최신판 |
당신의 편집 |
1번째 줄: |
1번째 줄: |
| ;본 문서에는 컴플라이언스 측면에서 개인정보를 암호화 해야 하는 경우를 다룬다. | | ;본 문서에는 컴플라이언스 측면에서 개인정보를 암호화 해야 하는 경우를 다룬다. |
|
| |
|
| ==암호화 대상 항목== | | == 암호화 대상 == |
| | * 개인정보 보호법 : 고유식별번호, 바이오정보, 비밀번호 |
| | * 정보통신 망법 : 고유식별번호, 계좌번호, 카드번호, 바이오정보, 비밀번호 |
|
| |
|
| *'''개인정보의 안정성 확보조치 기준''' 제7조(개인정보의 암호화)
| | == 암호화를 해야 하는 경우 == |
| **고유식별번호 | | * 개인정보 보호법에선 전송 시, 단말기 저장 시, DMZ 저장 시로 한정한다. |
| **바이오정보 | | * 망법에선 별도의 조건이 없다. |
| **비밀번호 | | * 개인정보 보호법만 적용 받고 망법 대상이 아닌 경우엔 개인정보처리시스템 내에서 보관 시엔 암호화를 하지 않아도 되지만 백업시스템이 아닌 이상 응당 '전송'이 들어가게 되므로 SSL이나 VPN을 적용 하여야 한다. |
| *'''개인정보의 기술적·관리적 보호조치 기준''' 제6조(개인정보의 암호화)
| |
| **1. 주민등록번호
| |
| **2. 여권번호
| |
| **3. 운전면허번호
| |
| **4. 외국인등록번호
| |
| **5. 신용카드번호
| |
| **6. 계좌번호
| |
| **7. 바이오정보
| |
|
| |
|
| ==암호화를 해야 하는 경우== | | == 암호화 알고리즘 == |
| {| class="wikitable"
| | * 개인정보 보호법에선 개인정보 암호화 시 '안전한 알고리즘'을 사용하도록 하고 있다. |
| ! rowspan="2" |구분
| | * 안전한 알고리즘이란 일반적으로 알려진 알고리즘으로써 취약점이 발표되지 않은 알고리즘을 말한다. |
| ! colspan="2" |개인정보 보호법에 따른 암호화 대상 개인정보
| | ** MD-5나 SHA-1을 사용하는 경우 취약한 알고리즘을 사용한다고 본다. |
| |-
| | ** 자체 개발 알고리즘 또한 일반적으론 안전한 알고리즘으로 인정하지 않는다. |
| !개인정보처리자
| | ** 개인정보의 안전성확보조치 기준 해설서에선 "국내·외 암호 연구 관련 기관에서 대표적으로 다루어지는 권고 알고리즘"이란 표현을 쓰고 있다. 그리고 "권고 알고리즘은 달라질 수 있으므로, 암호화 적용시 국내·외 암호 관련 연구기관에서 제시하는 최신 정보 확인 필요"라고 명시해 두었다. |
| !정보통신서비스 제공자
| | * 일반적으로 AES-256, SHA-256 이상을 쓰면 논란의 여지가 없다. |
| |-
| |
| |'''정보통신망을 통한 전송 시'''
| |
| |고유식별정보, 비밀번호, 생체인식정보
| |
| |개인정보, 인증정보
| |
| |-
| |
| |'''보조저장매체로 저장·전달 시'''
| |
| |고유식별정보, 비밀번호, 생체인식정보
| |
| |개인정보
| |
| |-
| |
| | rowspan="4" |'''개인정보 처리시스템 저장 시'''
| |
| |비밀번호, 생체인식정보 (다만 비밀번호는 일방향 암호화)
| |
| |비밀번호, 생체인식정보 (다만 비밀번호는 일방향 암호화)
| |
| |-
| |
| | -
| |
| |신용카드번호, 계좌번호
| |
| |-
| |
| |주민등록번호
| |
| |주민등록번호
| |
| |-
| |
| |여권번호, 외국인등록번호, 운전면허번호
| |
|
| |
|
| *인터넷구간, DMZ 저장 시 암호화 저장
| |
| *내부망 저장 시 암호화 저장 또는 위험도 분석 (또는 영향평가)
| |
| |여권번호, 외국인등록번호, 운전면허번호
| |
| |-
| |
| |'''업무용 컴퓨터/ 모바일 기기 저장 시'''
| |
| |고유식별정보, 비밀번호, 생체인식정보
| |
| |개인정보
| |
| |}
| |
|
| |
| ==암호화 알고리즘==
| |
|
| |
| *개인정보 보호법에선 개인정보 암호화 시 '안전한 알고리즘'을 사용하도록 하고 있다.
| |
| *안전한 알고리즘이란 일반적으로 알려진 알고리즘으로서 취약점이 발표되지 않은 알고리즘을 말한다.
| |
| **MD5나 SHA-1을 사용하는 경우 취약한 알고리즘을 사용한다고 본다.
| |
| **자체 개발 알고리즘 또한 일반적으론 안전한 알고리즘으로 인정하지 않는다.
| |
| **개인정보의 안전성확보조치 기준 해설서에선 "국내·외 암호 연구 관련 기관에서 대표적으로 다루어지는 권고 알고리즘"이란 표현을 쓰고 있다. 그리고 "권고 알고리즘은 달라질 수 있으므로, 암호화 적용시 국내·외 암호 관련 연구기관에서 제시하는 최신 정보 확인 필요"라고 명시해 두었다.
| |
| *일반적으로 AES-256, SHA-256 이상을 쓰면 논란의 여지가 없다.
| |
|
| |
| '''안전한 암호 알고리즘(예시)(ʻ개인정보의 암호화 조치 안내서ʼ 참고)'''
| |
| {| class="wikitable"
| |
| !구분
| |
| !알고리즘 명칭
| |
| |-
| |
| |대칭키 암호 알고리즘
| |
| |SEED, ARIA-128/192/256, AES-128/192/256, HIGHT, LEA 등
| |
| |-
| |
| |공개키 암호 알고리즘
| |
| |RSAES-OAEP, RSAES-PKCS1 등
| |
| |-
| |
| |일방향 암호 알고리즘
| |
| |SHA-256/384/512 등
| |
| |}
| |
|
| |
| == 암호화 구간·방식 ==
| |
| {| class="wikitable"
| |
| !구분
| |
| !암호화 방식
| |
| |-
| |
| |정보통신망을 통한 전송 시
| |
| |
| |
| * 1. 웹서버에 SSL(Secure Socket Layer) 인증서를 설치하여 전송하는 정보를 암호화 송수신
| |
| * 2. 웹서버에 암호화 응용프로그램을 설치하여 전송하는 정보를 암호화하여 송수신
| |
| * 3. 그 밖의 암호화 기술 활용: VPN, PGP 등
| |
| |-
| |
| |보조저장매체로 전달 시
| |
| |
| |
| * 1. 암호화 기능을 제공하는 보안 저장매체 이용(보안USB 등)
| |
| * 2. 해당 정보를 암호화한 후 보조저장매체에 저장 등
| |
| |-
| |
| |개인정보처리시스템 저장 시
| |
| |
| |
| * 1. 응용프로그램 자체 암호화(API 방식)
| |
| * 2. 데이터베이스 서버 암호화(Plug-in 방식)
| |
| * 3. DBMS 자체 암호화(TDE 방식)
| |
| * 4. DBMS 암호화 기능 호출
| |
| * 5. 운영체제 암호화(파일암호화 등)
| |
| * 6. 그 밖의 암호화 기술 활용
| |
| |-
| |
| |업무용 컴퓨터 및 모바일 기기 저장 시
| |
| |
| |
| * 1. 문서도구 자체 암호화(오피스 등에서 제공하는 암호 설정 기능 활용)
| |
| * 2. 암호 유틸리티를 이용한 암호화
| |
| * 3. DRM(Digital Right Management) 적용 등
| |
| |}
| |
| [[분류:보안]] | | [[분류:보안]] |
| [[분류:컴플라이언스]] | | [[분류:컴플라이언스]] |
| [[분류:개인정보보호]] | | [[분류:개인정보보호]] |
| | [[분류:개인정보관리사]] |
| [[분류:정보보안기사]] | | [[분류:정보보안기사]] |