개인정보 유출로 인한 기업의 책임을 줄이기 위한 전략

인용 및 출처 : 알기쉬운 개인정보보호의 이해와 활용(저자 : 이기혁, 이강신, 박진식, 최일훈)

개인정보의 유출로 집단소송이 가능함에 따라 피해 보상금이 기업의 재무와 주가에 직접적인 영향을 미치고 있다. 따라서, 기업의 입장에서는 피해 보상금 또는 위자료 판단 기준를 살펴봄으로써 "보안 경영" 측면에서 어떠한 대비를 해야하는지 검토할 필요가 있다.

1. 개인정보 유출사고 단계별 위자료 산정시의 고려요소

사고의 단계	영향 요소
사고발생 이전	개인정보의 수집 목적
	해당 기업의 규모 및 성격
	사전 보안 조치 여부
사고의 내용 및 경위	유출의 주체
	개인정보 유출 사고에 있어서의 고의, 과실의 유무 및 그 정도
	유출 정보의 규모 및 성격, 전파가능성
사고 이후의 조치	사후조치의 신속성, 적절성
	피해자에 대한 사고의 고지 및 피해회복조치의 유무
	2차적 피해 발생 여부

2. 개인정보 유출 사례에서의 위자료 산정시 고려요소

영향 요소	N온라인 게임업체	K은행 사건	L전자 사건
	1심판결 : 50만원 2심판결 : 10만원	1심판결 : 10만원 2심판결 : 20만원	1심판결 : 70만원 2심판결 : 30만원
개인정보 수집목적		- 2심: 영리목적	- 2심: 영리목적
사전 보안조치 여부			- 2심: 당시의 기준수준에    비추어 충분하다고는 볼    수 없으나 나름대로의 보    보안조치를 취함
고의, 과실의 유무 및 그 정도		- 2심: 피고 직원의 단순 실    수 및 약관상에서 개인정보    유출시 책임 규정	- 2심: 제3자의 범죄행위가    직접적 원인
유출정보의 규모 및 성격, 전파 가능성	- 2심: 유출된 사람은 40~    50만명으로 추산되며,    사고기간이 5일에 불과	- 1심    * 이메일을 전송받아 열람      한 641명은 피해자임    * 유출된 파일이 개인의      이메일 계정으로 전송    * 이메일 주소는 다른 개인      정보와 결합하지 않으면      신분도용 등의 피해가 발      생하기 어려움  - 2심    * 성명, 이메일주소, 특히      주민번호는 신분도용의      문제까지 발생할 수 있는      중요 정보임    * 암호화하지 않음    * 정보는 결합함으로써 개      인의 식별가능성이 커지      는데 결합되어 유출	- 1심    학력사항, 자기소개 등    개인적으로 상당히 민감    한 정보임을 고려하되,    원고들의 성명, 주민번호    등 직접 불법적인 용도에    사용되기 쉬운 정보는    열람되지 않음  - 2심    * 사적인 영역의 민감한       정보까지 침해    * 성명, 주민번호가 열람       되지 않음    * 원고의 신원을 구체적       으로 특정하기는 어려       움    * 원개인정보가 저장이나       재전송이 어려운 방식       으로 열람됨
사호조치의 신속성, 적절성	- 2심: 시스템 패치작업,    비밀번호 강제변경 등의    사후조치	- 1심    * 1시간 이내에 사고를 인       지하고 이메일 발송을       강제 중단    * 포털사이트 운영자에게       이메일을 회수하여 줄       것을 요청	- 1심    * 게시된 지 55분 후에      삭제    * 1시간 38분 후에는 채용      사이트 서버의 접속차단  - 2심    * 시스템 모니터링이 아      니라 다른 인터넷 게시      판의 모니터링을 통하      여 이 사건 사고가 발견    * 사고발생 후 해킹방지      시스템을 보완하는 등      의 조치
피해자에 대한 사고의 고지 및 피해회복 조치의 유무	- 1심: 별다른 보상 조치를     취한 바가 없음	- 2심: 개인정보 도용의 위험    이 완전히 제거되지 못한    점(정보도용차단서비스가    제3자의 정보도용 시도에    대한 완벽한 차단책이 되지    못하고, 서비스 제공시기도    1년간으로 제한)	- 2심    * 이메일 등을 통하여      안내하지 않음    * 개인정보 유출여부,      유출된 정보가 무엇인      지 확인하여주지 않음    * 미흡하나마 사과 및 재      발방지를 다짐한 점
2차적 피해 발생 여부	- 1심: 현실적, 경제적으로    입은 손해는 확인되지    아니한 점  - 2심: 실제로 도용되었다    는 사실이 밝혀지지 아니    한 점	- 1심: 악용, 도용 사실이 구    체적으로 증명되지 않음	- 1심: 정보가 외부에 확산    되거나 불법적인 용도에    사용되지 않음  - 2심    * 2차적인 피해 확산가능      성은 높지 아니함    * 정보가 외부에 확산되      거나 불법적인 용도에      사용되지는 않음

K 은행의 경우 주민번호까지 유출되었지만 주민번호가 아닌 민감정보가 유출된 L 전자의 위자료가 더 크게 나왔다. 각 사의 대응/조치 소요 시간이 1시간 이내와 55분/1시간 38분 차이는 있지만 민감정보를 더 중요시 하는건 아닌지 생각이 든다

3. 개인정보 유출 사고시 기업의 책임을 줄이기 위한 전략

우리나라의 법원의 태도는 기본적으로 정보를 유출한 기업에 대해 상당히 관대

기업이 개인정보 유출 사고에 대해 면책되거나 책임이 경감되도록 하기 위해서는 모든 단계의 요소들에 대해 모든 사항을 고려하여 전사적 차원의 노력을 기울어야 한다.

1) 사고발생 이전 단계

- 개인정보 수집을 최소화

- 수집된 정보를 암호화

- 침해사고가 발생할 수 있는 가능성을 점검

- 개인정보 영향평가를 통해 개인정보를 활용하는 새로운 정보시스템의 도입, 기존 정보시스템의 중대

  한 변경시 시스템의 구축 운영이 개인정보 관련 법률에 부합하는지 점검

- 개인정보 라이프 사이클에 따라 개인정보에 미칠 영향에 대해 미리 조사, 분석, 평가

수집과 암호화, 취약점 점검은 다들 많이 하지만 상시적인 영향평가와 라이프사이클을 통한 분석은 자체적으로 하기엔 부담도 되지만 나름의 프로세스를 만들어 적용해보고 차후 전문업체를 통해 보완해 나가면 좋을거 같다.

일단 업무 중심적(계좌 개설, 금융상품매매 등의 whole process) 으로 필요한 개인정보 수집 여부, 이용 여부, 제공 여부 등으로 따져봐야겠다.

2) 사고발생 단계

- 최대한 사고를 빨리 탐지

- 안전하게 사고 경위를 기록

- 네트워크와 시스템으로부터 침해사고 관련 증거들을 수집

- 개인정보 유출 탐지 모니터링 시스템 구축

- 시스템을 종료하지 않은 상태에서도 실시간으로 사고에 대한 증거를 수집할 수 있는 디지털 포렌식

  기술가 요구됨

- 이상 징후와 사고 당시의 시스템 및 네트워크 상황을 안전하게 로그로 기록하고 무결성을 보장할

  수 있는 시스템 필요

개인정보 유출 탐지 모니터링 시스템은 이전에도 내 블로그에서도 이야기했지만 업무 시스템에서개인정보를 엑셀로 다운로드 받는걸 DB 이력으로 저장하고 해당 파일을 DRM 의 암호해제를 하고 다시 그 파일을 메일/USB 등으로 유출하는지 모니터링할 수 있다. 

파일명 변경 등에 대해서는 파일에 대한 인덱싱, 해시값등을 통해 고민을 해볼 필요가 있겠다

3) 사고 이후 사후처리 단계

- 피해가 다른 영역으로 전파되거나 2차적인 피해가 발생하지 않도록 차단

- 개인들이 피해로부터 회복할 수 있도록 지원

- 신속하게 관련 기관에 사고발생 신고

- 디지털 포렌식 기술을 통해 사고관련 증거를 수집, 분석함으로써 피해재발 방지대책 및 피해 경감

  을 위한 조치

- 신속하게 피해자 개개인에게 개별적으로 피해 사실을 통지

- 피해 사실을 본인이 확인할 수 있는 본인 피해 확인 서비스를 제공

- 아이디, 비밀번호를 변경하도록 요청

EBS, Nate 에서 내 개인정보가 유출되었는지 알려주는 팝업창을 본거 같은데 다 저러한 이유때문있구나.

일반 기업체의 보안 담당자들도 디지털 포렌식 기술 습득이 필요해질듯 싶다.