전세계적으로 개인정보 비식별화 움직임 활발
유럽연합의 개인정보보호법(GDPR)을 시작으로 개인정보주체자의 권리 보장을 위한 본격적인 규제가 진행되고 있습니다. 개인정보를 활용하기 위해서는 가명화 및 익명화 등의 장치가 잘 이루어져하 합니다. 이런 개인정보의 가명화 및 익명화 조치가 바로 비식별화 조치입니다.
유럽 개인정보보호법 (GDPR)은 개인정보보호에 대한 권리를 보호하고, EU 역내에서 개인정보의 자유로운 이동을 보장하는 것을 목적으로 제정됐습니다. GDPR은 개인정보 삭제권, 처리 제한권, 개인정보 이동권, 반대권 등의 신규 권리 추가 및 기존 권리를 명확하게 해 95년 지침보다 정보주체의 권리를 확대 · 강화한 것이 특징입니다.
GDPR Compliance : It’s Time To Protect Your Users Data (출처 : hackernoon.com)
위의 내용만 보면, 개인정보 규제에 대해서만 강력하고 활용에 대한 보장은 없는 것처럼 보이지만, 절차 및 컴플라이언스만 준수한다면 일정수준의 범위안에서는 개인정보의 활용을 보장하는 법안이기도 합니다.
GDPR의 정보보호조치는 가명화 및 익명화로 구분되는데, 가명처리는 말그대로 데이터에 가명처리를 하여 벌도로 보관하는 방식입니다. 일반적으로 말하는 데이터 암호화로 데이터 전체를 비식별화 하는 방식입니다.
또한, 익명화가 있습니다. 익명화는 개인정보에 익명처리 기술을 통해서 일정 부분만 비식별화 처리하는 방식입니다. 대표적으로 데이터 마스킹(Data Masking)이 있습니다. 예를 들면 데이터의 생년월일 또는 이름, 주민등록번호만 숨기고 저장하는 것을 생각하면 됩니다.
컴플라이언스 측면에서 보면 대한민국에서는 개인정보보호법, 유럽에서는 GDPR이 제정되어 있으며, 미국에서는 표준기술연구소(NIST)에서 개인정보 활용을 위한 표준을 제정 중에 있습니다.
비식별 조치 및 사후 관리 절차(출처: 금융보안원)
대한민국 개인정보보호법
→ 제 23조 (민감정보의 처리 제한)
② 개인정보처리자가 제 1항 각호에 따라 민감정보를 처리하는 경우에는 그 민감정보가 분실/도난/유출/위조/변조 또는 훼손되지 아니하도록 제29조에 따른 안전성 확보에 필요한 조치를 하여야 한다.
→ 제 24조 (고유식별정보의 처리 제한)
③ 개인정보처리자가 제 1항 각호에 따라 고유식별정보를 처리하는 경우에는 그 고유 식별정보가 분실/도난/유출/위조/변조 또는 훼손되지 아니하도록 대통령령으로 정하는 바에 따라 암호화 등 안전성 확보에 필요한 조치를 하여야 한다.
→ 제 24조의 2 (주민등록번호 처리의 제한)
② 개인정보처리자는 제24조 제3항에도 불구하고 주민등록번호가 분실/도난/유출/위조/변조 또는 훼손되지 아니하도록 암호화 조치를 통하여 안전하게 보관하여야 한다. 이 경우 암호화 적용 대상 및 대상별 적용 시기 등에 관하여 필요한 사항은 개인정보의 처리 규모와 유출 시 영향 등을 고려하여 대통령령으로 정한다.
→ 제 29조 (안전조치의무)
개인정보처리자는 개인정보가 분실/도난/유출/위조/변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적, 관리적 및 물리적 조치를 하여야 한다.
유럽의 GDPR(개인정보보호법)은 개인정보 가명화를 강조
김기태 탈레스 이시큐리티 한국지사장에 따르면, GDPR에서는 개인정보가 저장될때 가명화 처리되어 저장되는 기술이 매우 중요합니다.
데이터마스킹(Data Masking) 기술에 가명화 요건까지 충족하기 위한 기준은 아래와 같습니다.
마스킹으로 변환되는 값이 유일할 것
마스킹된 값으로부터 원본을 유츄할 수 없어야 할 것
시스템상 원본이 존재하지 않기 때문에 서비스 고가용성을 갖출 것
애플리케이션 내부에서도 복원되지 않는 동적 마스킹 기술이 적용
비식별 조치 방법 예시 (출처: 금융보안원)
재식별 판별을 위한 4가지 기준 (출처: 금융보안원)
※ 개인정보 비식별 조치 가이드라인에서는 비식별 조치 방법에 대해 가명처리, 총계처리, 데이터 삭제, 데이터 범주화, 데이터 마스킹 등 여러 가지 기법을 단독 또는 복합적으로 활용하라고 명시하고 있습니다.
탈레스 이시큐리티의 보메트릭 솔루션은 EU GDPR에 대해서 토큰화 기술을 사용해 가명처리 기법을 구현하였습니다.
탈레스 이시큐리티의 ‘보메트릭 토큰화’는 형태 보존 토큰화 기술을 사용해 데이터베이스 내의 민감한 필드를 형태 변경 없이 보호할 수 있게 지원합니다. ‘보메트릭 토큰화’를 사용하면 운영계 시스템 내 개인정보를 비롯한 모든 민감한 정보를 가명화함으로써 GDPR 뿐만 아니라 HIPAA, PCI-DSS 등 전세계의 모든 컴플라이언스를 준수할 수 있습니다.
‘보메트릭 토큰화’는 애플리케이션에 정책 기반의 동적 데이터 마스킹을 빠르고 쉽게 추가할 수 있도록 만들어 주며, 동적 데이터 마스킹은 역할과 템플릿 기반으로 구현되므로 다양한 마스킹 요구 사항을 쉽게 반영할 수 있습니다. 결과적으로, 비용과 복잡성을 감소시키고 성능을 향상시킬 수 있으며, 글로벌 규모와 고가용성을 보다 쉽게 확보할 수 있습니다.
▣ 보메트릭 토큰화에 대한 자세한 정보 : https://itblog.imarketkorea.com/464
GDPR에서 요구하는 가명 처리는 소스 데이터의 포맷을 유지하며 데이터를 인식이 불가능한 형태로 만드는 것입니다. 그러나 저장하고자 하는 데이터 유형이 텍스트 파일, PDF, MP3 등의 형식인 비정형 데이터의 경우, 가명화는 개인정보보호를 위한 적절한 솔루션이 되지 못합니다. 이 경우에는 파일 시스템 레벨의 암호화가 더 적절합니다.
특히, 대한민국에서는 개인정보보호법을 통해서 강력하게 규제하고 있으므로 상황에 따라 가명화, 익명화를 선택하여 암호화하는 전략이 반드시 필요합니다.
각종 컴플라이언스 규제를 준수하기 위한 비식별화(암호화) 기술을 제공하는, Thales Vormetric 솔루션에 대한 문의는 아래의 아이마켓코리아 담당자에게 문의주시기 바랍니다.
윤 용 비
대리 │ IT 솔루션 영업팀
TEL : 02-3708-8365
E-mail : security.yun@imarketkorea.com
서울특별시 강남구 삼성동 삼성로512 삼성동빌딩 16층 우)135-090
'보메트릭 암호화 솔루션' 카테고리의 다른 글
| Vormetric Container Security -도커(Docker) 및 오픈시프트(OpenShift) 환경의 저장 데이터 보호 (2) | 2019.04.24 |
|---|---|
| Vormetric Live Data Transformation Extension - 암호화된 데이터의 키를 무중단 교체 (0) | 2019.04.22 |
| [다크트레이스, 보메트릭] 도요타 APT 공격, 310만 개인정보 유출 사고 발생 (0) | 2019.04.08 |
| [탈레스 보메트릭] 2019년 세계보안엑스포(SECON) 개인정보보호 주요 이슈 (0) | 2019.03.30 |
| [탈레스 보메트릭] 대한민국 개인정보 보호법(PIPA) 준수, 암호화 솔루션 (0) | 2019.02.27 |
| [탈레스] 보메트릭 솔루션, 기업 비정형데이터를 효과적으로 암호화 (0) | 2019.01.31 |
| 보메트릭 암호화 솔루션 - 토큰화 데이타 마스킹 (Tokenization Data Masking) (0) | 2019.01.16 |
| 보메트릭 솔루션을 활용한 암호화 정책 설정 예시 및 구축 사례 (로그, 팩스) (0) | 2019.01.16 |
| [Vormetric] DBMS MS-SQL 암호화를 지원하는 보메트릭 솔루션 (0) | 2019.01.14 |
| [탈레스 보메트릭] 빅데이터, 비정형데이터에 가장 적합한 암호화 방법은? (0) | 2018.12.31 |
