[태그:] 개인정보보호

1.개인정보처리시스템 기획 단계

1) 기본원칙
• 개인정보보호 관련 법령 및 지침 등 관련 규정을 세부적으로 검토
• 개인정보 수집 최소화를 위해 개인정보 처리 목적을 명확히 하고 수집
• 개인정보 목적 달성 시 파기 방법을 사전에 결정
• 주민등록번호 이외 추가 인증수단을 통한 회원가입 방법 제공
• 개인정보처리시스템에 대한 접근권한 등 기본적인 보안대책 마련
• 개인정보 전송 및 저장 시 적용할 암호화 알고리즘과 방식 결정
• 개인정보처리시스템과 관련된 개인정보 처리(취급)방침 수립
• 공공기관 개인정보처리시스템과 관련하여서는 개인정보 영향평가 고려
• 개발단계에서 적용해야 할 시큐어 코딩에 대한 기준 정의

2) 개인정보 수집 최소화를 위한 방안 마련
근거: ① 개인정보 보호법 제16조(개인정보의 수집 제한) ② 정보통신망법 제23조2(개인정보 수집 제한 등 )

– 이용자의 개인정보를 수집하는 경우 서비스의 제공을 위하여 필요한 최소한의 정보만을 수집하여야
-필요한 최소한의 정보 이외에 개인정보를 제공하지 아니한다는 이유로 그 서비스 제공을 거부하여서는 안 됨
-개인정보처리시스템을 개발하기에 앞서 개인정보처리시스템에서 처리하는 개인정보에 대한 명확한 목적을 먼저 정의해야 한다

① 서비스를 제공하는 데 있어 필요한 이용자의 개인정보가 무엇인지 그 종류를 조사
② 조사한 개인정보 중 필수적으로 수집해야하는 “필수 동의 항목”을 검토하여 구성한다.
③ 필수/선택 동의 사항을 명시적으로 구분하여 수집한다.

개인정보보호법의 일원화된 운용을 위해 공공/민간분야의 운용체계를 아래와 같이 일원화하여 운영하고 있다.

보호위원회(심의/의결) – 행정안전부(총괄 집행) – 부처(소관 집행)

※ 예외적 적용사항
– 헌법기관(국회/법원/헌재/선관위):기본계획 및 시행계획의 수립시행 권한
– 방통위, 과학기술정보통신부: 정보통신분야에서의 개인정보보호관련 집행
– 금감위:  금융/신용 분야의 개인정보보호관련 집행

1. 개인정보위원회

법이 정하는 개인정보보호에 관한 사항을 심의/의결하기 위하여 대통령소속으로 설립된 독립적인 감독기구 (개인정보보호 7조)

주요업무:  (컨트롤타워 역할)
– 기본/시행계획의 심의/의결,
– 개인정보보호관련 정책, 제도개선, 권고등에 대한 심의/의결
– 오남용 감시
– 이행실태 조사
– 공공기관 간의 의견 조정
– 법령해석/운용에 대한 심의/의결
– 연차보고서의 작성/제출
– 영향평가결과에 대한 의견제시
– 개선방안 연구
– 개인정보침해요인평가 기본계획 수립/자료제출, 진술요구권한
– 분쟁조정위원회의 위원 임명권한
– 3년마다 개인정보 보호 기본계획을 관계 중앙행정기관장과 협의하여 수립

2. 행정안전부

행정안전부는 공공기관과 민간분야의 개인정보를 총괄 집행한다.
– 개인정보관리수준 및 실태파악을 위한 조사를 실시할 수 있다

주요업무:  (총괄집행)
– 표준 개인정보보호지침 제정
– 개인정보처리방침 작성 지침의 제정/권고
– 개인정보열람창구 구축/운영
– 개인정보유출신고제도 운영
– 개인정보파일 등록 접수 및 현황 공개
– 자율규재 촉진 및 지원시책
– 개인정보영향평가 관리/운영
– 법 위반 행위 조사 및 시정권고 및 명령, 과태료 부과

3. 개인정보 분쟁조정 위원회

개인정보보호위원회의 산하에 있으며 개인정보침해와 관련된 분쟁을 당사자 사이의 합리적이고 신속하게 해결하기 위한 기구로 심의를 통하여 손해배상을 결정하며 개인정보피해예방 활동, 법제도 개선 건의, 시정권고등을 통해 국민의 권리 보호 및 건전한 개인정보보호 이용환경 구축 등의 업무를 담당한다.

4. 개인정보 침해신고 센터

개인정보침해와 관련된 신고접수와 상담을 수행하고 신고된 개인정보처리자의 법률위반 여부를 조사하여 후속조치 지원하고있다.

  행안부의 자료 “개인정보보호 10계명”이라는 글에  개인적인 코멘트들을 첨부해 보았습니다.  9월 30일부터  개인정보보호법이 발효되었는데요  사실상 개인정보는 우리스스로 지켜야 하는 것이기 때문에  개인이 무엇을 할 것인가를 생각하고 정리해보았으면 좋겠네요.. 

1. 회원가입을 하거나 개인정보를 제공할 때에는 개인정보취급방침 및 약관을 꼼꼼히 살핀다.
(가능한 회원가입을 하지 않고 사용하시길 권해드려요..  굳이 가입을 해야할땐  약관을 잘 보셔야 하구요..  아무리 서비스가 필요해도 약관이 문제가 되는 곳에는 가입을 하지 마세요..  잘 찾아보면  다른 사이트들을 통해서도 대체방법이 있을때가 많습니다.  )

2. 회원가입 시 비밀번호를 타인이 유추하기 어렵도록 영문·숫자 등을 조합해 8자리 이상으로 설정한다.
(패스워드를 복잡하게 하는 것보다 중요한 것은  가입하는 사이트들의 등급을 정해서    등급별로 다른 패스워드를 사용하는 것입니다.     1등급: 금융  2등급:쇼핑 3등급:개인적(SNS등)  4등급:일반사이트… 이렇게 등급을 정해두고  1등급의 패스워드 규칙은  해당 등급사이트들내에서만 사용하세요.

3. 자신이 가입한 사이트에 타인이 자신인 것처럼 로그인하기 어렵도록 비밀번호를 주기적으로 변경한다.
(이거 쉽지 않더라구요..  중요한 것은 본인이 바꿔놓고 기억을 못하기 때문에  자주 바꾸는것이 상대적으로 어렵다는 것입니다.  하지만 핵심사이트들은 주기적으로 변경하는 것이 필요합니다.  메인 이메일계정, 금융권계정,  근무하는 회사관련 계정만은  힘들더라도  반드시 그렇게 하셔야합니다.

4. 가급적 안전성이 높은 주민번호 대체수단(아이핀)으로 회원가입을 하고, 꼭 필요하지 않은 개인정보는 입력하지 않는다.
가능한  개인정보를 최대한 적게 이용할 수 있는 자신 만의 사용법을 터득하세요

5. 자신의 개인정보가 노출되어 타인이 자신의 명의로 회원가입이 되어있는 경우가 있으므로 명의도용확인 서비스를 이용해 인터넷 가입정보를 자주 확인한다. 도용 사실이 확인되면 정보도용 차단, 실명인증기록 조회 등을 확인한다.
이것뿐 아니라 자신의 개인정보를 인터넷상에서 스스로 검색해보고 탐색하는 노력이 필요합니다.   문제가 될 만한 글이나 정보는 인터넷상에 아예 올라가지 않도록 처음부터  주의를 기울여야 합니다.

6. 자신의 아이디와 비밀번호, 주민번호 등 개인정보가 공개되지 않도록 주의, 관리하며 친구나 다른 사람에게 알려주지 않는다.
그 누구에게도 계정의  정보를 알려주지 마시고   혹 노출되면 즉시 변경하시길 바랍니다.  가족/친지/친구들에게도 알려주어서는 안됩니다. 나중에 서로 얼굴 붉힐일이 생기지 않도록…

7. 인터넷에 올리는 데이터에 개인정보가 포함되지 않도록 하며, P2P로 제공하는 자신의 공유폴더에 개인정보 파일이 저장되지 않도록 한다.
(이거 매우 중요합니다.  다른거 아무리 열심히 해도  이  항목이 문제가 되면 모든것이 다 나간다고 보시면 되겠습니다.  폴더째로  내 컴퓨터의 자료를 공유하는 것은  절대로  피하시길 바랍니다.  그런 프로그램은  아예 쓰지않으시길 권해드립니다. )

8. 신용카드 번호와 같은 금융정보 등의 중요한 개인정보들을 문서에 작성하여 저장할 경우 암호화기능을 제공하는 문서프로그램을 사용해야 한다.
( 간편하게 사용할 수 있는 Truecrypt 같은 무료 프로그램을 권합니다.  필요할때만 암호화된 파일을 마운트해서 사용하는 방식이지요.. 저도 유용하게 사용중입니다.  인증서,중요 파일등을  이렇게 관리하시는것이 매우 효율적이지요)

9. 인터넷에서 아무 자료나 함부로 다운로드 하지 않는다.
(다운로드 하는 사이트도 잘 골라야 하고,  다운로드하는 자료도 잘 골라야합니다.   특히 실행파일이 포함된 자료는 매우 조심해야 합니다.  동영상 데이터의 경우, 코덱다운로드를 유도하는 경우 매우 조심해야 하며  pdf,xls등의 오피스 문서 자료도 매우 조심해야합니다.   p2p사이트에서 설치되는 프로그램에는 자동업데이트 기능이 들어있는데  이를 통해 많은 악성코드들이 들어온다는 사실을 잊지 마시기 바랍니다.  정 다운로드가 필요하시면 차라리 토렌트 프로그램을 사용하는 것이  P2P프로그램보다는 더 안전하다고 생각합니다.  토렌트프로그램도  실행할때만 가동되는 포터블 타입을 권해드립니다.  )

10. 개인정보가 유출된 경우 해당 사이트 관리자에게 삭제를 요청하고, 처리되지 않는 경우 즉시 개인정보침해신고센터(국번없이 1336,www.1336.or.kr에 신고한다.
10번 항목은 자발적인 노력이 필요합니다.  귀챦다고 넘기는 경우가 많을텐데요   누군가 하겠지라고 생각하지 말고  내 선에서 마무리 짓겠다는 마음으로  과감하게 신고해주세요..

메일로  보안뉴스에서 온 내역입니다.  실제 교육은 소만사에서 진행하는 것입니다.
개인정보 관리자라면  교육을 받고 오시는것이 좋을 듯합니다
이런 행사에 가서 교육받은 수료증을 잘 보관해두시면  향후 개인정보관련 감사시에
개인정보에 노력을 기울인 근거들을 제출할 수 있으니  도움이 된다고 할 수 있습니다.
묘하게도 소만사 사이트에선 사전등록링크를 접근못하고  메일을 통해서만 되더군요..
아직 업데이트를 안했나?

사전등록: http://www.somansa.com/conf_regist.asp
약도보기: http://www.eltower.com/about/sub_01_07.htm

방송통신위원회와 한국정보보호진흥원에서 개인정보 오남용 피해 예방 10계명을 발표했다고 합니다. 개인정보를 수집하고 관리하는 기업에 대한 정책이나 규재도 함께 발표해준다면 더 좋겠다는 생각이 듭니다.  어쨋든 내 개인정보가 새어 나가면 결국 내 손해니깐..  각 개인들이  개인정보 관리에 만전을 기해야할듯 싶습니다.

10계명에 제가 조금씩 첨언을 해보았습니다.  사족이 될 듯하기도 하지만 제목만 쓰기엔 왠지 부족한듯 해서리…

<개인정보 오남용 피해예방 10계명>

제 1계명. 회원가입을 하거나 개인정보를 제공할 때에는 개인정보취급방침 및 약관을 꼼꼼히 살펴야 한다. (개인정보취급방침이 없는 사이트는 가입하지 않는다.)
 –> 저두 대충 읽고 동의하곤했는데 이젠 꼼꼼히 읽어야 할듯합니다. 개인정보에 관한 약관을 특히 자세히 읽어주세요. 약관이 허술하거나  불공정하다면 절대로 가입하지 않아야 합니다.

제 2계명: 회원가입 시 비밀번호를 타인이 유추하기 어렵도록 영문·숫자 및 특수문자를 조합하여 8자리 이상으로 설정한다.
–> 패스워드는 절대로 복잡하게 만들어야합니다. 문자사이에 스페이스를 넣는 것도 좋은 방법이고  길수록 좋습니다. 패스워드가 아니라 패스문장이 되도록 하면 사용자입장에선 쉽지만 해커입장에선 어렵겠죠?

제 3계명: 가급적 안전성이 높은 주민번호 대체수단(아이핀: i-PIN)으로 회원가입을 하고 꼭 필요하지 않은 개인정보는 입력하지 않는다.
–>음.. 이부분은 글쎄요란 생각이 드네요.. 아이핀은 효과가 있을지…. 이미 전국민의 주민번호가 다 새어나간 상황에서 주민번호를 사용한다는것 자체가 불안합니다.  뭔가 대안이 있어야할듯한데… 말이죠…  쓸데없이 개인정보를 많이 입력하게 하는 사이트엔 절대로 가입하지 마시길 권해드립니다. 개인정보는 꼭 필요한 만큼만 최소한도로 수집되어야 합니다.
–>참고사이트 : http://www.1336.or.kr)

제 4계명: 자신이 가입한 사이트에 타인이 자신인 것처럼 로그인하기 어렵도록 비밀번호를 주기적으로 변경한다.
–> 패스워드를 주기적으로 변경하는것이 좋습니다.  중요한 사이트라면 3개월에 한번씩은 변경하는 것을 권해드립니다.  패스워드도  여러개를 다르게 사용하는 정책을 가지고 계시면 좋을 듯 합니다.   그리고 사이트들에 가입시 중요도 레벨별로 아이디/패스워드를 달리하는것이 좋습니다. 모든 사이트들에 다른 아이디로 가입하는 것은 불가능하므로  등급을 나눠  3-5개정도의 다른 아이디/패스워드를 사용하되  해당사이트가 몇 레벨인지만 기억하면 될듯합니다. 

제 5계명: 타인이 자신의 명의로 신규 회원가입 시 즉각 차단하고 이를 통지받을 수 있도록 명의도용확인서비스를 이용한다. 
–> 어쨋든 대안이  될수 있으니 참고하세요.. 
-크레딧뱅크(http://www.creditbank.co.kr)
-사이렌24(http://www.siren24.com)
-마이크레딧(http://www.mycredit.co.kr) 

제 6계명: 자신의 아이디와 비밀번호, 주민번호 등 개인정보가 공개되지 않도록 주의하여 관리하며 친구나 다른 사람에게 알려주지 않는다.
–>  어떤 경우에도 자신의 아이디/패스워드/주민번호를 알려주지 마세요. 가족에게도 알려주지 않는 것이 좋다는거…  ^^   어쨋든 그런 정신으로  아이디/패스워드를 관리해야합니다.  모니터에 아이디/패스워드 메모지로 붙여두고 사용하는 몰지각한 사람들도 본적이 있습니다.  PDA에 개인정보등 중요 정보를 보관하는것도 문제가 될수있습니다. PDA는 암호화가 안되거든요..  PC에도 마찬가지이구요..  엑셀도 암호를 걸어서 보관이 가능하므로  중요 정보라면  중요정보에 걸맞게 관리해주시길 바랍니다. 

제 7계명: 인터넷에 올리는 데이터에 개인정보가 포함되지 않도록 하며 P2P로 제공하는 자신의 공유폴더에 개인정보 파일이 저장되지 않도록 주의한다.
–> P2P는 아예 사용하지 않기를 권해드립니다.  혹 사용할시엔  필히 별도의 드라이브에 따로 공유를 지정해서 사용하시되 개인정보 파일이 결코 포함되지않도록 하시는것이 좋습니다. 그런 면에서 USB이동디스크를 공유로 사용하시는것도 좋을듯합니다. 사용하지않을때 쉽게 뺄수도 있구요…  인터넷에  개인정보가 포함된 text를 입력하거나 파일을 올리지 않도록 하시구요… ^^

제 8계명: 금융거래 시 신용카드 번호와 같은 금융정보 등은 암호화하여 저장하고 PC 방 등 개방환경에서는 개인정보를 입력하지 않는다.
–> PC방이나 관공서의 PC에서 금융거래를 하거나 중요한 사이트를 사용하는것은 매우 조심하셔야합니다.  누가 어떤 자료를 보고있는지 확인이 불가능합니다 .PC에 해킹소프트웨어가 설치되어 있을수도 있으며  네트웍단에서 스니핑을 하고 있을수도 있습니다.  PC방의 컴퓨터에 USB를 사용하다 해킹소프트웨어가 묻어 들어올수도 있으므로  주의가 필요합니다.

제 9계명: 인터넷에서 아무 자료나 함부로 다운로드 하지 않는다.
–> 파일을 다운로드 받을시 출처가 확실한 곳에서만 다운로드하시길 바랍니다. 출처가 확실할 경우에도 다운로드후 백신으로 검사하는 것이 꼭 필요합니다.  특히 E-donkey의 경우 별도의 관리자도 없기때문에 무수히 많은 해킹소프트웨어가 존재한다는거… 인지해야합니다.  P2P를 즐겨 쓰시는 분들 대부분이 해킹소프트웨어가  PC에 즐비하다는거…  다들 아시리라 생각합니다. 

제10계명: 개인정보가 유출된 경우 해당 사이트 관리자에게 삭제를 요청하고 처리되지 않는 경우 즉시 개인정보침해신고센터(1336, http://www.1336.or.kr/)에 신고하는 것을 생활화한다.