가끔 뉴스에서 기업의 개인정보 유출(누출)을 접할 수 있는데, 고객 정보를 다루는 모든 기업들은 개인정보 유출의 위험에 노출되어 있습니다. 한번 개인정보 유출이 발생하면 기업에 큰 피해가 발생하기 때문에 기업들은 평상시부터 개인정보에 대한 보안대책을 마련해야 한다. 이 글에서는 개인정보 유출 및 유출의 원인과 기업이 취해야 할 개인정보 보안 대책에 대해 폭넓게 설명합니다.
개인정보의 정의와 유출, 누출이 어떤 상태를 의미하는지에 대해 설명합니다.
개인정보란 특정 개인을 식별할 수 있는 정보를 말하며, 구체적으로는 이름, 생년월일, 주소, 혈액형, 성별, 직업, 전화번호, 소득, 생체정보, 신용카드번호, 금융기관 정보, 그리고 비밀번호 등을 들 수 있습니다.
개인정보 유출이란 개인정보 보유자 및 개인정보에 해당하는 자의 의도와는 달리 정보가 제3자에게 넘어가는 것을 말합니다. 개인정보보호법에서는 데이터의 내용이 손실되는 '멸실'과 의도하지 않은 형태로 변경되는 '훼손'도 총칭하여 '유출 등'으로 정의하고 있습니다.
인위적 실수, 외부 공격 등 기업에서 발생하는 개인정보 유출의 주요 원인을 소개합니다.
개인정보 유출을 방지하기 위한 구체적인 8가지 대책을 소개합니다.
오발송 사례를 직원들에게 공유하는 등 직원 개개인의 인식 개선에 힘써야 한다. 하지만 단순히 수신인을 잘못 보내지 않도록 하는 것만으로는 한계가 있습니다. 메일 오발송 방지 툴의 '외부 주소나 신규 발신자 알림 기능', '일시 보류 및 상사의 승인 기능' 등의 기능을 활용하는 것도 고려해 볼 수 있습니다.
노트북, 스마트폰 등 휴대 가능한 단말기를 통한 업무가 어느 기업에서나 증가하는 추세지만, 업무에 사용하는 디바이스를 외부로 반출할 경우 분실이나 도난으로 인한 개인정보 유출의 위험이 있다. 업무 범위를 벗어난 부주의한 반출을 금지하고, 반출을 허용하는 단말기를 제한하는 등 운영 규칙을 정해야 한다. 원격으로 정보를 삭제할 수 있는 솔루션 등도 효과적이다. 또한, 반출 금지는 보안 수준이 낮은 개인용 기기로부터의 악성코드 감염을 방지할 수 있는 대책이 될 수 있습니다.
악성코드 등 외부 공격에 대한 가장 효과적인 대책은 EPP의 안티바이러스 기능과 EDR의 활용이다. 사이버 공격의 탐지, 식별, 삭제, 격리 등 제품에 따라 기능은 다양하다. 공격 수법이 점점 더 교묘해지고 있기 때문에 항상 최신 버전으로 업데이트해야 한다.
아이디와 비밀번호의 적절한 관리는 보안의 기본이다. 타인에게 함부로 알려주거나 눈에 잘 띄는 곳에 두지 않는 것은 물론, 쉽게 추측할 수 없는 비밀번호를 설정하고 반복해서 사용하는 것은 피해야 한다.
보안 시스템을 도입했다면 업데이트를 통해 최신 상태를 유지하는 것은 물론, 주기적으로 최신 공격에 대한 정보를 수집해야 한다. 만약 취약점이 발견되면 시스템 보수나 새로운 솔루션 도입 등의 대책이 필요하다.
개인정보 관리는 철저하게 관리해야 한다. 자리를 비울 때는 기기를 잠그고, 문서를 파기할 때는 파쇄하고, 데이터 삭제는 기기를 물리적으로 파괴하거나 완전히 삭제하는 전문 서비스를 이용하는 등 평상시 의식적으로 행동하는 것이 중요합니다.
개인정보 유출을 예방하기 위해서는 정보를 다루는 모든 직원이 함께 노력해야 합니다. 사내 규칙을 만들어 시행하고, e러닝 활용을 포함한 정기적인 교육을 실시하여 보안에 대한 이해도를 높일 수 있도록 보안 교육을 철저히 해야 합니다.
평소에 보안 의식을 높이고 사내 규칙에 따라 행동하더라도 교묘한 외부의 사이버 공격이나 인위적인 실수로 정보 유출이 발생할 수 있습니다. 이때 사내에서 즉시 공유하여 피해를 최소화할 수 있도록 초기 대응 대응 플로우까지 포함한 예방 매뉴얼을 작성해 두어야 합니다.
→관련 기사] 정보 유출 대책은 어떻게 해야 할까? 원인과 사례, 유출 후 대처법도 소개합니다.
정보 유출이 발생했을 때 기업이 해야 할 일은 '포렌식 조사'입니다. 어떤 조사인지 소개합니다.
법과학의 한 분야로, 디지털 기기에 저장된 정보를 수집, 분석하여 범죄나 부정행위의 증거를 밝히는 조사를 말합니다. 원인을 규명함으로써 재발 방지책을 세울 수 있고, 책임 소재를 밝혀 자사가 소송에 휘말렸을 때를 대비할 수 있습니다.
방대한 양의 데이터를 다루는 현대의 포렌식 조사에서 AI 활용은 이제 필수입니다. 전문가가 검토한 소수의 샘플 파일로 AI에 판단 기준을 학습시켜 대량의 데이터를 관련성이 있는 데이터와 그렇지 않은 데이터로 분류하게 한다. 조사 초기에 해야 하는 간단한 데이터 분류 작업을 소수의 인원으로 단시간에 처리할 수 있어 조사의 효율성을 높일 수 있을 뿐만 아니라, 전문가의 자원 집중을 통한 정확도 향상도 기대할 수 있다.
→관련 기사] 정보유출 조사란? 조사 방법 및 사례, 조사 업체를 선택하는 방법을 설명합니다.
실제 프론테오에서 수행한 개인정보 유출 관련 포렌식 조사 사례를 소개합니다.
한 기업의 PC가 악성코드에 감염된 것이 발견되어 개인정보 유출이 의심되는 사건이 발생하여 전문 조사기관인 프론테오에 포렌식 조사를 의뢰하였습니다. 감염 경로 파악과 감염된 단말기의 정보 유출 흔적을 추적하게 되었습니다.
수백 대의 단말기를 대상으로 분석 툴을 통한 분석을 실시하여 공격 경로를 가시화하여 피해 단말기를 파악했다. 또한 다크웹에서 유출된 정보가 거래되고 있는지 30여개에 달하는 사이버 암시장을 대상으로 조사를 실시했습니다. 조사 결과, 정보 유출이 발생한 PC를 파악할 수 있었을 뿐만 아니라, 다크웹에도 정보가 유출되고 있다는 사실까지 확인할 수 있었습니다.
자세한 조사 내용은 '악성코드 감염으로 인한 개인정보 유출 조사'에서 확인하실 수 있습니다.
FRONTEO는 2003년 창업 당시부터 일본 포렌식 조사의 선구자로서 다양한 기업의 과제 해결에 힘써왔습니다. 뛰어난 경험을 바탕으로 한 기술과 노하우는 정평이 나있습니다.
자체 개발한 AI 엔진 KIBIT을 활용하여 문서 검토 시 대폭적인 노동력 절감과 비용 절감을 실현하는 등, 사건 대응 경험과 자체 AI 엔진을 접목하여 타사에서는 불가능한 높은 정밀도와 효율성을 실현하고 있습니다.
일본과 한국에 데이터센터를 두고 있어 보안 대책도 만전을 기하고 있습니다. 고객사의 본사, 현지 법인, 로펌 등 3곳을 대상으로 원활한 서비스를 제공합니다. 글로벌 오퍼레이션으로 신속한 지원을 제공합니다.