 2단계 인증과 계정정보 유출 여부 확인 등 일상적인 보호수칙을 안내했다.
개인정보위는 19일 개인정보 유출과 2차 피해를 예방하기 위해 국민이 실천할 3가지 보호수칙과 기업·기관이 점검할 4가지 보호조치를 제시했다.
이번 안내는 최근 인공지능(AI)을 악용해 보안 취약점을 노리는 해킹이 늘고 개인정보 유출에 따른 추가 피해 우려가 제기된 데 따른 것이다. 개인의 계정 관리뿐 아니라 기업·기관이 운영하는 정보시스템과 외부 연계 서비스의 보안 상태를 사전에 점검하는 데 중점을 뒀다.
기업·기관의 우선 점검 대상은 개인정보를 처리하는 정보자산이다. 서버와 네트워크 장비, 저장장치(NAS), 단말기 등을 빠짐없이 파악하고 설치된 소프트웨어의 버전과 운영 상태를 확인하도록 했다.
각 시스템에서 처리하는 개인정보의 유형과 규모, 외부 서비스와의 연계 현황도 관리 대상에 포함됐다. 정보자산별 용도와 인터넷 프로토콜(IP) 주소, 관리책임자 등을 함께 파악하도록 안내했다.
운영하지 않거나 장기간 방치된 홈페이지와 시스템, 계정은 삭제하거나 비활성화하도록 했다. 임시로 개설한 시험용 시스템과 계정도 점검 대상에 포함하고, 사용하지 않는 외부 접속 포트는 차단하도록 권고했다.
외부 서비스와 데이터를 주고받는 응용프로그램 인터페이스(API)에 대한 관리도 강조했다. 기업·기관은 외부 연계 API의 운영 현황을 확인하고 사용하지 않는 API를 폐기해야 한다.
운영 중인 API는 접근권한과 개인정보 조회 범위를 필요한 수준으로 제한하고, 비정상적인 대량 조회나 반복 요청을 차단하도록 했다. 장기간 사용하지 않은 API 키와 토큰 등 인증정보는 회수하는 방안도 제시했다.
개인정보위가 함께 안내한 API 세부 점검사항에는 요청 목적에 필요하지 않은 개인정보를 응답 데이터에서 제외하고, 이용자·취급자·고객사별로 접근권한을 구분하는 내용이 담겼다. 서버에서 요청자의 데이터 접근권한을 확인하고 접속기록과 비정상적인 접근 패턴을 점검하는 사항도 포함됐다.
기업·기관의 개인정보 보호조치는 현행 법률상 안전조치의무와도 관련된다. 개인정보 보호법 제29조는 개인정보처리자가 개인정보 유출 등을 방지하기 위해 내부 관리계획 수립과 접속기록 보관 등 필요한 기술적·관리적·물리적 안전조치를 하도록 규정하고 있다.
개인정보위는 취약점이 발견되면 신속히 개선하고 개인정보 유출사고에 대비한 대응절차와 담당체계를 미리 마련하도록 했다. 이러한 조치의 이행 여부도 수시로 점검할 것을 당부했다.
개인이 실천할 보호수칙으로는 사용하지 않는 웹사이트 회원 탈퇴와 2단계 인증 활용을 제시했다. 사회관계망서비스(SNS)에 불필요한 개인정보를 공개하지 않는 것도 권고사항에 포함됐다.
계정정보 유출이나 명의도용 여부는 공공서비스를 통해 주기적으로 확인하도록 했다. 개인정보위가 운영하는 '털린 내 정보 찾기'에서는 다크웹 등에서 불법 유통되는 계정정보를 확인할 수 있으며, 개인정보 포털에서는 본인확인 내역 조회와 웹사이트 회원탈퇴 지원 서비스를 이용할 수 있다.
비밀번호가 유출됐다면 동일한 비밀번호를 사용하는 다른 사이트의 계정도 변경해야 한다. 출처가 불분명한 문자나 이메일에 포함된 링크는 바로 누르지 않고 해당 기관의 공식 홈페이지나 앱에서 내용을 확인하도록 안내했다.
본인 명의로 개설된 금융계좌와 대출 현황은 금융결제원의 '내 계좌 한눈에'에서 확인할 수 있다. 통신서비스 가입 현황은 'M-Safer'를 통해 조회할 수 있으며, 금융거래 안심차단 서비스도 이용할 수 있다.
피해 유형별 신고·상담 창구도 구분했다. 개인정보 침해는 개인정보 침해신고센터(118), 보이스피싱·스미싱은 경찰청 전기통신금융사기 통합대응단(1394)에 신고하거나 상담할 수 있다. 금전적 피해가 발생해 긴급 지급정지가 필요한 경우 경찰청(112)이나 해당 금융사 고객센터에 연락하면 된다.
개인정보위 이정렬 부위원장은 “개인정보 보호는 기업·기관의 책임 있는 보호조치와 개인의 생활 속 실천이 함께하여야 한다”라며 “개인은 보호수칙을 실천하고, 기업·기관은 취약점을 미리 점검하여 개인정보 유출과 2차 피해를 줄이는 데 힘써 주시기를 당부드린다”라고 말했다.
[ⓒ 매일안전신문. 무단전재-재배포 금지]
