우키의 보안이야기

메일로  보안뉴스에서 온 내역입니다.  실제 교육은 소만사에서 진행하는 것입니다.
개인정보 관리자라면  교육을 받고 오시는것이 좋을 듯합니다
이런 행사에 가서 교육받은 수료증을 잘 보관해두시면  향후 개인정보관련 감사시에
개인정보에 노력을 기울인 근거들을 제출할 수 있으니  도움이 된다고 할 수 있습니다.
묘하게도 소만사 사이트에선 사전등록링크를 접근못하고  메일을 통해서만 되더군요..
아직 업데이트를 안했나?

사전등록: http://www.somansa.com/conf_regist.asp
약도보기: http://www.eltower.com/about/sub_01_07.htm

   과거 CRM열풍의 영향으로 기업들은  고객정보를 과도하게 수집해왔습니다.  필요하든 필요하지 않든 다양한 고객정보를 수집했고 이를 마케팅수단으로 활용해왔습니다.  물론 여러가지 효과도 본 것이 사실일 것입니다.   하지만 축적된 고객정보가 이젠 기업을 되려 불안에 떨게 하는 큰 불안요소가 되고 있습니다.  관리되지 않은 고객정보는 오히려 기업에 독이 될수도 있다는 사실을 GS칼텍스는 우리에게 알려주었습니다.
 
  GS칼텍스에서의 고객정보 유출 사건이후  행안부에서는 부랴 부랴 대책회의를 열었고  각 기업의 보안관리자들을 소집해서 집체교육까지 시켰더랬습니다.  교육명은 [민간기업 개인정보보호 실천 결의 대회및 인식 제고 교육] 이었죠..  9월 30일 (화) pm14:30부터 17:50 까지 코엑스 그랜드 볼룸 103호에서 진행되었었습니다.  행안부 주최, KISA 주관이었구요.. 아는 분이 참석했는데   현장에서 개인정보보호 실천 결의문까지 함께 결의했다고 합니다.

  아래에 결의문을 개제해봅니다. 아래 내역은 모든 보안관리자들이 알고  실천해야 할 부분이기도 하고  또 행안부에서 의지를 가지고 실행하려고 하는 내용이니깐  알아두시면 좋을듯 합니다. ^^  보안관리자 교육에 포함시켜도 좋을듯 싶습니다.

   행안부에서 개인정보 다량취급업체를 대상으로한 실태점검을 실시하며 법적 규제 강화할 예정이라고 합니다. 행안부 사이트에 관련 보도자료가 공개되었으며  언론에도 게재된바 있습니다.  보도자료 원문은 HWP파일도 작성되어 있으며  아래의 글은 보도자료를 기초로 해서 정리해본것입니다.
<< 행안부사이트에서 보도자료 보기 >>
행안부 사이트: http://www.mopas.go.kr

▶ 추진 배경
  GS칼텍스 개인정보 유출사고와 관련하여  방송통신위원회, 금융위원회, 지식경재부, 한국정보보호진흥원 등 관계기관 및 정보화 추진 실무위원등 전문가와의 합동회의가 2008년 9월 9일 열렸습니다.  올해들어 굵직굵직한 개인정보 유출사고가 빈발하고 있어서 예견된 일이었다라고 생각이 듭니다.    합동회의 결과  개인정보 다량 취급사업자 개인정보 유출방지 대책을 마련하고 , 신속히 추진하기로 하였다고 합니다.  이번에 문제가 발생한 GS칼텍스의 경우는 개인정보보호 관련 법령을 적용받지 아니하는 업체라는 점에서 개인정보 보호에 관한 법적 관리체계의 정비가 필요했다는 것이죠..

▶ 대책 개요
  개인정보를 다량 취급하는 업체에 대한 지도점검과 개인정보 보호 교육, 법/제도 개선방안등 제안하였습니다.

▶ 대책 세부 내용 (보도문에 있던것을 정리하였습니다.)
  1. 범부처적인 개인정보 개인정보 실태점검을 추진한다.
     -  10월까지 현행 정보통신망법, 신용정보보호법등 개인정보보호 관련 개별 법률을 적용받고있는 사업자에 대하여 소관부처에서 개인정보관리 실태 전반을 점검 
     -  법 위반 사업자에 대해서는 시정명령, 과태료, 형사고발 추진 등 행정제재와 함께 위반사실을 언론등에 공개한다.  (형사고발도 그렇지만…  언론에 공개하는것이 가장 무서울듯하군요… 요즘 워낙 민감한지라… 아래 사업자군에 해당되신 분들은  대책을 세우셔야 할듯 싶습니다.)
     – 정보통신망법에 포함되는 사업자군:
        유/무선 통신사, 초고속인터넷업체, 포털등 정보통신사업자, 여행업, 호텔업, 항공사, 학원, 교습소, 휴양콘도미니엄업, 할인점,백화점, 쇼핑센타, 체인사업자등 준용사업자  (안들어가는게 별로 없군여…^^)
     – 신용정보의 이용및 보호에 관한 법률에 포한되는 사업자군: 은행, 보험사,증권사

  2. 사업자의 인식제고를 위한 교육을 실시한다.
    – 9월중 관련 사업자 협회등과 연계하여 개인정보보호 교육을 실시하고  개인정보보호 메뉴얼을 제작 배포

  3.  정보통신망법 적용 대상 업체를 확대하여 법적 관리체계를 강화한다.
    – 다량의 개인정보를 취급하고 있으면서 개인정보보호 관련 법령을 적용받지 아니하는 업체 (정유업체, 결혼중개업체, 대형서점) 등에 대하여는  관계부처와 협의를 거쳐 정보통신망법상 개인정보보호 의무를 따르도록(준용사업자) 시행규칙을 개정하여 개인정보보호법 제정 전까지는 정보통신망법상 개인정보의 수집ㆍ이용ㆍ제공 시 동의, 개인정보시스템에 대한 접근권한통제 등 개인정보보호 의무를 적용

   4.  개인정보 보호법 연내 개정을 적극 추진한다.
    – 공공ㆍ민간의 모든 개인정보처리자에 대하여 개인정보 수집ㆍ이용ㆍ제공 등 단계별 보호기준을 제시하고, 개인정보 보호를 위한 관리적ㆍ기술적 보호조치 의무를 적용토록 할 계획이다.
    -  동법에 따라 개인정보의 제3자 불법 매매, 무단 유출 시 형사처벌을 강화하고, 개인정보처리 위탁시 수탁업체의 자격ㆍ기준, 관리ㆍ감독, 유출 시 배상책임을 엄격히 규정할 계획이다

▶  행안부의 중점 강조 사항
    1. 대량 개인정보 유출의 재발방지를 위해서는 기업CEO차원의 적극적 관심과 의지가 절대 필요하다.
    2. 개인정보를 다량관리하고 있는 업체는 다음의 사항을 점검및 관리/감독해야 한다.
       -  개인정보의 암호화 여부
       -  DB에 대한 접근 권한
       -  제반 보안조치를 전면 재점검
       -  개인정보처리 위탁하고있는 수탁업체의 적격정 확인,  관리/감독 강화

방송통신위원회와 한국정보보호진흥원에서 개인정보 오남용 피해 예방 10계명을 발표했다고 합니다. 개인정보를 수집하고 관리하는 기업에 대한 정책이나 규재도 함께 발표해준다면 더 좋겠다는 생각이 듭니다.  어쨋든 내 개인정보가 새어 나가면 결국 내 손해니깐..  각 개인들이  개인정보 관리에 만전을 기해야할듯 싶습니다.

10계명에 제가 조금씩 첨언을 해보았습니다.  사족이 될 듯하기도 하지만 제목만 쓰기엔 왠지 부족한듯 해서리…

<개인정보 오남용 피해예방 10계명>

제 1계명. 회원가입을 하거나 개인정보를 제공할 때에는 개인정보취급방침 및 약관을 꼼꼼히 살펴야 한다. (개인정보취급방침이 없는 사이트는 가입하지 않는다.)
 –> 저두 대충 읽고 동의하곤했는데 이젠 꼼꼼히 읽어야 할듯합니다. 개인정보에 관한 약관을 특히 자세히 읽어주세요. 약관이 허술하거나  불공정하다면 절대로 가입하지 않아야 합니다.

제 2계명: 회원가입 시 비밀번호를 타인이 유추하기 어렵도록 영문·숫자 및 특수문자를 조합하여 8자리 이상으로 설정한다.
–> 패스워드는 절대로 복잡하게 만들어야합니다. 문자사이에 스페이스를 넣는 것도 좋은 방법이고  길수록 좋습니다. 패스워드가 아니라 패스문장이 되도록 하면 사용자입장에선 쉽지만 해커입장에선 어렵겠죠?

제 3계명: 가급적 안전성이 높은 주민번호 대체수단(아이핀: i-PIN)으로 회원가입을 하고 꼭 필요하지 않은 개인정보는 입력하지 않는다.
–>음.. 이부분은 글쎄요란 생각이 드네요.. 아이핀은 효과가 있을지…. 이미 전국민의 주민번호가 다 새어나간 상황에서 주민번호를 사용한다는것 자체가 불안합니다.  뭔가 대안이 있어야할듯한데… 말이죠…  쓸데없이 개인정보를 많이 입력하게 하는 사이트엔 절대로 가입하지 마시길 권해드립니다. 개인정보는 꼭 필요한 만큼만 최소한도로 수집되어야 합니다.
–>참고사이트 : http://www.1336.or.kr)

제 4계명: 자신이 가입한 사이트에 타인이 자신인 것처럼 로그인하기 어렵도록 비밀번호를 주기적으로 변경한다.
–> 패스워드를 주기적으로 변경하는것이 좋습니다.  중요한 사이트라면 3개월에 한번씩은 변경하는 것을 권해드립니다.  패스워드도  여러개를 다르게 사용하는 정책을 가지고 계시면 좋을 듯 합니다.   그리고 사이트들에 가입시 중요도 레벨별로 아이디/패스워드를 달리하는것이 좋습니다. 모든 사이트들에 다른 아이디로 가입하는 것은 불가능하므로  등급을 나눠  3-5개정도의 다른 아이디/패스워드를 사용하되  해당사이트가 몇 레벨인지만 기억하면 될듯합니다. 

제 5계명: 타인이 자신의 명의로 신규 회원가입 시 즉각 차단하고 이를 통지받을 수 있도록 명의도용확인서비스를 이용한다. 
–> 어쨋든 대안이  될수 있으니 참고하세요.. 
-크레딧뱅크(http://www.creditbank.co.kr)
-사이렌24(http://www.siren24.com)
-마이크레딧(http://www.mycredit.co.kr) 

제 6계명: 자신의 아이디와 비밀번호, 주민번호 등 개인정보가 공개되지 않도록 주의하여 관리하며 친구나 다른 사람에게 알려주지 않는다.
–>  어떤 경우에도 자신의 아이디/패스워드/주민번호를 알려주지 마세요. 가족에게도 알려주지 않는 것이 좋다는거…  ^^   어쨋든 그런 정신으로  아이디/패스워드를 관리해야합니다.  모니터에 아이디/패스워드 메모지로 붙여두고 사용하는 몰지각한 사람들도 본적이 있습니다.  PDA에 개인정보등 중요 정보를 보관하는것도 문제가 될수있습니다. PDA는 암호화가 안되거든요..  PC에도 마찬가지이구요..  엑셀도 암호를 걸어서 보관이 가능하므로  중요 정보라면  중요정보에 걸맞게 관리해주시길 바랍니다. 

제 7계명: 인터넷에 올리는 데이터에 개인정보가 포함되지 않도록 하며 P2P로 제공하는 자신의 공유폴더에 개인정보 파일이 저장되지 않도록 주의한다.
–> P2P는 아예 사용하지 않기를 권해드립니다.  혹 사용할시엔  필히 별도의 드라이브에 따로 공유를 지정해서 사용하시되 개인정보 파일이 결코 포함되지않도록 하시는것이 좋습니다. 그런 면에서 USB이동디스크를 공유로 사용하시는것도 좋을듯합니다. 사용하지않을때 쉽게 뺄수도 있구요…  인터넷에  개인정보가 포함된 text를 입력하거나 파일을 올리지 않도록 하시구요… ^^

제 8계명: 금융거래 시 신용카드 번호와 같은 금융정보 등은 암호화하여 저장하고 PC 방 등 개방환경에서는 개인정보를 입력하지 않는다.
–> PC방이나 관공서의 PC에서 금융거래를 하거나 중요한 사이트를 사용하는것은 매우 조심하셔야합니다.  누가 어떤 자료를 보고있는지 확인이 불가능합니다 .PC에 해킹소프트웨어가 설치되어 있을수도 있으며  네트웍단에서 스니핑을 하고 있을수도 있습니다.  PC방의 컴퓨터에 USB를 사용하다 해킹소프트웨어가 묻어 들어올수도 있으므로  주의가 필요합니다.

제 9계명: 인터넷에서 아무 자료나 함부로 다운로드 하지 않는다.
–> 파일을 다운로드 받을시 출처가 확실한 곳에서만 다운로드하시길 바랍니다. 출처가 확실할 경우에도 다운로드후 백신으로 검사하는 것이 꼭 필요합니다.  특히 E-donkey의 경우 별도의 관리자도 없기때문에 무수히 많은 해킹소프트웨어가 존재한다는거… 인지해야합니다.  P2P를 즐겨 쓰시는 분들 대부분이 해킹소프트웨어가  PC에 즐비하다는거…  다들 아시리라 생각합니다. 

제10계명: 개인정보가 유출된 경우 해당 사이트 관리자에게 삭제를 요청하고 처리되지 않는 경우 즉시 개인정보침해신고센터(1336, http://www.1336.or.kr/)에 신고하는 것을 생활화한다.