검색 - IT세상을 바꾸는 힘 지디넷코리아

개인정보위, '해피톡·다배송' 시정조치 명령

고객상담 채팅 솔루션 '해피톡' 운영사 엠비아이솔루션과 배송대행 서비스 운영사 다배송이 개인정보 유·노출에 따른 당국 제재를 받았다. 개인정보보호위원회는 지난 22일 전체회의를 열고 개인정보보호법을 위반한 2개 사업에 대해 시정조치 명령을 의결했다고 밝혔다. 엠비아이솔루션은 해커가 관리자 계정으로 해피톡 서버에 접속해 이름·전자우편·주문내역 등이 포함된 고객사의 상담내역 8만7천270건이 유출됐다. 엠비아이솔루션은 데이터베이스(DB)에 접속할 수 있는 관리자 계정 패스워드를 형상관리서버에 암호화하지 않은 채 저장했다. 개인정보처리시스템에 대한 접근통제, 접속기록 관리 등 개인정보 안전성 확보에 필요한 조치를 소홀히 한 사실도 확인됐다. 다배송은 배송정보 관리자 페이지에 대한 로그인 검증 절차를 누락해 누구라도 해당 페이지에서 배송자의 이름·주소·전화번호·개인통관부호 등 개인정보를 조회할 수 있도록 소홀히 운영해 700건의 배송정보가 유출된 사실을 확인했다. 2개 사업자 모두 개인정보가 유출된 이용자를 대상으로 개인정보가 유출된 사실을 통지하지 않았다. 개인정보위는 이 사업자들에게 다수 위탁사의 개인정보 처리를 대행하는 대형 수탁자로서 개인정보 보호 관련 책임의식을 갖고 법규 상 안전조치 의무와 유출통지 의무를 준수하고, 재발방지대책을 수립·이행할 것 등 시정조치 명령을 의결했다. 엠비아이솔루션과 다배송은 수탁자로서 시정조치 명령이 의결됐다. 개인정보위는 최근 개정된 개인정보보호법에서는 변화된 환경에 맞춰 수탁자에 대해서도 위반 행위에 대한 과징금·과태료 등 처분을 규정해 각별한 주의가 요구된다고 강조했다. 특히 다수의 위탁자로부터 개인정보 처리를 위탁받은 대형 수탁자는 처리하는 개인정보의 규모가 크기 때문에 강화된 개인정보 보호 책임 의식을 가지고 안전조치 의무를 다할 수 있도록 상시 점검해야 할 필요가 크다고 했다.

2023.11.23 17:29김윤희

아이디어스 개인정보유출, 2억2789만원 과징금 부과

'아이디어스'를 운영하는 백패커가 개인정보보호법 위반으로 2억2천789만원의 과징금과 360만원 과태료 부과 처분을 받았다. 22일 개인정보보호위원회(개보위)는 19회 전체 회의를 열고 SQL 인젝션 공격으로 약 3만 2천건의 개인정보가 유출된 백패커에 대해 안전조치 의무 위반으로 제재를 의결했다고 23일 밝혔다. SQL 인젝션 공격이란 웹페이지의 보안 허점을 이용해 악의적인 SQL문을 주입하고 실행되게 해 데이터베이스가 비정상적인 동작을 하도록 조작하는 것이다. 아이디어스에 지난 2월 25일 토요일 밤 11시부터 26일 오후 1시까지 SQL 인젝션 공격이 있었으며 이 과정서 개인정보가 유출된 것이다. 이와 관련해 백패커 측은 회원 정보가 유출된 사실을 확인하자마자 필요한 신고 접수 등을 진행했다고 해명했다. 백패커 이사는 "유출된 서비스의 전산시스템 구조가 굉장히 오래된 부분이어서 대응할 수 있는 여력이 없었다"고 설명했다. 향후 서비스 사업은 매각할 것이라는 게 백패커 측 설명이다. 다만 김동환 백패커 대표는 "최근 매출액이 감소하고 스타트업의 투자 환경이 어려워진 가운데, 자체적인 보안 강화를 위해 투자해왔다"며 "보안에 대해 더 충실히 보완하겠다"고 말했다. 백패커 측의 해명으로 개보위위원들은 원안보다 과징금을 50% 수준으로 감경하기로 결정했다. 한편, 개보위는 보안 취약점 예방을 위해 한국인터넷진흥원에서 제공하는 가이드라인을 참고해 '보안 취약점 점검' 및 '소프트웨어 보안 약점 진단' 서비스로 공격 예방이 가능하다고 부연했다.

2023.11.23 11:26손희연

[기고] 국립공원과 개인정보 보호

지금 회의 중이다. 휴대폰에서 메시지가 도착했다는 진동이 울린다. 어떤 긴급한 내용일까 궁금해 확인해 보니 광고성 문자였다. 내가 언제 광고성 문자 수신에 동의했지? 누구나 이런 경험을 가지고 있을 것이다. 단순히 스팸문자나 홍보전화 때문에 귀찮아지는 수준은 그나마 다행이다. 최근 개인정보 침해가 지능화하면서 각종 범죄에 이용되고 있다. 개인정보란 살아 있는 개인에 관한 정보다. 성명·주민등록번호·영상 등을 통해 개인을 알아볼 수 있는 정보나 해당 정보만으로 특정 개인을 알아볼 수 없더라도 다른 정보와 결합해 쉽게 알아볼 수 있는 정보를 말한다. 개인정보는 한번 유출되면 개인은 정신적 피해뿐만 아니라 보이스피싱·금융범죄에 의한 금전적 손해를 볼 수 있다. 기업은 이미지 실추, 피해자에 대한 집단적 손해배상 등 경제적 손실, 나아가 신뢰성 하락으로까지 이어진다. 최근 들어 인터넷과 모바일 기술 발전으로 디지털 결제·디지털 신분증·전자문서 서비스가 보편화함에 따라 개인정보 유출 가능성은 점점 커지고 있다. 인터넷 포털사이트에서 개인정보 유출 사례를 검색해보면 올해만 해도 누구나 들으면 알 수 있는 기업에서 대규모 개인정보 유출 사건이 발생했다는 걸 쉽게 확인할 수 있다. 개인정보보호위원회에서 발행한 2022 개인정보보호 연차보고서에 따르면 개인정보 침해 신고 건수가 2019년 15만9천225건, 2020년 17만7천457건, 2021년 21만767건으로 매년 증가하고 있다. 개인정보 보호 중요성은 계속 높아지고 국민적 관심도 커지고 있다. 그럼 국립공원에서도 개인정보 보호 활동이 필요할까? 국립공원이라 함은 자연공원법 제2조(정의)에 따라 우리나라의 자연생태계나 자연 및 문화경관을 대표할 만한 곳으로서 환경부 장관이 지정한 지역을 말한다. 국립공원에서의 '개인정보' 좀 어색하다. 국립공원을 이용하는 탐방객이 2022년 기준으로 3천879만4천명이나 되고, 2023년 7월 기준 국립공원 홈페이지에 가입된 회원정보 193만6천813건, 야영장이나 대피소 등 공원시설 예약시스템에 47만5천126건의 회원정보가 있고 이외에도 국립공원에서 활동하는 자원봉사자를 관리하는 자원봉사시스템은 21만8천505건의 회원정보를 가지고 있다. 여기에 더해 탐방로 곳곳에 탐방객 안전과 산불을 목적으로 설치된 영상정보처리기기 3천31대가 촬영하는 것도 개인정보다. 국립공원을 보전하고 생태서비스를 제공하기 위해 공단이 취급하는 개인정보의 양을 생각하면 국립공원에서도 개인정보 보호 활동이 필요한 것은 당연하다. 국립공원공단은 개인정보 보호를 위해 정보융합실장을 개인정보 보호책임자로 지정하고 개인정보 보호담당자, 개인정보 보호 분야별 책임자를 포함한 개인정보 보호 조직을 구성·운영하고 있다. 그리고 개인정보처리방침 정비, 개인정보파일을 개인정보보호 종합지원시스템에 등록·관리, 개인정보 보호 교육계획 수립 및 시행, 개인정보 라이프 사이클(수집→보유→이용·제공→파기)별 보호조치를 통해 국립공원을 이용하는 정보주체 권리를 보장하고 안전한 개인정보 처리를 위해 노력하고 있다. 매월 셋째 주 수요일에는 '사이버보안 진단의 날'로 지정해 '내PC지키미' 프로그램을 통한 취약점 진단과 개선, 개인정보보호 솔루션을 이용한 개인정보의 암호화 및 불필요한 개인정보 파기, 개인정보처리시스템 접속내역 기록 등으로 관리 소홀이나 각종 부주의로 인한 개인정보의 유출 방지에 힘쓰고 있다. 또한, 공단은 개인정보 보호 실천의지 확산과 문화가 조성될 수 있도록 노력하고 있다. 개인정보 보호는 기관 차원의 노력은 물론 직원들의 개인정보 노출에 대해 인식을 개선하는 것 또한 중요하기 때문이다. 그래서 직원 개개인의 개인정보보호에 대한 인식 제고 뿐만 아니라 개인정보보호 활동에 직접 참여할 수 있도록 개인정보보호 관련 표어 및 사진 공모전 실시, 내부 인트라넷을 활용한 10대 개인정보 보호수칙 카드뉴스 홍보, 개인정보 관련 퀴즈 및 보호활동 우수자 포상 등을 추진하고 있다. 개인정보 보호는 인간의 기본적인 권리다. 국립공원공단은 우리나라 자연생태계나 자연·문화경관을 대표할 만한 지역을 관리하는 선도기관인 것처럼 국립공원의 생태서비스를 받는 국민 개인정보도 철저하게 보호할 것이다. 야생동식물의 안정적인 서식지 제공을 위해 자연생태계를 보호하고, 국립공원을 찾는 국민의 소중한 개인정보를 보호함으로써 자연과 국민 모두에게 편안함과 신뢰를 줄 수 있는 국립공원이 되도록 노력하겠다.

2023.11.21 14:14김도헌

제로다크웹, 국내 OTT 계정 6만 건 유출 확인

제로다크웹은 국내 5개 주요 OTT 서비스를 대상으로 한 계정 정보 유출 현황에 대한 모의 조사를 실시했다고 20일 밝혔다. 이번 조사에서는 총 6만1천763건의 로그인 정보가 다크웹에 유출된 것으로 확인됐다. 이전에 조사된 10개 웹툰 및 전자책 서비스에서 발견된 5만 건의 유출된 정보보다 많은 수치로, OTT 서비스의 계정 정보 유출이 더욱 심각한 상황임을 시사한다. 이번 조사는 감염된 PC로부터 다크웹으로 유출된 계정 정보를 기준으로 진행되었다. 서비스 이용자들의 PC에서 무심코 설치된 멀웨어에 의해 개인 정보가 유출되었을 가능성이 높다. 유출된 계정 정보의 수는 이전 웹툰 및 전자책 서비스 대비 증가한 수치로, 다양한 OTT 서비스에서 정보 유출이 발견되었다. OTT 서비스의 특성상 유료 구독이 필수인 만큼, 계정 정보의 유출은 더욱 민감한 문제가 될 수 있다. 이에 따라 서비스 제공자들은 유출된 계정을 신속하게 파악하고 사용자들에게 비밀번호 변경을 권장해야 한다. 비밀번호 정책을 강화하여 사용자들이 정기적으로 비밀번호를 변경하도록 유도하는 것이 중요하다. 강화된 대응 조치로, 서비스 제공자들은 이중 인증 시스템을 도입하거나, 정기적인 보안 교육 및 인식 제고 캠페인을 실시하는 것을 고려해야 한다. 서비스 이용자들에게는 현재 사용 중인 서비스의 비밀번호를 변경하고, 사용 중인 PC에서 멀웨어의 존재 여부를 확인하기 위해 바이러스 백신 프로그램을 사용하는 것을 권장한다. 또한, 다른 서비스에 동일한 비밀번호를 사용하지 않도록 주의하고, 정기적인 비밀번호 변경을 습관화하는 것이 중요하다. 크리덴셜 스터핑은 계정 정보 유출 시 큰 위협이 될 수 있다. 다크웹에 유출된 계정 정보를 바탕으로 해커들이 봇을 이용해 다양한 웹사이트에 접근을 시도할 수 있다는 점에서, 유출된 계정 정보와 함께 접근 가능한 도메인 정보도 유출될 경우 더 큰 위험에 노출될 수 있다. 제로다크웹은 2천200억 개 이상의 데이터를 분석한 정보를 제공하고 있다. 최근 업데이트를 통해 감염된 PC의 이름을 함께 보여주는 기능이 강화되었다. 또한, 제로다크웹 오픈 기념으로 다크웹 정보 유출 여부를 확인할 수 있는 샘플 리포트를 신청받고 있다. 홈페이지를 통해 이메일만으로 신청 가능하며, 샘플 리포트에서는 유출된 이메일, 문서, 로그인 계정의 개수와 악성코드 감염 의심 디바이스의 개수 등을 확인할 수 있다.

2023.11.20 14:56남혁우

수험표 할인 받다 '개인정보' 노출 주의하세요

개인정보보호위원회는 대학수학능력시험 당일인 16일 수험생들에 수험표 개인정보 유‧노출 관련 각별한 주의를 당부했다. 해마다 수능철이 되면 유통가를 중심으로 수험표 인증 할인 행사가 활발히 열린다. 이때 대다수의 수험생들이 개인정보 유‧노출을 간과한다는 것이다. 개인정보위는 무분별하게 남용되는 개인정보 유‧노출의 문제점을 바로잡고 사전 예방하고자 수험생을 위한 수험표 개인정보 보호 수칙을 발표했다. 수칙은 수험표에 사진, 이름, 생년월일 등 개인정보가 담겨 있어 대여와 매매를 하지 말아야 한다고 강조했다. 수험표 이벤트 참여 시엔 수험표 제출을 하지 말아야 하고, 수험표 확인을 하고 나면 반드시 회수하고 이를 파기하라고 했다. 수험표를 파기할 때에는 직접 파쇄하거나 개인정보가 보이지 않도록 지우는 것이 안전하다고 덧붙였다. 같은 날 개인정보위는 오후 18시부터 서울 마포구 홍익대학교 인근 스타거리에서 대국민 캠페인 '수험표에 개인정보 있어요!'를 개최, 고학수 위원장이 수험생들을 대상으로 직접 수험표 관련 수칙을 안내한다. 수험표 속 개인정보 OX 퀴즈와 대국민 홍보 영상, 인쇄물로 활동을 펼친다. 개인정보위의 캐릭터인 락스타와 함께하는 인생네컷 사진찍기, 커피 쿠폰 선착순 제공 이벤트 등도 진행해 수험생과 청년층을 대상으로 개인정보 관리의 중요성에 대해 알릴 계획이다.

2023.11.16 14:46김윤희

'영상정보 민간 활용' 규제 샌드박스 본격 추진

정부가 그간 민간 기업에서 활용하기에 제약이 많았던 영상정보를 활용할 수 있게 하는 규제 샌드박스 실증특례 시행에 박차를 가할 계획이다. 현행법 상 민간 기업이 개인정보를 활용하려면 정보 주체의 동의를 먼저 받아야 한다. 그러나 영상정보, 특히 자율주행차나 이동형 로봇 기업들이 활용하고자 하는 영상정보의 경우 영상에 담기는 보행자들에게 일일이 동의를 구하는 것이 현실적으로 불가능에 가까웠다. 기업들이 관련 기술을 고도화할 수 있도록 이번 특례 적용을 적극적으로 지원한다는 방침이다. 양청삼 개인정보위 개인정보정책국장은 15일 '데이터 경제 활성화 추진과제' 관계부처 합동 브리핑에서 규제 샌드박스 시행 계획에 대해 이같이 설명했다. 정보 주체 식별 위험을 제거하는 가명 처리를 거치고, 데이터 접근 권한을 최소 인력에 부여해야 한다는 전제 조건을 달았다. 또한 특례로 활용할 수 있게 되는 데이터는 자율주행 인공지능(AI) 알고리즘 개선 목적으로만 써야 한다고 밝혔다. 정부는 연내 9개 기업의 규제 샌드박스 승인을 추진할 계획이다. 양청삼 국장은 "뉴빌리티, 우아한형제들, 네이버랩스 등이 규제 샌드박스를 신청했다"며 "현대자동차, 카카오모빌리티 등 기업도 규제 샌드박스를 신청할 예정인 것으로 안다"고 말했다. 규제 샌드박스 추진이 향후 관련 규제 완화를 상정하는 것은 아니라고 선을 그었다. 양 국장은 "실증특례를 통해 검증을 하고, 현행 제도의 불합리성이나 모호성, 개선점 유무를 살피고 특례 운영 성과도 봐야 한다"며 "현 단계에서 제도 개선을 얘기하긴 빠르다"고 언급했다. 정부는 전 분야 마이데이터 활성화 차원에서 의료 분야 규제 샌드박스 제도도 시행할 예정이다. 오는 2025년 관련법 개정안 시행을 앞두고 마이데이터 표준과 데이터 전송 인프라를 구축하고, 시스템 안정성을 점검하기 위함이다. 보건복지부 관계자는 "의료정보 공유에 민감해하는 국민 정서가 있어 마이데이터 제도 시행 초반에는 데이터 유통이 크게 활발하진 않을 것"이라면서도 "소비자 수요조사를 실시한 결과 국민 86% 이상이 의료 데이터 활용이 필요하고, 건강관리 서비스를 이용하고 싶다는 의견들이 나타난 바 있다"고 첨언했다.

2023.11.15 15:22김윤희

"통신 판매점에서 휴대폰 개인정보 지워드립니다"

한국이동통신판매점협회(KMSA)와 케이포렌식컴퍼니가 개발한 '지금이레이저' 데이터 완전삭제 프로그램을 활용한 개인정보 유출 방지 캠페인을 진행한다고 밝혔다. 캠페인은 이용자의 개인정보 보호를 강화하고, 휴대폰을 구매하는 이들의 정보유출 방지를 위한 적극적인 노력의 일환이다. 전국의 이동통신판매점협회 회원사에서 '지금이레이저' 프로그램을 도입하고, 매장 방문객은 안전하게 개인정보를 삭제해 주는 서비스를 받을 수 있다. 양측의 협력으로 개인정보 유출을 방지하고 중고폰 활성화에 근본적인 문제를 해결하기 위한 시도다. 판매점협회는 국내 이동통신 판매점들의 권익 보호와 협회원 상호 교류를 통한 성장을 도모하기 위해 설립된 단체로, 이동통신 산업의 건전한 발전을 위해 다양한 프로그램과 캠페인을 진행하고 있다. 케이포렌식컴퍼니는 전문적인 디지털 포렌식(안티포렌식) 서비스와 솔루션을 제공하는 기업으로, 최신 기술을 통해 안전하고 효과적인 데이터 관리 솔루션을 개발하고 있다. 이번 캠페인을 통해 판매점들이 선도적으로 데이터삭제 프로그램을 통해 개인정보를 효과적으로 보호하면서, 동시에 투명하고 신뢰성 있는 우수 판매점을 실현키로 했다. 민지영 협회 부회장은 “개인정보를 안전하게 삭제하는 것은 우리의 최우선 과제 중 하나”라며 “'지금이레이저' 프로그램을 통해 개인정보 유출을 방지하고 소비자들에게 더 안전한 환경을 제공하기 위해 회원사들이 개인정보교육 이수교육과 동시에 사용할 수 있도록 하겠다”고 말했다. 유병호 케이포렌식컴퍼니 대표는 “개인정보 보호는 디지털 시대에서 더욱 중요한 이슈가 되고 있다”며 “한국이동통신판매점협회와의 협력을 통해 최고 수준의 데이터 삭제 기술을 제공하고, 소비자들에게 안심하고 이동통신 디바이스를 교체 할 수 있는 환경을 조성하고자 한다”거 말했다.

2023.11.15 11:05박수형

마이크로소프트가 직원의 챗GPT 사용 차단한 이유

마이크로소프트는 지난주 오픈AI의 챗GPT에 대한 내부 직원의 사용을 중단시켰다. 이는 영구적 제한이 아니라 보안과 데이터 문제에 따른 일시적 조치였다. 중단 조치 후 얼마지나지 않아 원상복귀됐다. 최근 CNBC는 지난 9일 "마이크로소프트 내부에서 보안과 데이터 문제로 챗GPT가 사용 금지 도구로 지정됐다"고 보도했다. 이는 일시적 조치였다. 10일 미국 지디넷에 따르면, 마이크로소프트는 CNBC 보도 후 챗GPT 접근 금지 조치를 해제했다. 마이크로소프트는 "오류를 확인한 직후 서비스를 복원했다"며 "직원과 고객이 빙 챗 엔터프라이즈와 같은 서비스를 사용하도록 권장하며, 그리고 더 높은 수준의 개인정보보호 및 보안 보호 기능을 제공하는 챗GPT 엔터프라이즈가 있다"고 밝혔다. 마이크로소프트가 내부 직원의 챗GPT 사용을 차단했다는 소식은 큰 충격으로 받아들여졌다. 9일은 사티아 나델라 마이크로소프트 회장이 오픈AI의 첫 개발자컨퍼런스인 '오픈AI 데브데이' 기조연설 무대에 올라 양사의 긴밀한 협력을 재차 강조한 날이었기 때문이다. 마이크로소프트는 수년동안 오픈AI와 파트너십을 맺고 대규모언어모델(LLM) 기술 개발에 막대한 투자를 해왔다. 이에 오픈AI GPT-4가 마이크로소프트 빙 챗에 통합됐으며, 챗GPT는 마이크로소프트 빙을 이용해 인터넷 검색을 하고 있다. 일반 사용자의 GPT-4 이용 방법은 챗GPT 플러스 등 유료 구독 외에 마이크로소프트 빙 챗 뿐이다. 오픈AI의 이미지 생성 AI 모델인 달리3도 빙챗이나 빙 이미지 생성기에서 무료로 이용가능하다.

2023.11.13 11:26김우용

우아한형제들, 국제 개인정보보호 관리체계 인증

우아한형제들이 개인정보보호 관리체계에서도 국제적 인증을 받았다. 배달의민족 운영사 우아한형제들(대표 이국환)은 국제 개인정보보호 관리체계 표준 인증인 'ISO/IEC 27701' 인증을 획득했다고 9일 밝혔다. 이 인증은 국제표준화기구(ISO)와 국제전기기술위원회(IEC)가 공동으로 제정한 국제 개인정보보호 경영시스템 표준 인증이다. ▲개인정보 관리 절차 ▲개인정보 수집 및 처리 적절성 ▲정보주체 권리보장 ▲서비스 안정성 등 모두 8개 분야, 49개의 기준을 충족해야만 해당 인증을 획득할 수 있다. 이번 인증 획득을 통해 우아한형제들은 배달 플랫폼 최초로 정보보호 및 개인정보보호에 대한 세 가지 인증(▲ISMS-P 인증 ▲ISO/IEC 27001 ▲ISO/IEC 27701)을 보유하게 됐다. 우아한형제들은 배민 서비스를 이용하는 고객이 점차 늘고 처리하는 개인정보도 많아지면서 이용자가 보다 서비스를 신뢰하고, 안심하고 이용할 수 있도록 정보보호 및 개인정보보호에 대한 인증을 획득, 유지해왔다. 지난 2018년 10월 정보보호 경영시스템(ISMS) 국제 표준 인증인 ISO/IEC 27001 인증을 처음으로 획득했다. 이후 꾸준히 정보보호 및 개인정보보호에 대한 역량을 높여 지난달 ISO/IEC 27001 인증 유지를 위한 사후 심사에 통과했고, ISO/IEC 27701 인증도 추가로 획득하게 됐다. ISO/IEC 27001, ISO/IEC 27701 인증은 취득일로부터 3년간 인증이 유효하며, 획득 후 관리체계가 지속적으로 잘 유지되고 있는지 연간 1회 사후 심사를 받는다. 앞서 지난 2016년 정보보호 관리체계 인증인 'ISMS' 인증을 최초로 획득했고, 이어 올 4월에는 정보보호 및 개인정보보호 관리체계 인증인 'ISMS-P' 인증을 추가 획득했다. ISMS-P 인증은 정보보호 및 개인정보보호를 위한 일련의 조치와 활동이 인증기준에 적합한 기관에 대해 한국인터넷진흥원이 이를 인증해주는 제도다. 정보보호 관리체계 수립 및 운영, 개인정보 처리에 대한 단계별 보호조치 기준을 준수하는 기업에게 이 인증을 부여한다. 우아한형제들 김동현 정보보호실장(CISO)은 "우아한형제들은 안전하고 신뢰할 수 있는 서비스를 제공할 수 있도록 노력해왔다"며 "개인정보보호를 위해 지속적으로 발전하는 플랫폼이 될 것"이라고 말했다.

2023.11.09 11:20백봉삼

동행복권 홈페이지 해킹 "개인정보 유출 가능성 확인"

복권사업 운영자인 동행복권이 해킹 공격으로 개인정보 유출 가능성을 확인했다고 밝혔다. 동행복권은 외부 해킹 공격에 따라 이름, 생년월일, 전화번호, 이메일, 가상계좌 등의 유출 가능성을 확인했다고 공식홈페이지를 통해 6일 전했다. 공개한 내용에 따르면 동행복권 측은 지난 5일 불법 취득한 아이디와 패스워드를 무작위로 조합해 동행복권 홈페이지에 부정 로그인한 시도를 확인했다. 해당 사안을 확인 한 후 즉시 사고 원인을 파악하고 한국인터넷진흥원(KISA) 등 유관조직에 신고해 협조 중으로 공격 IP를 차단하는 등 보안 조치를 완료했다고 설명했다. 다만 추가적인 피해를 막기 위해 외부 공격으로 비밀번호가 변경된 회원의 비밀번호를 초기화한 만큼 해당 사용자는 비밀번호를 다시 변경할 것을 권장했다. 동행복권은 공지문에서 "보안 취약점 진단 등을 통해 개인정보보호 및 보안에 만전을 기해왔음에도 불구하고 이러한 사고 발생에 깊은 사과의 말씀을 드린다"며 "개인정보 유출 회원은 개별적으로 안내해 드릴 예정이며, 문의 사항이 있거나 피해가 의심되는 경우 고객센터로 연락해달라"고 밝혔다.

2023.11.07 08:58남혁우

[기자수첩] 개인정보 유출 대응 하세월 건보공단…국민 우려 크다

국민건강보험공단이 검진 기관에 제공한 우편에 총 6건의 개인정보가 유출되면서 공단의 건강정보 관리 및 대응에 허점이 있는 것 아니냐는 우려가 일고 있다. 건보공단은 매년 건강검진기관에 검진비용 청구·지급방법 등을 안내하는 교육 자료를 배부한다. 문제가 된 것은 지난달 20일 검진기관에 우편 발송한 자료였다. 건보공단 해당 자료에 이름과 개인식별정보 3건, 이름과 생년월일 6건이 노출된 사실을 4일 후인 지난 24일 확인, 관련 조치를 실시한다. 이를 지적하는 언론보도가 잇따르자 공단은 “개인정보의 확산 및 위험을 최소화하기 위하여 긴급한 조치를 취하였다”고 밝혔지만, 조치를 취한 시점은 이미 나흘이나 지난 후라는 점에 주목할 필요가 있다. 더욱이 이달 1일 기준 배송되지 않은 책자가 존재하고, 이에 대한 회수가 아직도 진행 중인 상황이다. 공단은 “유사사례가 발생하지 않도록 국민의 소중한 개인정보를 철저히 관리하겠다”고 밝혔지만, 이번 사건은 공단 스스로 건강정보 관리에 구멍이 있음을 자인한 꼴이나 마찬가지다. 건보공단은 한화생명 등 생보사들이 요청한 건강정보를 제공할지 여부에 대해 결정을 내려야 한다. 이는 당초 연내 제공될 것으로 예상됐지만, 시민단체 등의 반발로 결국 해를 넘길 것으로 예상된다. 건강정보 제공을 반대하는 측은 개인정보 유출의 위험성을 가장 큰 이유로 든다. 건보공단은 지금까지 유출 가능성은 '0'에 가깝다고 일축해왔다. 때문에 이번 개인정보 유출 사건을 단순 '해프닝'으로 지나치기는 어려워 보인다. 이번에 책자로 유출된 개인 정보는 6건에 불과하지만, 건보공단이 이를 인지해 조치를 취하기까지 4일이 걸렸다. 또 인쇄물로 제작된 책자를 회수하는 데도 10여일이 소요됐다. 시민단체의 우려처럼 민간 기업이나 인터넷으로 개인정보가 유출된다면? 피해 최소화를 위한 건보공단의 대응 속도에 대해 의문이 나올 수 밖에 없는 상황을 공단 스스로 만들고 있는 것이다. 더욱이 공단이 자신하던 정보 보호가 이토록 황당한 허점이 있다는 사실을 정보 제공 주체인 국민들이 인지한 만큼 이후의 불안과 우려를 어떻게 불식할 것인가. 덴마크 보건 당국자와 의료데이터 활용과 관련해 반대 이슈가 없는지에 대해 대화를 나눈 적이 있다. 그는 “정보보호에 대한 국민들의 강한 신뢰가 있다”고 했다. 이번 사건처럼 어이없는 개인정보 유출이 자칫 국민들의 마음에, 신뢰에, 어떤 영향을 미칠지 우려된다. 신뢰는 결코 말 몇 마디로 쌓을 수 없다. 공단은 건강정보 관리에 있어 국민 신뢰를 받기 위해 더 깊은 고민을 해야 한다.

2023.11.03 09:46김양균

정부, 보안 전제로 '가명정보' 활용 부담 던다

개인정보보호위원회는 '개인정보 안심구역' 시범운영기관 지정 공모를 시작한다고 31일 밝혔다. 개인정보 안심구역은 안전한 대상이나 영역이 없다는 원칙인 '제로트러스트' 보안 모델 기반 안전 조치, 사전·사후적 데이터 처리 과정 통제 등 환경적 안전성을 갖추면 이전에 사실상 제한됐던 다양한 데이터 처리를 허용하는 제도다. 개인정보 안심구역에서는 환경적 안전성 강화 수준에 비례해 가명처리 수준 완화, 연계정보(CI) 일부 등 다양한 결합키 활용이 허용될 수 있다. 개인정보 안심구역에서는 인공지능(AI) 개발, 시계열 분석 등 지속적·반복적 연구를 위한 가명정보의 장기간 보관과 제3자 재사용이 가능해진다. 이를 통해 AI 기술 개발 등에 필요한 데이터 확보에 과도하게 소요되는 시간, 비용 부담을 경감시킬 수 있을 것으로 기대된다. 가명처리한 영상·이미지 등 비정형 빅데이터에 대한 표본(샘플링) 검사도 허용된다. AI 학습용 데이터로 이미지데이터 10만장을 가명처리해 활용하는 프로젝트의 경우, 가명처리 적정성에 대한 전수검사 대신 표본 검사를 수행하면 약 3천만원의 비용을 절감할 수 있다. 최근 빠른 속도로 발전하고 있지만 프라이버시 우려, 모호한 규제 적용 등으로 실제 연구개발이 어려웠던 개인정보보호 강화기술(PET)에 대해서도 전문심의위원회의 심의와 검증 하에 개인정보 안심구역 내에서 안전하게 실증해 볼 수 있는 기회를 제공한다. 개인정보 안심구역 시범운영기관 공모는 이달 30일까지다. 이번 공모에는 현재 운영 중인 결합전문기관, 데이터 안심구역, 가명정보 활용지원센터가 신청할 수 있으며 국비지원 부문과 자체구축 부문을 모집한다. 국비지원 부문은 공적기관만 지원 가능하며 선정된 2개 기관에는 개인정보 안심구역 구축과 운영을 위해 기관당 5억5천만원 규모의 국비를 지원할 예정이다. 개인정보위는 공정한 지정심사를 위해 관계부처 추천을 받아 지정심사위원회를 구성하고 서류심사, 발표심사 및 현장실사를 거쳐 시범운영기관을 지정할 계획이다. 연내 지정 대상기관을 선정한 뒤, 운영 준비가 완료된 기관부터 지정요건 충족 여부에 대한 현장실사를 마친 후 본격적으로 시범 운영을 시작한다. 이정렬 개인정보위 사무처장은 “활용 가치가 높은 개인정보에 대한 수요는 지속적으로 증가하고 있으나, 재식별 우려, 법규 준수 등 때문에 여전히 데이터 활용 현장에서는 안전성에 대한 우려가 많다”며 “이번에 도입하는 개인정보 안심구역을 계기로 다양한 연구자와 기업이 양질의 데이터를 보다 안전하게 활용할 수 있는 기반이 확대되기를 기대한다”고 밝혔다.

2023.10.31 12:00김윤희

'AI 개인정보' 문제 해결 위해 민·관 뭉친다

개인정보보호위원회는 30일 민간 전문가, 관계부처와 함께 '인공지능(AI) 프라이버시 민·관 정책협의회' 출범식을 개최한다고 밝혔다. 민·관 협의회는 AI 편익과 위험성을 고려한 균형 있는 국내 규율체계를 마련하고, AI 국제규범 논의에서 한국이 리더십을 발휘할 수 있도록 지원하는 역할을 수행할 예정이다. 민·관 협의회는 학계, 법조계, 산업계, 시민단체 등 다양한 분야에서 AI에 대한 학식과 경험이 풍부한 차세대 전문가 32명으로 구성됐다. 정부 측 의장은 개인정보위 위원장이, 민간 측 의장은 배경훈 초거대AI추진협의회 회장 겸 LG AI연구원장이 맡았다. 민·관 협의회는 ▲데이터 처리기준 분과(분과장 김병필 카이스트 교수), ▲리스크 평가 분과(분과장 박상철 서울대 교수), ▲투명성 확보 분과(분과장 박혜진 한양대 교수)의 3개 분과로 구성된다. AI 개인정보 규율체계 민·관 공동 설계, AI 환경 불확실성 해소, 글로벌 AI 규범 선도 등에 대해 논의할 계획이다. 먼저 AI 환경에서 새롭게 대두되거나 AI 특성을 고려한 규율 체계 정립이 필요한 현안에 대해 민·관 공동 설계를 추진한다. 'AI 정책방향'에서 제시한 기초적인 개인정보 처리 원칙·기준을 바탕으로 실제 현장에서 적용 가능한 구체적인 AI·데이터 처리 기준과 가이드라인 등을 마련할 예정이다. 민·관 협의회와 별도로 추진 중인 AI·데이터 정책 논의 결과를 협의회와 연계해 정책의 일관성도 확보한다. 민·관 협의회에서 논의되는 AI 프라이버시 규율체계는 향후 의료·금융·고용 등 각 분야의 AI 규율 체계의 기본적인 원칙이 될 수 있도록 관계부처와 협의해 나갈 예정이다. 개인정보위가 운영하는 사전 적정성 검토제, 규제 샌드박스 등과 연계를 통해 AI 환경에서 민간의 불확실성을 해소해나갈 예정이다. 제도 운영 과정에서 축적된 AI 분야 개인정보 사례를 바탕으로 'AI 유형별·사안별 리스크 평가 기준·모델'을 마련할 계획이다. 글로벌 AI 규범과 거버넌스 정립을 선도하기 위한 주요 의제를 발굴하고, 이를 UN, 경제협력개발기구(OECD) 등 국제기구에 제안하는 역할도 수행한다. 고학수 개인정보위 위원장은 “민·관 협의회가 현실 적합성 높은 규율 체계를 마련하는 논의의 장이 되는 한편, 글로벌 AI 규범 논의에서 우리나라가 주도적인 역할을 할 수 있도록 의제를 적극 발굴해야 한다”며 “AI 모델을 개발하거나 서비스 기획 단계부터 기업이 스스로 개인정보 침해 위험성을 관리하는 문화가 정착될 수 있도록 정부와 기업이 함께 노력해 나가야 한다”고 강조했다.

2023.10.30 17:48김윤희

건보공단-심평원, 보건의료 분야 결합전문기관 재지정…보건의료데이터 활용 촉진

보건복지부는 국민건강보험공단, 건강보험심사평가원을 결합전문기관으로 재지정했다고 밝혔다. 보건복지부는 '가명정보의 결합 및 반출 등에 관한 고시'에 따라 2020년 10월 국내 최초 보건의료 분야 결합전문기관을 지정해 운영해왔으며, 2023년 지정 유효기간 3년이 경과되는 기관에 대해 4월에 재지정 지정계획을 안내하고, 7~9월 서면심사 및 현장점검 등의 지정심사를 거쳐 확정했다. 결합전문기관은 서로 다른 개인정보처리자가 보유한 개인정보를 결합해 과학적 연구 등 목적으로 활용할 수 있도록 지원하는 기관으로 가명정보 결합 외에도 결합 전 가명처리, 결합정보의 분석 지원, 결합신청자의 개인정보 보호 교육 등을 수행하고 있다. 보건의료 분야 결합전문기관은 최초 지정 이후 2023년 10월 현재까지 총 78건의 결합을 완료 또는 진행하고 있으며, 제도 조기 정착 및 가명정보 활용 활성화를 위해 결합사례를 발굴해 지원하고 있다. 보건복지부 정은영 보건산업정책국장은 “보건의료데이터를 활용한 연구가 활성화됨으로써 국민 실생활과 밀접한 다양한 분야에 활용되기를 바란다”라며 “보건복지부는 앞으로도 보건의료데이터가 다양하게 활용되고, 국민이 쉽게 체감할 수 있는 사례를 발굴·확산해 나갈 수 있도록 적극 지원하겠다”라고 밝혔다.

2023.10.30 13:02조민규

"개인정보 불법 유통 심각"...네이버·트위터, 대책 마련 약속

네이버와 트위터가 개인 정보 불법 유통에 대한 대책 마련을 약속했다. 최수연 네이버 대표와 김가연 트위터코리아 상무는 26일 국회 정무위원회 종합감사 증인으로 출석, 개인 정보 불법 유통에 대해 내부 검토 후 대책을 논의하겠다고 밝혔다. 더불어민주당 박성준 의원은 이날 국감에서 “개인정보 불법 유통 게시물 삭제 현황을 보면, 2020년부터 올해까지 네이버가 1위인데, 트위터도 3위 안에 든다”면서 “네이버도 그렇지만, 트위터도 불법 유통 게시물이 실질적으로 가장 많이 올라오는 곳인데 인지하고 있냐”고 물었다. 이에 김가연 트위터코리아 상무는 “말씀드리기 곤란하지만 본사에 잘 전달하겠다”고 답했다. 그러자 박 의원은 “개인정보보호위원회에서 받은 공식적인 자료이기 때문에 인정해야 한다. 트위터가 파악을 못하고 있었던 것”이라고 지적했다. 이에 김 상무는 “개인정보보보호위원회를 포함해 집행 기관 법적 요청 접수 창구를 따로 마련하고 있고, 요청에 따라 처리하고 있다”고 설명했다. 이어 박 의원이 “내부 시책은 마련됐냐”고 묻자, 김 상무는 “정책상 개인정보 보호를 위해 불법 개인 정보 유통 게시물은 처리하고 있다”고 답변했다. 또 박 의원은 “네이버에서도 왜 이렇게 불법 게시물이 많이 유통되는 것이냐”며 “근본적인 원인을 보고 이를 해결할 수 있는 방안을 마련하기를 바란다. 불법 유통으로 인해 개인 피해로 이어지기 때문에 근본적인 대책이 있어야 한다”고 강조했다. 이에 최수연 대표는 “알겠다. 모니터링하고 삭제 이외에도 근본적 대책을 마련하겠다”고 답했다. 또 박 의원은 “2019년 이후 트위터에서 개인정보 규정 위반으로 삭제된 콘텐츠 수가 지속 증가하고 있다. 그런데 2021년 12월부터는 데이터 확인이 어렵다는 답변이 왔다. 이 표현은 어떻게 이해해야 하는 것이냐”고 묻자 김 상무는 “2013년부터 투명성보고서를 공개하고 있고, 작년엔 일론 머스크가 회사를 인수하면서 내부 정책 변화가 있었다. 그러다 보니 작년 데이터는 아직 공개하지 않고 있다”고 설명했다. 그러자 박 의원은 “작년과 올해 데이터를 공개하지 않는 것은 트위터에서 책임을 물을 수 있는 소지가 분명히 있기 때문에 통계 자료를 발표하지 않는 것 아니냐. 이렇게 해석될 수 있다”면서 “적극적으로 문제를 방지할 수 있는 방안을 고민해야 한다. 회사로 돌아가 적극 검토하기를 바란다”고 말했다. 이에 김 상무는 “알겠다”고 대답했다. 고학수 개인정보보호 위원장은 “주요 플랫폼과는 핫라인을 구축해 운영하고 있다. 트위터의 경우 (불법 유통) 거래뿐 아니라, 미러사이트 등 문제도 있다. 이를 어떻게 종합적으로 바라보고 문제를 해결할 것인지 내부적으로 검토 중”이라고 밝혔다. 또 최근 불거진 SNS 유명인 사칭 문제 관련해 박 의원은 “특정인 사칭 유형에 대해서도 더 즉각적으로 대응할 수 있게 해야 한다”며 “현행법 하에서 이를 실질적으로 막을 수 있는 방법까지 고려해 피해자가 발생하지 않도록 적극적으로 대처해 주기를 바란다”고 요청했다. 이에 고 위원장은 “어떻게 더 전향적으로 바라보고 해결할지 내부적으로 검토하고 보고하겠다”고 답했다.

2023.10.26 18:26최다래

큐로셀, 공모주 사기 유도 웹사이트 주의해야

코스닥 상장을 위한 기업공개(IPO)를 진행하고 있는 큐로셀을 사칭한 공모주 사기 유도 웹사이트들이 발견돼 주의가 요구된다. 큐로셀 관련 사기 유도 웹사이트는 총 두 곳으로 각각 'curocellbtx-ipo'과 'ipo-curocell'.com 도메인을 사용한다. 실제 큐로셀 홈페이지와 유사하게 꾸민 뒤 '일반 청약 전 사전 공모 모집' 명목으로 방문자의 이름과 전화번호 등 개인정보 입력을 유도하고 있다. 방문자가 개인정보를 입력하면 해당 정보로 증거금과 개인 계좌번호를 요구하는 전화가 걸려오는 방식이다. 큐로셀은 해당 사기 유도 웹사이트를 인지한 즉시 공식 홈페이지에 안내문을 게재했으며 관련 당국에 해당 사이트를 신고한 상태다. 큐로셀 관계자는 “큐로셀의 일반 공모주 청약은 증권신고서에 공시된 청약 절차 외 방식으로는 진행하지 않는다”라며 “큐로셀 공모에 대한 구체적인 내용 및 일정은 반드시 금융감독원 전자공시 시스템에 공시된 증권신고서와 투자설명서를 참고 바란다”라고 말했다. 큐로셀은 오는 10월31일과 11월1일 일반 청약을 받은 후 11월 중 상장할 예정이다.

2023.10.26 17:23조민규

개인 의료 정보, 관리·감독 사전 정비 필요 주장나와

과거 병력이나 가족이 겪은 질병과 같은 민감한 개인 의료 정보에 대한 관리·감독이 철저히 이뤄져야 한다는 주장이 제기됐다. 더불어민주당 이용우 의원은 지난 20일 국회 정무위원회의 개인정보보호위원회(개보위) 국정감사서 "병원 예약 접수 등을 대행하는 플랫폼 여러 곳을 살펴보면 문진표, 과거 병력, 가족력, 결혼·출산 여부 등 민감한 의료 정보를 수집한다"며 "무단으로 활용할 수 있다"고 지적했다. 특히 코로나19 대유행 이후 전화 진료 등 비대면 진료를 쓰는 이용자가 늘면서 서비스 이용을 위해 민감한 의료 정보 제공을 플랫폼에 제공한다는 것을 동의해야 한다. 그렇지만 이 정보가 어떻게 활용되고 관리되는지 세세한 부분까지 이용자가 알 길이 요원하다. 이용우 의원실 측은 "이름과 주민등록번호, 주소, 연락처와 같은 일반 개인정보와 다르게 의료 기관 이력이 담긴 민감한 정보는 해킹이나 탈취 시 금전적뿐만 아니라 다양한 피해를 침해할 수 있어 국정감사에서 지적했다"고 설명했다. 오는 2025년 상반기부터 헬스케어 분야 마이데이터를 전면 시행을 앞두고 있어 사전에 필요한 법령 정비가 정비될 필요가 있다는 부연이다. 현재는 보건복지부가 개인정보 수집 및 활용에 대해 관리·감독하고 있으며 개보위는 가이드라인만 제시하고 있다. 이에 관해 고학수 개인정보보호 위원장은 "현재로서는 개보위에서 핀테크나 플랫폼의 과도한 개인정보 수집과 무단 활용을 감독할 수 있는 거버넌스가 없다"라며 "개보위가 이를 하기 위해 근거 법령이 필요하다"고 말했다.

2023.10.23 11:04손희연

넥슨, 넥슨닷컴에 '알기 쉬운 개인정보처리' 안내 페이지 오픈

넥슨(대표 이정헌)은 게임포털 사이트 넥슨닷컴에 '알기 쉬운 개인정보처리' 안내 페이지를 오픈했다고 19일 밝혔다. 넥슨은 '알기 쉬운 개인정보처리' 안내 페이지를 통해 아동과 청소년들이 개인정보의 종류와 관리 중요성을 이해하고, 이를 보호하기 위한 방법들에 대해 보다 쉽고 정확하게 이해할 수 있도록 지원한다. 저연령층 이용자들을 위해 기획단계에서부터 어린이용 도서나 유튜브 영상을 참고해 다양한 방식으로 접근하였으며, 개인정보보호∙기획∙디자인∙UI 등 각 분야 전문인력들이 넥슨만의 색채로 '개인정보처리'에 관한 정보를 알기 쉽게 전달하기 위해 힘을 모았다. '알기 쉬운 개인정보처리' 안내 페이지는 대상의 눈높이에 맞춰 다오, 배찌, 우니 등 카트라이더 캐릭터를 활용해 구체적인 예시와 함께 이해하기 쉬운 대화 형식으로 '개인정보처리방침'과 '개인정보 수집 및 이용 동의'를 설명하고 있어 아동과 청소년이 보다 쉽게 개인정보처리에 관한 내용을 파악할 수 있다. 넥슨 개인정보정책팀 김다미 부팀장은 "개인정보보호에 있어서도 게임 요소를 접목하는 '게이미피케이션'을 활용할 수 있다고 생각했다”며 “앞으로도 넥슨 게임을 즐기는 아동과 청소년들이 개인정보보호에 대한 인식을 키워갈 수 있도록 관련 정책을 지속적으로 만들어 나갈 계획이다"고 전했다. '알기 쉬운 개인정보처리'에 관한 보다 자세한 내용은 넥슨닷컴 홈페이지 내 안내 페이지에서 찾아볼 수 있다.

2023.10.19 15:19김한준

상급 종합병원, 개인정보 보호책임자 전문성 강화

상급종합병원 등 대형 의료기관의 정보보호 강화를 위해 개인정보 보호책임자 전문성을 높이는 방안이 마련된다. 개인정보보호위원회(이하 개인정보위)는 개인정보 보호 분야에 전문성과 경험을 갖춘 전문인력이 의료기관의 개인정보에 관한 보호업무를 총괄하여 책임지도록 관련 제도 개선을 본격 추진한다고 12일 밝혔다. 상급종합병원은 의료법에 따른 요건을 갖춘 종합병원 중에서 보건복지부가 지정하는 병원으로 현재 45개 병원이 지정됐다. 개인정보위는 20여 개 상급종합병원 개인정보 보호책임자(CPO)가 참여한 가운데 대한상공회의소(서울시 중구)에서 '의료기관 개인정보 보호책임자 간담회'를 개최하고 의료분야 개인정보 보호 강화를 위한 다양한 방안을 논의했다. 지난 3월 14일 '개인정보 보호법'개정을 통해 개인정보 보호책임자의 독립성 보장의무와 자격요건에 관한 사항이 신설됐다. 개인정보위는 그 세부내용을 규정하기 위해 동법 시행령 개정을 추진하고 있다. 간담회에서 개인정보위는 법 개정에 따라 향후 개인정보 보호책임자가 갖춰야 될 전문성 및 독립성 확보를 위한 방향성에 대해 설명했다. 개인정보 보호책임자가 갖춰야 할 학력 및 개인정보 보호 경력(유관경력 포함) 등 자격요건을 도입하고, 독립성 보장 방안 마련을 추진할 계획이다. 개인정보 보호 전문성을 갖춘 의료인 개인정보 보호책임자가 양성될 수 있도록 의료분야의 특수성을 고려한 경력인정 체계 도입을 검토하고, 맞춤형 교육 및 컨설팅을 제공하는 등 다양한 방법으로 지원하겠다고 밝혔다. 또한, 대한병원협회 등 의료분야 자율규제단체를 통해 연말까지 자율점검을 집중 추진하고, 우수기관에 대한 과태료·과징금 감경 등 인센티브 부여로 의료기관의 개인정보 보호 자율규제 활동도 적극적으로 지원해 나갈 예정이다. 개정된 '개인정보 보호법' 시행 이후 개인정보 침해사고 발생 등 개인정보 보호법을 위반한 개인정보처리자에 대한 처벌조항이 강화*된 점도 함께 안내하여, 의료분야의 개인정보 보호에 대한 경각심을 제고하였다. 과징금 상한액 기준은 '위반행위 관련'에서 전체 매출액의 3% 이하로 변경한다. 간담회에 참석한 상급종합병원 개인정보 보호책임자들은 의료기관에 전문성을 가진 개인정보 보호책임자를 도입하는 제도 취지와 필요성에 대해서 공감하는 한편, 의료현장을 고려한 적용범위 설정 등 합리적 제도설계에 대한 의견을 개진했다. 개인정보위 최장혁 부위원장은 “의료기관에 대한 국민의 신뢰를 더욱 높이기 위해서는 의료현장 전반에 걸친 개인정보 보호 문화 정착이 필수”라면서, “앞으로도 의료기관 개인정보 보호책임자로서 자부심과 책임감을 갖고 일할 수 있도록 제도 기반을 잘 마련해 나가겠다”라고 밝혔다.

2023.10.12 18:11남혁우

슈나이더일렉트릭 등 3개사 개인정보 보호 소홀 제재

개인정보보호위원회(이하 개인정보위)는 제16회 전체회의를 열고, 개인정보보호 법규를 위반한 3개 사업자에 대해 총 2억3천199만원의 과징금과 1천620만 원의 과태료 부과 및 개선권고를 하기로 의결했다고 12일 밝혔다. 개인정보보호 법규를 위반한 3개 사업자는 슈나이더일렉트릭코리아·신일전자·국민은행이다. 개인정보위 조사 결과 슈나이더일렉트릭코리아와 신일전자는 안전조치의무를 소홀히 해, 해킹으로 이용자 개인정보와 관리자 계정이 탈취된 사실이 확인됐다. 이들은 정보통신망을 통한 불법적인 접근을 방지하기 위한 침입 차단·탐지 시스템 운영이 부실한 것으로 나타났다. SQL 인젝션 공격을 예방하기 위한 홈페이지 입력값 검증 절차가 마련되지 않았으며 개인정보취급자의 비밀번호 암호화가 이뤄지지 않았다. 신일전자는 개인정보 수집 당시 명시한 보유기간을 경과한 개인정보를 파기하지 않은 사실과 개인정보 유출 통지를 지연한 사실도 추가로 밝혀졌다. 이들 2개 사업자에는 개인정보 유출과 개인정보보호 법규 위반에 따른 과징금과 과태료가 부과되었다. 슈나이더일렉트릭코리아는 과징금 799만원과 과태료 420만원, 신일전자는 과징금 2억2천400만원, 과태료 1천80만원이 부과됐다. 국민은행은 IP, 도메인, URL 등 개인정보 수집 관련해 정보주체에게 필수·선택 사항을 구분하지 않고 동의를 받은 사실이 확인됐다. 이 업체는 지난 4월 필수·선택 동의 구분 등 시정 개선을 완료해 과태료 120만원이 부과됐다. 개인정보위원회 담당 부서 조사조정국 책임자는 “유출 사고에서 공통적 원인이 된 SQL 인젝션 공격의 경우, 위험성이 매우 높아 개인정보처리자 등의 지속적인 주의가 필요하다”며 “시큐어 코딩과 데이터베이스(DB) 보안 등의 안전조치의무를 충실히 이행하는 것이 중요하다”고 말했다.

2023.10.12 17:14남혁우

ZDNet 검색 페이지

'개인정보'통합검색 결과 입니다. (274건)