지난 4월 29일 행정안전부와 방송통신위원회, 금융위원회가 진행한
데이터 3법 시행령 개정안 토론회 방송 자료 입니다
2020년 5월 7일 목요일
2020년 3월 26일 목요일
개인정보 비식별 기술 가이드라인 (2020-03-19)
뉴딜코리아 홈페이지 
개인정보 비식별 기술 가이드라인 (2020-03-19)
I. 비식별 기술 적용시 사전 검토 사항
1. 비식별 적용 절차 개요
2. 데이터 사용 목적 및 환경에 대한 검토
3. 재식별 공격의 이해
II. 비식별 대상 데이터에 대한 개인정보 속성 결정
1. ISO/IEC 20889 기반의 식별자 구분
가) 일반 운영환경에서의 분류
나) 데이터 셋 관점에서의 분류
다) 개인정보 속성 분류
2. 민감 정보의 구분
가) 민감 정보의 정의
나) 민감 정보의 분류
3. 목적성 정보(TA,Target Attribute)의 구분
가) 분석 대상을 정의하는 칼럼
나) 분석 목적에 필수적인 컬럼
4. 개인정보 속성 결정 원칙
가) 법적 근거
나) 처리자의 입장에서 판단
다) 비식별 처리 기법에 대한 판단
라) 처리자의 분석 환경에 대해 판단
마) 기타 경우에 대한 판단
Ⅲ. ISO/IEC 20889의 비식별 기술의 종류
1. ISO/IEC 20889
가) 등장배경
나) 목적
다) 범위
라) ISO/IEC 20889의 비식별 기술 개요
2. 통계도구
가) 표본 추출
나) 총계 처리
3. 암호화 기법(분석 효용성 입장의)
가) 결정성 암호화
나) 순서보존 암호화
다) 형태보존 암호화
라) 동형암호화
마) 동형비밀분산
4. 삭제 기법
가) 마스킹
나) 컬럼삭제
다) 부분 삭제
라) 레코드 삭제
마) 식별자 전부 삭제
5. 가명화 기법
가) 양방향 암호화를 이용
나) 일방향 암호화를 이용
다) 토큰 기법을 이용
라) 랜덤할당(Random assign)
마) 매핑 테이블을 이용
바) UUID(Universally Unique Identifier)
6. 해부화 기법
7. 일반화 기법
가) 일반 라운딩
나) 랜덤 라운딩
다) 제어 라운딩
라) 상하단 코딩(Top & Bottom Coding)
마) 로컬 일반화
8. 무작위화 기법
가) 순열
나) 잡음추가
다) 부분 총계
9. 재현 데이터
Ⅳ. 프라이버시 보호 모델의 종류 및 검증 방법
1. k-익명성
2. l-다양성
3. t-근접성
별첨. 비식별 기법 적용_ARX
1. 개요
2. 데이터 명세
3. 준식별자 비식별 기법 적용
4. 프라이버시 보호 모델 적용
(출처 : 빅데이터센터)
2019년 1월 10일 목요일
유럽 개인정보보호법(GDPR)과 국내 데이터 제도 개선방안
유럽 개인정보보호법(GDPR)과 국내 데이터 제도 개선방안
데이터가 매개하는 디지털 전환이 전 산업과 사회 부문으로 확산하면서 개인정보를 활용하는 비즈니스도 증가하고 있다.
그에 따라 개인정보 보호가 중요한 사회 이슈로 부상하는 가운데 유럽 개인정보보호법(GDPR) 시행으로 개인정보 보호 제도가 새로운 국면에 진입하고 있다.
본 연구에서는 GDPR이 제기하는 여러 이슈 중 국내의 개인정보 제도 관점에서 볼 때 중요하다고 생각되는 쟁점 4가지를 선택하여 분석함으로써 국내 데이터 제도의 개선 방향에 대한 시사점 및 정책제언을 제시한다.
GDPR과 국내 개인정보 관련법을 비교해볼 때 주요 쟁점이 되는 4가지는
1) 개인정보와 개인식별정보,
2) 데이터 소유권과 데이터 활용을 위한 동의서 이슈,
3) 데이터 이동권,
4) 연구목적 데이터 활용이다.
4가지 쟁점 분석과 국내 데이터 환경을 고려할 때 국내 데이터 제도가 개선되기 위해서는
▶ 개인정보 관련 국내법의 명확성 확보를 위해 규제 재정비
▶ 데이터 활용을 위한 개인의 데이터 권리 인정 및 체계적인 동의서 개발과 실질적 동의 방법에 대한 탐색 필요
▶ 개인정보의 연구목적 활용을 높이기 위한 예외조항 신설을 정책과제로 제안하면서 7가지 세부과제를 함께 제시한다.
☞ 첨부파일 : 유럽 개인정보보호법(GDPR)과 국내 데이터 제도 개선방안
- 목차 -
Ⅰ. 논의의 배경
Ⅱ. 유럽 GDPR의 이해 및 분석
Ⅲ. 국내 개인정보 관련 4대 쟁점 분석
Ⅳ. 결론 및 정책제언
- GDPR 참고 사이트 -
개인정보보호위원회 : http://www.pipc.go.kr/cmt/not/ntc/selectBoardList.do?bbsId=BBSMSTR_000000000121
개인정보보호 종합포털: https://www.privacy.go.kr/gdpr
컨설팅 : ISMS, ISO27001 GDPR,PCI-DSS
취약점 진단 및 모의 침투
2018년 7월 11일 수요일
개인정보 보호 상담 사례집 (2017년)
개인정보 보호 상담 사례집 (2017년)
■ 개인정보 보호법령 주요 개정 연혁 안내
• (법률)주민등록번호 처리제한[시행 2014.8.7.]
- 주민등록번호 수집 법정주의 실시, 주민등록번호 유출시 과징금 부과
• (시행령)개인정보 보호 책임성 강화[시행 2016. 7. 25.]
- 법정·징벌적 손해배상제도 도입, 개인정보 범죄 처벌 강화
- 개인정보보호위원회 기능 강화
• (법률)주민등록번호 수집 법정주의 강화 등[시행 2016. 9. 30.]
- 개인정보 수집 출처 고지 의무화, 주민등록번호 수집근거 강화
- 민감정보 안전성 확보 조치 의무화
• (법률)개인정보 수집 동의시 중요 내용의 명확한 표시[시행 2017. 10. 19.]
- 개인정보 수집 동의시 수집·이용 목적, 수집·이용하려는 개인정보 항목 등의 표시 방법을 행정안전부령으로정하는 방법에 따라야 함
■ 목 차
제1장 개인정보 침해 피해구제 개요 5
1. 개인정보침해 신고센터 소개 6
가. 개인정보침해 신고센터 설립 근거 및 조사 권한 6
나. 개인정보침해 신고 및 상담 업무처리 절차 12
2. 개인정보침해 신고·상담 접수 및 조치 현황 16
가. 개인정보침해 신고 및 상담 접수 개요 16
나. 개인정보침해 신고 접수 유형별 분석 16
제2장 개인정보 보호 상담 사례 19
1. 개인정보의 수집·이용 20
1-1 필요 최소한의 개인정보 이외의 개인정보의 수집 20
1-2 학교 행사 홍보를 위해 졸업동문에게 문자 메시지 전송 21
1-3 영리목적의 광고성 문자 메시지 전송 23
1-4 SNS를 통한 이벤트시 개인정보 수집 25
1-5 개인정보 수집·이용·제공 및 처리 위탁의 동의 26
1-6 스마트폰 앱 접근권한 설정 28
2. 개인정보 제3자 제공 30
2-1 보험사의 동의없는 개인정보 제3자 제공 30
2-2 부동산중개업체의 동의없는 개인정보 제3자 제공 31
2-3 아파트 입주예정자 개인정보 불법 누설 33
2-4 배달음식 주문고객 정보의 제공 및 이용 35
3. 개인정보 안전성 확보조치 36
3-1 홈페이지 비밀번호 저장시 암호화 36
3-2 홈페이지 개인정보 노출 37
3-3 SNS상의 이용자 정보 공개 39
3-4 채용응시자에 대한 불합격사실 이메일 동보 전송 39
3-5 수험생 본인확인을 위한 정보공개 범위 40
3-6 개인정보 처리방침 공개 42
3-7 비밀번호 전송시 암호화 44
3-8 바이오 정보 수집·이용 45
4. 개인정보 파기 46
4-1 개인정보 파기 시점 46
4-2 장기간 서비스 미이용자 정보 관리 47
4-3 다른 법령에 별도의 보존기간 규정시 개인정보 파기 49
5. 정보주체의 권리 50
5-1 이용하지 않은 사이트에서 거래관련 문자 메시지 발송 50
5-2 상담이력 열람 요구 52
5-3 회원탈퇴시 과도한 개인정보 요구 54
5-4 개인정보 제공 동의 철회 55
5-5 자기게시물에 대한 접근배제 요청 56
6. 고유식별정보 처리 제한 59
6-1 채용 지원시 주민등록번호 수집 59
6-2 렌터카 이용계약시 주민등록번호 수집 60
6-3 자격증 관련 협회 회원가입시 주민등록번호 수집 61
6-4 아파트 관리사무소의 주민등록번호 수집 62
6-5 성인 확인을 위한 주민등록증 촬영 63
7. 개인영상정보처리기기 설치·운영 65
7-1 탈의실 CCTV 설치 65
7-2 개인영상정보처리기기 보호조치 65
7-3 사무실내 CCTV 설치 67
7-4 편의점 등 공개된 장소의 CCTV 설치 68
7-5 CCTV 촬영 범위 70
제3장 개인정보 보호 관련 국내 판례 등 71
☞ 첨부파일 : 개인정보 보호 상담 사례집 (2017년)
2018년 5월 27일 일요일
EU 일반개인정보보호법(GDPR) 발효와 대응과제
유럽연합(EU)이 4차 산업혁명 시대 데이터 혁신의 원료인 개인정보의 활용과 보호의 새로운 기준을 제시하는 일반개인정보보호법(General Data Protection Regulation: GDPR)을 2018년 05월 25일(현지시간) 발효시킴에 따라, 우리 기업은 개인정보 보호 강화 추세가 세계적으로 확산될 가능성에 대비하고 경쟁력 개선의 기회로 삼을 필요가 있는 것으로 나타났다.
동법은 높은 수준의 개인정보 보호 요건을 부과함에 따라 혁신과 무역투자에 장애요인으로 작용할 수 있다.
KOTRA는 ‘EU 일반데이터보호법(GDPR) 발효와 대응과제’ 보고서에서 GDPR의 내용과 향후 영향을 분석하고 기업의 대응과제를 제시하면서 이같이 밝혔다.
▷ (주요내용) EU 역내 투자기업은 물론, EU 시민을 대상으로 한 다양한 기업 활동에 영향
▷ (파급효과) 통합된 EU 디지털시장 창출에 기여하나 기업 활동에 부정적 영향 가능성
▷ (대응방안) 규제 요인이 아니라 규제 대응수준을 향상시키는 기회로 활용할 필요
▣ EU 일반개인정보보호법(GDPR) 발효와 대응과제 (요약)
□ EU는 2018년 5월 25일부터 개인정보 처리와 이동에 관한 “일반개인정보보호법(General Data Protection Regulation: 이하 GDPR)” 시행
□ GDPR은 기업 규제환경의 큰 변화를 초래하여, EU 역내 투자기업은 물론, EU 거주민을 대상으로 하는 다양한 기업 활동에 영향
□ GDPR은 통합된 EU 디지털시장을 창출하는 데 기여할 전망이나, 장벽요인으로 작용하여 기업 활동에 부정적 영향을 줄 가능성 내포
□ GDPR을 단순히 규제요인으로 인식할 것이 아니라, 개인정보보호 규제 컴플라이언스 수준을 높이는 기회로 활용할 필요
◦ 개인정보 보호역량 강화를 통해 기업 경쟁력 강화, 신뢰도 향상 (뉴딜코리아)
첨부파일 : EU 일반개인정보보호법(GDPR) 발효와 대응과제
2018년 4월 28일 토요일
개인정보 영향평가 수행 안내서 (2018. 04)
개인정보 영향평가 수행 안내서
(2018. 04)
◈ 개인정보 영향평가 개요
1. 개념
○ 개인정보 영향평가 (이하 영향평가 )
- 개인정보파일을 운용하는 새로운 정보시스템의 도입이나 기존에 운영 중인 개인정보 처리시스템의 중대한 변경 시
- 시스템의 구축?운영?변경 등이 개인정보에 미치는 영향(impact)을 사전에 조사/예측/검토하여 개선방안을 도출하는 체계적인 절차
2. 목적 및 필요성
개인정보 처리가 수반되는 사업 추진시 해당 사업이 개인정보에 미치는 영향을 사전에 분석하고 이에 대한 개선방안을 수립하여 개인정보 침해사고를 사전에 예방
3. 평가 대상
일정규모 이상의 개인정보를 전자적으로 처리하는 개인정보파일을 구축운영 또는 변경하려는 공공기관은 개인정보 보호법 이하 ( “법”이라 한다 제33조 및 ?개인정보 보호법 시행령? (이하 “영”이라 한다) 제35조에 근거하여 영향평가를 수행
- (5만명 조건) 5만명 이상의 정보주체의 민감정보 또는 고유식별정보의 처리가 수반되는 개인정보파일
- (50만명 조건)해당 공공기관의 내부 또는 외부의 다른 개인정보파일과 연계하려는 경우로서, 연계 결과 정보주체의 수가 50만 명 이상인 개인정보파일
- (100만명 조건) 100만 명 이상의 정보주체 수를 포함하고 있는 개인정보파일
※ 현시점 기준으로 영향평가 대상은 아니나 가까운 시점(1년 이내)에 정보주체의 수가 기준을 초과할 것이 확실한 경우 영향평가를 수행할 것을 권고
- (변경 시) 영제35조에 근거하여 영향평가를 실시한 기관이 개인정보 검색체계 등 개인정보파일의 운용체계를 변경하려는 경우, 변경된 부분에 대해서는 영향평가를 실시
※ 법령상 규정된 대상시스템이 아니더라도 대량의 개인정보나 민감한 개인정보를 수집 이용하는 기관은 개인정보 유출 및 오 남용으로 인한 사회적 피해를 막기 위해 영향평가 수행 가능
4. 영향평가 평가 시기
1) 시스템을 신규 구축 또는 기존 시스템을 변경하는 경우
개인정보처리시스템을 신규로 구축 하거나 기존 시스템을 변경하려는 기관은 사업계획 단계에서 영향평가 의무대상 여부를 파악하여 예산을 확보한 후 대상 시스템의 설계 완료 전에 영향평가를 수행해야 함.
또한 영향평가 결과는 시스템 설계개발 시 반영해야 함(｢개인정보 영향평가에 관한 고시｣ 제9조의2)
2) 기 구축되어 운영 중인 시스템의 경우
○ 영향평가 유예기간은 ’16 9 , 년 월에 종료되었으므로 영향평가 의무 대상임에도 아직까지 영향평가를 수행하지 않은 경우 빠른 시일 내에 영향평가 수행 필요
○ 개인정보처리시스템을 기 구축 운영 중 아래의 경우 추가적으로 영향평가 수행 가능
- 수집 이용 및 관리상에 중대한 침해위험의 발생이 우려되는 경우
- 전반적인 개인정보 보호체계를 점검하여 개선하기 위한 경우
5. 평가 수행 주체
공공기관은 행정안전부장관이 지정한 영향평가기관에 평가를 의뢰하여 수행
※ 영향평가기관에 대한 정보는 개인정보보호 종합포털( www.privacy.go.kr )에서 확인 가능
6. 평가 수행 체계
영향평가는 행정안전부장관이 지정한 영향평가기관에 의뢰하여 영향평가를 수행하고 그 결과를 사업 완료 후 개월 이내에 행정안전부장관에게 제출 2 *
- 행정안전부장관은 개인정보보호위원회의 심의 의결을 거쳐 해당 사업에 대한 의견 제시 가능 ᛫
* 개인정보보호 종합지원시스템( http://intra.privacy.go.kr )에 등록
2018년 4월 10일 화요일
2018년 개인정보보호법 주요 개정내용과 준수해야 할 사항
2. 개인정보의 안전성 확보조치 기준
3. 개인정보보호법 개정 추진 현황
4. 개인정보 유출 사례
■ 최근 개인정보보호법 개정 주요 내용
1) 주민번호 전자적 보관시 반드시 암호화
적용시기 : - 100만명미만주민번호 : 2017.1.1.부터
- 100만명이상주민번호 : 2018.1.1.부터
※적용시점전까지,암호화,위험도분석또는영향평가결과에따라보관
2) 주민번호 처리 제한 강화
적용대상 : 모든 개인정보처리자(민간/공공)
처리기준 :
① 법령에서 구체적 요구 또는 허용
법률, 대통령령, 국회규칙·대법원규칙·헌법재판소규칙·
중앙선거관리위원회규칙및감사원규칙(2016.3.29.개정)
② 정보주체또는제3자의급박한생명, 신체, 재산상이익에필요
③ 행정자치부령으로 정하는 경우
※ 법령근거 없는 주민번호 2016.8.6.까지 파기의무(경과조치)
3) 민감정보 보호 강화
민감정보가 분실·도난·유출·위조·변조·훼손되지 않도록 안전성 확보조치 수행
4) 고유식별정보 보호 강화
고유식별정보의 안전성 확보조치를 하였는지 행정자치부가 2년 1회 이상 조사
▶ 의무대상 : 공공기관, 정보주체 5만명 이상의 고유식별정보처리자
▶ 조사방법: 온라인, 서면 조사
5) 정보주체 권리구제 강화
○ 징벌적 손해배상 : 고의·중과실로 개인정보를 유출한 기관에 가중된 책임을 물어 법원이 피해액의 최대 3배까지 배상액 부과
○ 법정 손해배상 : 개인정보유출등경우구체적피해액입증없이 법원을 통해 정해진 일정금액(300만원 이내)을 보상
6) 개인정보처리자 의무 강화
7) 개인정보보호 인증
8) 개인정보보호 책임자 지정 요건 강화
개인정보 보호책임자를 사업주, 대표자, 개인정보 처리 관련업무 부서장, 임원으로 지정하도록 함
9) 정보주체 보호 강화
10) 유출 신고 강화
개인정보가 유출된 경우 행정안전부, 전문기관(KISA)에 신고
기존 : 1만명 이상의 정보주체에 관한 정보 유출
개정 : 1천명 이상 유출시
☞ 첨부파일 : 2018년 개인정보보호법 주요 개정내용과 준수해야 할 사항(KISA 김호성)
2017년 7월 17일 월요일
개인정보 보호법에서의 동의, 고지, 통지, 공개의 차이
개인정보 보호법 및 하위법령, 고시 등에서는 각각의 개인정보 처리요건에 대해 동의, 고지, 통지, 공개 등의 용어가 사용되고 있어 이의 명확한 의미 및 규정예시를 정리함
▶ 동의
o 정보주체가 개인정보의 처리에 대해 허락･승낙하겠다는 의사표시(명시적 의사표시를 의미함)
※ (규정예시) 개인정보 수집･이용(제15조), 제3자 제공(제17조), 목적외이용 또는 제3자 제공(제18조), 민감정보 또는 고유식별정보 처리(제23조 또는 제24조) 등
▶ 고지
o 개인정보 처리에 대한 동의를 받는 경우, 처리목적 등에 관한 사항을 동의서 등에 명시하거나 구두로 정보주체에게 알려주는 행위
※ (규정예시) 개인정보 수집･이용(제15조), 제3자 제공(제17조), 목적외이용 또는 제3자 제공(제18조), 민감정보 또는 고유식별정보 처리(제23조 또는 제24조) 등
▶ 통지
o 개인정보 보호법이 정하는 일정 사항을 정보주체 개개인에게 도달되도록 알리는 행위 (서면, e-mail, 팩스, 전화, 문자전송 등)
※ 개인정보보호법에서는 “정보주체에게 알려야 한다”는 표현도 사용하고 있음
※ (규정예시) 홍보･판매권유 위탁 통지(제26조제3항), 영업양도 통지(제27조제1항), 개인정보 유출통지(제34조), 정정･삭제 및 처리정지 결과 통지(제36조, 제37조) 등
※ 수집출처 고지의무(제20조)는 ‘고지’라는 표현을 사용하고 있으나 해석상 ‘통지’에 보다 가까움
▶ 공개
o 개인정보 보호법이 정하는 일정 사항을 정보주체 누구나 용이하게 열람･확인 가능한 상태로 두는 것
※ (규정예시) 처리위탁 공개(제26조제2항), 개인정보 처리방침 공개(제30조), 영상정보처리기기 운영관리방침 공개(시행령 제25조), 개인정보 보호책임자 공개(표준지침 제23조), 개인정보파일 공개(제32조) 등
뉴딜코리아 컨설팅 사업부 (070-7867-3721, ismsbok@gmail.com)
2017년 7월 16일 일요일
개인정보 수집 동의서 개정 예고(2017년 7월 13일)
개인정보 수집 동의서
개인정보 보호법 시행령 및 시행규칙 개정 예정 (2017년 7월 13일)
□ 이젠 개인정보 수집 동의서 읽기가 한결 쉬워진다
- 자신의 개인정보 열람 및 삭제 요청 절차도 간편하게 개선 -
☏ 개인정보보호 컨설팅 전문기업 뉴딜코리아는
" 이번 제도 개선을 통해 국민의 개인정보 수집 동의권이 보다 강화되고, 스팸 전화·메일 등으로 인한 국민 불편이 줄어들 것으로 기대된다.”라며,
" 앞으로 정보주체의 의사를 명확히 확인하고, 개인정보 처리를 투명하게 하는 등 보다 성숙한 개인정보 보호문화가 정착되기를 바란다.”라고 말했다.
☞ 상세내용 : http://cafe.naver.com/rapid7/2937
2017년 4월 24일 월요일
개인정보보호위원회 「국회 개인정보 보호에 관한 규정」에 대한 개선권고 (2017.04. 18)
「국회 개인정보 보호에 관한 규정」에 대한 개선권고에 관한 건
개 인 정 보 보 호 위 원 회 결 정
의 안 번 호 제2017-08-73호
의 안 명 「국회 개인정보 보호에 관한 규정」에 대한 개선권고에 관한 건
의결연월일 2017. 4. 10.
주 문
1. 「국회 개인정보 보호에 관한 규정」(국회규정 제766호) 제5조 제1항에서 ‘필요한 범위 내에서’ 부분을 ‘불가피한 경우’로 변경할 것을 권고한다.
2. 「국회 개인정보 보호에 관한 규정」(국회규정 제766호) 제5조 제1항각 호의 사무 수행자가 업무 수행 시 필요한 최소한의 개인정보만 처리하도록 하기 위해, 처리가 가능한 개인정보의 범위를 한정하여 규정할 것과 민감정보와 고유식별정보의 처리가 불가피한 사무를 각각 별도의 조문으로 규정할 것을 권고한다.
이 유
국회 개인정보 보호 관련 규정
문제점 및 개선권고 사항
문제점 및 개선권고 사항
□ 개인정보 최소수집 원칙 위배
❍ 규정 제5조제1항에서는 사무총장 등이 각 사무 수행에 ‘필요한범위 내에서’ 민감정보 등을 처리할 수 있도록 규정
제5조(민감정보 등의 처리)
① 사무총장 및 국회 소속기관의 장은 다음 각 호의 사무를 수행하기 위하여 필요한 범위 내에서 법 제23조의 민감정보 및 제24조의 고유식별정보를 처리할 수 있다.
⇒ 각 사무 수행자의 판단에 따라 개인정보 수집 여부 및 그 범위가 정해질 경우 개인정보 최소수집 원칙에 위배되므로, 규정 제5조 제1항의 ‘필요한 범위 내에서’ 부분을 ‘불가피한 경우’로 수정할 것을 권고
□ 민감정보와 고유식별정보 처리가 불가피한 사무별 구분
❍ 규정 제5조 제1항 각 호의 사무 수행에 민감정보와 고유식별정보를 처리할 수 있다고 규정
제5조(민감정보 등의 처리)
① 사무총장 및 국회 소속기관의 장은 다음 각 호의 사무를 수행하기 위하여 필요한 범위 내에서 법 제23조의 민감정보 및 제24조의 고유식별정보를 처리할 수 있다. 1.~ 23. (생 략)
⇒ 각 사무의 수행자가 업무 수행 시 필요한 최소한의 개인정보만 처리하도록 하기 위해 처리가 가능한 개인정보의 범위를 한정하여 규정할 것과, 민감정보와 고유식별정보의 처리가 불가피한 사무를 각각 별도의 조문으로 규정할 것을 권고
< 수정 조문 예시 >
① ○○기관장은 다음 각 호의 사무를 수행하기 위하여 불가피한 경우 「개인정보 보호법」 제23조에 따른 건강에 관한 정보를 처리 할 수 있다.
② ○○기관장은 다음 각 호의 사무를 수행하기 위하여 불가피한 경우 「개인정보 보호법」 제24조에 따른 주민등록번호를 처리할 수 있다.
2016년 11월 15일 화요일
IoT 공통 보안 가이드
IoT 공통 보안
가이드
보안원칙1
정보보호와 프라이버시 강화를 고려한 IoT 제품·서비스 설계
1 IoT 장치의 특성을 고려하여 보안 서비스의 경량화 구현
2 IoT 서비스 운영 환경에 적합한 접근권한 관리 및 인증,종단간 통신 보안, 데이터 암호화 등의 방안 제공
3 소프트웨어 보안기술과 하드웨어 보안 기술의 적용 검토 및 안전성이 검증된 보안 기술 활용
4 민감 정보 보호를 위해 암호화, 비식별화, 접근관리 등의 방안 제공
5 민감 정보 수집목적 및 이용방법 등에 대한 운영정책 가시화를 통해 투명성 보장
보안원칙2
안전한 소프트웨어 및 하드웨어 개발 기술 적용 및 검증
6 보안 취약점 사전 예방을 위해 시큐어 코딩 적용
7 다양한 S/W에 대해 보안 취약점 점검 수행 및 보안패치 방안 구현
8 다양한 하드웨어 보안 기법 적용
▶ 배포·설치·구성 단계
보안원칙3
안전한 초기 보안설정 방안 제공
9 IoT 제품·서비스 설치 시 Secure by Default 원칙에 따라 파라미터 설정
보안원칙4
안전한 설치를 위한 보안 프로토콜 준수 및 안전한 파라미터 설정
10 안전성을 보장하는 보안 프로토콜 적용 및 보안 서비스 제공 시 안전한 파라미터 설정
▶ 운영·관리·폐기 단계
보안원칙5
IoT 제품·서비스의 취약점 보안패치 및 업데이트 지속 이행
11 IoT 제품·서비스의 보안취약점 분석 및 보안패치 이행
12 IoT 제품·서비스 보안 취약점 및 조치사항에 대해 공지
보안원칙6
안전한 운영·관리를 위한 정보보호 및 프라이버시 관리체계 마련
13 개인정보보호정책 수립 및 기술적·관리적 보호조치 마련
보안원칙7
IoT 침해사고 대응체계 및 책임추적성 확보 방안 마련
14 보안 침해사고에 대비하여 침입탐지 및 모니터링 수행
15 침해사고 발생 원인분석 및 책임 추적성 확보를 위해 로그기록 저장·관리
첨부 : IoT 공통 보안 가이드
loT_공통보안원칙_V1
피드 구독하기:
글 (Atom)