개인정보보호위원회(개인정보위)가 공공시스템 취약점 점검·침투테스트 의무에 대한 해설을 새로 담은 「개인정보의 안전성 확보조치 기준」 안내서를 개정해 발간했다고 밝혔다. 안내서에서 다루는 인증수단을 7종에서 12종으로 늘렸고, 인공지능·양자내성암호 등 달라진 기술환경과 현장에서 자주 묻는 질문도 반영했다.
새로 들어간 해설은 지난 7월 1일 개정된 고시 내용을 설명한다. 개인정보위는 외부 해킹으로 인한 공공부문 개인정보 유출사고를 예방하기 위해 고시를 개정했다. 개정 고시는 공공시스템을 대상으로 취약점 점검과 침투테스트를 연 1회 이상 시행하고, 점검에서 확인된 취약점을 지체 없이 보완·개선하도록 했다. 안내서에는 이 조항에 대한 해설과 관련 자주 묻는 질문(FAQ)이 추가돼, 공공시스템운영기관이 의무를 이해하고 이행할 때 참고할 수 있다.
인증수단은 비밀번호·OTP·SMS 등 7종에서 패스키·QR코드·모바일앱 등을 포함한 12종으로 늘었다. 인공지능과 관련한 예시도 추가했다.
양자컴퓨팅 기술 발전으로 미래 암호체계가 바뀔 가능성에 대비해 양자내성암호 도입에 관한 내용도 넣었다. 암호키 관리의 중요성을 강조하는 내용도 추가했다. 암호키가 응용프로그램의 소스코드나 설정파일 등에 평문으로 저장되지 않도록 주의하라는 것이다.
질의응답에는 시스템 간 정보 연계 등에 쓰이는 응용프로그램 인터페이스(API)를 안전하게 이용·관리하기 위한 점검사항을 새로 넣었다. 시스템 업데이트가 늦어질 때 고려해야 할 안전조치에 대한 설명도 보완했다. 비밀번호 작성규칙에 관한 답변에는 국제 동향을 반영해, 비밀번호를 너무 자주 바꾸면 기억하기 쉬운 단순한 비밀번호를 쓰게 되는 등의 부작용이 있을 수 있다는 내용을 실었다.
이상민 개인정보위 개인정보정책국장은 "금번 안내서 개정을 통해 안전조치 기준에 대한 현장의 이해를 높이고, 개인정보처리자가 업무환경에서 안전조치를 적용할 때 발생할 수 있는 혼선을 줄일 수 있을 것으로 기대된다"고 말했다. 이 국장은 앞으로도 개인정보 처리환경과 기술 변화 등을 고려해 안내서를 보완해 나갈 계획이라고 밝혔다.