개인정보 암호화

암호화 대상 항목

「개인정보의 안전성 확보조치 기준」 제7조(개인정보의 암호화)^[1]
- 비밀번호, 생체인식정보 등 인증정보 : 저장하거나 정보통신망으로 송·수신할 때 암호화. 비밀번호는 복호화되지 않도록 일방향 암호화
- 이용자의 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호, 신용카드번호, 계좌번호, 생체인식정보 : 저장할 때 암호화
- 이용자가 아닌 정보주체의 고유식별정보 : 인터넷 구간·DMZ 에 저장하면 암호화, 내부망은 주민등록번호를 반드시 암호화하고 나머지는 영향평가·위험도 분석 결과에 따른다
2023년 9월 개정으로 정보통신서비스 제공자에게 적용되던 「개인정보의 기술적·관리적 보호조치 기준」이 이 고시로 합쳐졌고, '바이오정보'라는 말도 '생체인식정보'로 바뀌었다. → 바이오정보
전화번호, 이메일 주소, 주소, 이름 같은 일반 개인정보는 개인정보처리시스템에 저장할 때 반드시 암호화해야 하는 항목에 들어 있지 않다. 다만 인터넷 구간으로 보내거나 업무용 컴퓨터·보조저장매체에 저장할 때는 암호화한다(제7조 제4항·제5항).

구분	개인정보 보호법에 따른 암호화 대상 개인정보
구분	개인정보처리자	정보통신서비스 제공자
정보통신망을 통한 전송 시	고유식별정보, 비밀번호, 생체인식정보	개인정보, 인증정보
보조저장매체로 저장·전달 시	고유식별정보, 비밀번호, 생체인식정보	개인정보
개인정보 처리시스템 저장 시	비밀번호, 생체인식정보 (다만 비밀번호는 일방향 암호화)	비밀번호, 생체인식정보 (다만 비밀번호는 일방향 암호화)
	-	신용카드번호, 계좌번호
	주민등록번호	주민등록번호
	여권번호, 외국인등록번호, 운전면허번호 인터넷구간, DMZ 저장 시 암호화 저장 내부망 저장 시 암호화 저장 또는 위험도 분석 (또는 영향평가)	여권번호, 외국인등록번호, 운전면허번호
업무용 컴퓨터/ 모바일 기기 저장 시	고유식별정보, 비밀번호, 생체인식정보	개인정보

개인정보 보호법에선 개인정보 암호화 시 '안전한 알고리즘'을 사용하도록 하고 있다.
안전한 알고리즘이란 일반적으로 알려진 알고리즘으로서 취약점이 발표되지 않은 알고리즘을 말한다.
- MD5나 SHA-1을 사용하는 경우 취약한 알고리즘을 사용한다고 본다.
- 자체 개발 알고리즘 또한 일반적으론 안전한 알고리즘으로 인정하지 않는다.
- 개인정보의 안전성확보조치 기준 해설서에선 "국내·외 암호 연구 관련 기관에서 대표적으로 다루어지는 권고 알고리즘"이란 표현을 쓰고 있다. 그리고 "권고 알고리즘은 달라질 수 있으므로, 암호화 적용시 국내·외 암호 관련 연구기관에서 제시하는 최신 정보 확인 필요"라고 명시해 두었다.
일반적으로 AES-256, SHA-256 이상을 쓰면 논란의 여지가 없다.

안전한 암호 알고리즘(예시)(ʻ개인정보의 암호화 조치 안내서ʼ 참고)

구분	암호화 방식
정보통신망을 통한 전송 시	1. 웹서버에 SSL(Secure Socket Layer) 인증서를 설치하여 전송하는 정보를 암호화 송수신 2. 웹서버에 암호화 응용프로그램을 설치하여 전송하는 정보를 암호화하여 송수신 3. 그 밖의 암호화 기술 활용: VPN, PGP 등
보조저장매체로 전달 시	1. 암호화 기능을 제공하는 보안 저장매체 이용(보안USB 등) 2. 해당 정보를 암호화한 후 보조저장매체에 저장 등
개인정보처리시스템 저장 시	1. 응용프로그램 자체 암호화(API 방식) 2. 데이터베이스 서버 암호화(Plug-in 방식) 3. DBMS 자체 암호화(TDE 방식) 4. DBMS 암호화 기능 호출 5. 운영체제 암호화(파일암호화 등) 6. 그 밖의 암호화 기술 활용
업무용 컴퓨터 및 모바일 기기 저장 시	1. 문서도구 자체 암호화(오피스 등에서 제공하는 암호 설정 기능 활용) 2. 암호 유틸리티를 이용한 암호화 3. DRM(Digital Right Management) 적용 등