NIST SP 800-122
더 많은 작업
NIST SP 800-122(Guide to Protecting the Confidentiality of Personally Identifiable Information (PII))는 미국 국립표준기술연구소(NIST)가 개인식별정보(PII)의 식별, 기밀성 영향 수준 평가, 보호조치 선정 및 개인정보 침해사고 대응을 위해 발행한 정보보안 지침이다.
NIST SP 800-122는 조직이 보유하거나 관리하는 개인식별정보(Personally Identifiable Information, PII)의 기밀성을 보호하기 위한 위험 기반 접근법을 제시하는 지침이다.
개인식별정보를 식별하고 해당 정보가 부적절하게 접근·사용·공개되었을 때 발생할 수 있는 피해를 평가한 뒤, 위험 수준에 적합한 관리적·기술적 보호조치를 적용하는 방법을 설명한다.
2010년 4월 6일 최종 발행되었으며, 2026년 10월 기준 별도의 개정판 없이 최초 발행본이 최신 확정판으로 제공되고 있다.[1][2]
| 항목 | 내용 |
|---|---|
| 문서 번호 | NIST SP 800-122 |
| 정식 명칭 | Guide to Protecting the Confidentiality of Personally Identifiable Information (PII) |
| 한국어 명칭 | 개인식별정보(PII)의 기밀성 보호 지침 |
| 발행기관 | 미국 국립표준기술연구소(NIST) |
| 저자 | Erika McCallister, Tim Grance, Karen Scarfone |
| 발행일 | 2010년 4월 6일 |
| 최신 확정판 | 2010년 최초 발행본 |
| 주요 분야 | 개인정보보호, 정보보안, 위험 평가, 개인정보 침해사고 대응 |
| 핵심 개념 | PII, PII Confidentiality Impact Level |
| 영향 수준 | Low, Moderate, High |
| 주요 관련 문서 | FIPS 199, NIST SP 800-53, NIST SP 800-61 |
| 공식 페이지 | NIST CSRC |
| 원문 |
NIST SP 800-122의 주요 목적은 다음과 같다.[1]
- 조직이 보유하거나 관리하는 모든 개인식별정보를 식별한다.
- 개인식별정보의 수집·사용·보관을 필요한 최소한으로 제한한다.
- 개인식별정보의 기밀성 침해에 따른 잠재적 피해를 평가한다.
- 기밀성 영향 수준에 따라 적절한 보호조치를 적용한다.
- 개인정보 침해사고에 대응하기 위한 절차와 계획을 수립한다.
주요 적용 대상은 미국 연방정부 기관과 해당 기관을 대신하여 정보를 처리하는 조직이다.
문서에서는 다음과 같은 담당자가 활용할 수 있도록 작성되었다고 설명한다.
- 최고개인정보보호책임자(Chief Privacy Officer, CPO).
- 최고정보보호책임자(Chief Information Security Officer, CISO).
- 최고정보책임자(Chief Information Officer, CIO).
- 개인정보보호 및 정보보안 담당자.
- 시스템 및 데이터 관리자.
- 보안사고 대응 조직.
- 법무·준법감시 담당자.
- 인사 및 대외 커뮤니케이션 담당자.
미국 연방정부 이외의 조직에서도 위험 기반 개인정보 보호체계를 설계하기 위한 참고자료로 활용할 수 있다.
다만 문서에 포함된 미국 연방정부의 법령·정책·보고 의무가 대한민국의 공공기관이나 민간기업에 그대로 적용되는 것은 아니다.
보호 대상은 조직이 직접 관리하는 정보시스템뿐 아니라 외부 업체가 조직을 대신하여 관리하는 개인식별정보까지 포함한다.
대표적인 보관 위치는 다음과 같다.
- 업무용 데이터베이스.
- 파일 서버 및 공유 디렉터리.
- 직원의 업무용 컴퓨터.
- 이동식 저장매체.
- 백업 및 아카이브 저장소.
- 종이 문서.
- 외부 위탁업체의 시스템.
- 개발 및 시험 환경.
- 폐기 예정 장비의 저장매체.
정보의 보관 위치나 매체에 관계없이 개인을 식별하거나 추적할 수 있다면 보호 대상에 해당할 수 있다.
개인식별정보(Personally Identifiable Information, PII)는 개인의 신원을 직접 식별하거나 추적할 수 있는 정보 또는 다른 정보와 연결하여 개인을 식별할 수 있는 정보를 의미한다.
NIST SP 800-122는 다음 두 가지 범주를 포함하는 넓은 정의를 사용한다.[1]
- 개인의 신원을 구별하거나 추적할 수 있는 정보.
- 개인과 연결되어 있거나 연결할 수 있는 기타 정보.
직접 식별정보는 그 자체로 특정 개인을 식별하는 데 사용될 수 있는 정보이다.
대표적인 예시는 다음과 같다.
- 성명.
- 미국 사회보장번호(SSN).
- 여권번호.
- 운전면허번호.
- 납세자 식별번호.
- 금융계좌번호.
- 신용카드번호.
- 얼굴 사진.
- 지문 및 기타 생체정보.
정보의 식별 가능성은 실제 이용 환경에 따라 달라질 수 있다.
예를 들어 성명만으로는 동명이인을 구분하기 어려울 수 있지만, 다른 속성과 결합하면 특정 개인을 식별할 수 있다.
연결 가능한 정보(Linkable Information)는 다른 정보와 결합하여 특정 개인과 연결할 가능성이 있는 정보이다.
대표적인 예시는 다음과 같다.
- 생년월일.
- 출생지.
- 주소 및 지역정보.
- 교육 이력.
- 고용 이력.
- 금융정보.
- 의료정보.
- 활동 이력.
- 특정 개인이나 소규모 집단에 지속적으로 연결되는 IP 주소 또는 장치 식별자.
개별 정보만으로 특정 개인을 식별할 수 없더라도 여러 정보의 조합을 통해 식별 가능성이 발생할 수 있다.
NIST는 개인을 구별하는 것(Distinguish)과 추적하는 것(Trace)을 구분한다.
| 구분 | 영문 | 의미 | 예시 |
|---|---|---|---|
| 식별 | Distinguish | 다른 개인과 구별하여 특정 개인을 알아내는 것 | 여권번호를 이용한 신원 확인 |
| 추적 | Trace | 특정 개인의 활동이나 상태를 파악하는 것 | 사용자 활동 로그를 통한 행위 추적 |
예를 들어 사용자 활동 로그에 이름이 직접 기록되어 있지 않더라도 다른 인증 로그와 결합하여 특정 사용자의 활동을 추적할 수 있다면 PII에 해당할 수 있다.
PII는 미국 연방정부의 정보보안 및 개인정보 보호 문맥에서 사용하는 개념이다.
대한민국 개인정보 보호법의 개인정보 개념과 상당 부분 겹치지만 법적 정의가 완전히 동일한 것은 아니다.
NIST SP 800-122 역시 국가와 법률에 따라 개인정보의 정의가 달라질 수 있으며, 각각의 법적 의무를 판단할 때는 해당 법률의 정의를 적용해야 한다고 설명한다.
따라서 NIST의 PII 정의를 대한민국 개인정보 보호법의 법적 판단 기준으로 그대로 대체해서는 안 된다.
NIST SP 800-122는 조직이 보유한 PII를 먼저 식별해야 적절한 보호조치를 적용할 수 있다고 설명한다.
조직이 보유하거나 관리하는 PII를 식별하기 위해 다음 방법을 활용할 수 있다.
- 정보시스템 문서 검토.
- 데이터베이스 및 파일 저장소 조사.
- 시스템 소유자와 데이터 소유자 면담.
- 개인정보 처리 업무 조사.
- 개인정보 관련 설문 및 점검표 활용.
- 데이터 손실 방지(DLP) 기술을 이용한 탐지.
- 외부 위탁업체의 정보 처리 현황 확인.
- 폐기 예정 저장매체의 잔존 정보 확인.
문서는 미국 연방기관에서 사용하는 Privacy Threshold Analysis(PTA) 또는 Initial Privacy Assessment(IPA)를 PII 식별에 활용할 수 있는 방법으로 소개한다.
이러한 사전 검토는 시스템이 PII를 처리하는지, 개인정보 영향평가가 필요한지, 관련 개인정보 보호 의무가 적용되는지를 판단하는 데 사용된다.
PII 관리에서는 정보의 종류뿐 아니라 다음 사항을 파악할 필요가 있다.
- 수집 목적.
- 수집 경로.
- 저장 위치.
- 처리 시스템.
- 접근 가능한 사용자 및 조직.
- 외부 제공 및 공유 대상.
- 보존 기간.
- 삭제 및 폐기 절차.
- 관련 법령과 계약상 보호 의무.
특히 외부 위탁업체가 관리하는 정보도 조직의 관리 범위에서 제외하지 않도록 해야 한다.
NIST SP 800-122의 핵심 개념은 PII 기밀성 영향 수준(PII Confidentiality Impact Level)이다.
개인식별정보가 부적절하게 접근·사용·공개되었을 때 개인과 조직에 발생할 수 있는 피해의 심각성을 평가하는 기준이다.
영향 수준은 다음 세 단계로 구분한다.[1]
| 수준 | 영문 | 피해 수준 | 대표적인 피해 |
|---|---|---|---|
| 낮음 | Low | 제한적인 부정적 영향 | 불편, 경미한 손실, 경미한 운영상 영향 |
| 중간 | Moderate | 심각한 부정적 영향 | 신원 도용에 따른 금전적 손실, 차별, 명예훼손, 협박 가능성 |
| 높음 | High | 중대하거나 치명적인 부정적 영향 | 생명·신체의 위험, 생계 상실, 심각한 사회적·경제적 피해 |
영향 수준은 정보의 종류만으로 기계적으로 결정하지 않는다.
동일한 개인정보라도 이용 목적, 보유 규모, 접근 환경 및 유출 시 예상되는 피해에 따라 서로 다른 영향 수준을 부여할 수 있다.
Low는 기밀성 침해가 개인이나 조직에 제한적인 부정적 영향을 미칠 것으로 예상되는 수준이다.
대표적인 피해는 다음과 같다.
- 경미한 불편.
- 연락처 변경 등의 추가 조치.
- 경미한 금전적 손실.
- 제한적인 업무 영향.
예를 들어 이미 공개된 업무용 연락처로 구성된 소규모 명단은 다른 위험 요인이 없다면 Low로 분류할 수 있다.
다만 공개된 연락처라는 사실만으로 모든 경우에 Low로 분류되는 것은 아니다.
Moderate는 기밀성 침해가 개인이나 조직에 심각한 부정적 영향을 미칠 것으로 예상되는 수준이다.
대표적인 피해는 다음과 같다.
- 신원 도용에 따른 금전적 손실.
- 사회적 평판 손상.
- 차별.
- 공적 급여나 서비스 이용의 부당한 거부.
- 사생활 노출에 따른 심각한 불이익.
- 협박에 악용될 가능성.
피해가 중대하더라도 생명에 대한 직접적인 위협이나 치명적인 수준의 피해까지 예상되지는 않는 경우가 해당할 수 있다.
High는 기밀성 침해가 개인이나 조직에 중대하거나 치명적인 피해를 초래할 수 있는 수준이다.
대표적인 피해는 다음과 같다.
- 생명 또는 신체에 대한 중대한 위험.
- 생계 상실.
- 심각한 사회적 피해.
- 심각한 경제적 피해.
- 부당한 신체 구금.
- 보호 대상자의 신원 노출에 따른 물리적 위험.
예를 들어 비밀 수사에 참여하는 인력의 신원이 노출되어 신체적 위해가 발생할 수 있다면 High로 평가할 수 있다.
NIST SP 800-122의 제3.2절은 PII 기밀성 영향 수준을 결정하기 위한 여섯 가지 요소를 제시한다.[1]
| 요소 | 영문 | 주요 평가 내용 |
|---|---|---|
| 식별 가능성 | Identifiability | 개인을 직접 또는 간접적으로 식별할 수 있는 정도 |
| PII의 양 | Quantity of PII | 영향을 받는 개인과 기록의 수 |
| 데이터 필드의 민감도 | Data Field Sensitivity | 개별 정보와 정보 조합의 민감성 |
| 이용 맥락 | Context of Use | 정보를 수집·처리·사용하는 목적과 상황 |
| 기밀성 보호 의무 | Obligation to Protect Confidentiality | 법률·규제·계약·내부 정책상 보호 의무 |
| 접근 및 위치 | Access to and Location of PII | 접근 범위와 정보의 저장·처리 위치 |
여섯 요소를 종합적으로 평가해야 하며, 조직의 특성에 따라 추가적인 평가 요소를 사용할 수 있다.
식별 가능성(Identifiability)은 정보로부터 특정 개인을 얼마나 쉽게 식별할 수 있는지를 나타낸다.
예를 들어 다음과 같이 구분할 수 있다.
- 이름과 사회보장번호: 특정 개인을 직접 식별할 가능성이 높음.
- 우편번호와 생년월일: 다른 정보와 결합하면 개인을 간접적으로 식별할 수 있음.
- 지역번호와 성별: 정보의 범위와 이용 맥락에 따라 식별 가능성이 낮을 수 있음.
직접 식별이 가능한 정보는 일반적으로 더 높은 영향 수준을 요구할 수 있다.
그러나 간접 식별정보라고 해서 항상 낮은 수준으로 분류할 수 있는 것은 아니다.
PII의 양(Quantity of PII)은 기밀성 침해 시 영향을 받는 개인의 수와 정보의 규모를 고려하는 요소이다.
예를 들어 25건의 개인정보와 2,500만 건의 개인정보가 유출되는 경우 조직이 부담해야 하는 대응 비용과 사회적 영향은 달라질 수 있다.
NIST는 정보의 양이 많다는 이유로 영향 수준을 높일 수 있지만, 정보의 양이 적다는 이유만으로 영향 수준을 낮춰서는 안 된다고 설명한다.
따라서 소수의 개인정보라도 유출 시 심각한 피해가 예상된다면 High로 분류할 수 있다.
데이터 필드의 민감도(Data Field Sensitivity)는 개별 정보 항목과 여러 항목의 조합이 가지는 민감성을 평가한다.
일반적으로 다음 정보는 높은 민감도를 가질 수 있다.
- 사회보장번호.
- 금융계좌번호.
- 의료 이력.
- 인증 및 계정 복구에 사용되는 정보.
- 개인의 사회적 평판이나 안전에 중대한 영향을 미칠 수 있는 정보.
개별적으로는 민감도가 낮은 정보도 결합하면 위험이 증가할 수 있다.
예를 들어 이름과 신용카드번호의 조합은 각 정보가 별도로 존재하는 경우보다 더 높은 위험을 발생시킬 수 있다.
이용 맥락(Context of Use)은 개인정보가 어떤 목적으로 수집·저장·처리·사용되는지를 의미한다.
NIST는 동일한 이름·주소·전화번호로 구성된 명단이라도 이용 맥락에 따라 다른 영향 수준이 적용될 수 있다고 설명한다.
| 이용 맥락 | 정보의 예시 | 기밀성 영향 수준 예시 |
|---|---|---|
| 일반 소식지 구독 | 구독자 명단 | Low |
| 퇴직급여 신청 | 급여 신청자 명단 | Moderate |
| 비밀 수사 | 비밀 수사 인력 명단 | High |
이 분류는 이용 맥락만을 기준으로 한 설명용 예시이다.
실제 영향 수준은 다른 평가 요소와 함께 결정해야 한다.
기밀성 보호 의무(Obligation to Protect Confidentiality)는 조직에 적용되는 법률·규제·계약·내부 정책 등을 의미한다.
문서는 미국의 다음 법률과 정책을 예시로 제시한다.
- Privacy Act of 1974.
- Health Insurance Portability and Accountability Act(HIPAA).
- Gramm-Leach-Bliley Act(GLBA).
- 연방정부 관리예산처(OMB)의 관련 정책.
- 기관별 개인정보 보호 규정.
해당 의무를 위반하면 법적 책임이나 금전적 손실이 발생할 수 있으므로 영향 수준 평가에 반영해야 한다.
법률 적용 여부는 개인정보보호 담당자와 법무 담당자가 검토하도록 권고한다.
접근 및 위치(Access to and Location of PII)는 개인정보에 접근하는 사람과 시스템의 범위, 정보의 저장 위치 등을 고려하는 요소이다.
대표적인 평가사항은 다음과 같다.
- 접근 가능한 사용자의 수.
- 개인정보에 접근하는 빈도.
- 외부 시스템과의 연결 여부.
- 재택근무 및 원격접속 환경.
- 노트북과 이동식 저장매체 사용.
- 외부 위탁업체의 정보 처리.
- 조직 외부에 보관되는 백업 및 아카이브.
접근 범위가 넓거나 조직 외부에서 자주 사용되는 개인정보는 노출 가능성이 증가할 수 있다.
NIST는 이러한 환경을 고려하여 영향 수준을 높이는 방안을 검토할 수 있다고 설명한다.
NIST SP 800-122의 제3.3절은 세 가지 사례를 통해 영향 수준을 결정하는 과정을 설명한다.[1]
미국 연방기관이 보안사고 대응팀의 연락처 명단을 관리하는 사례이다.
명단에는 다음 정보가 포함된다.
- 담당자 성명.
- 직책.
- 사무실 전화번호.
- 업무용 휴대전화번호.
- 업무용 이메일 주소.
해당 기관은 같은 종류의 연락처 정보를 공식 홈페이지에서도 공개하고 있다.
문서에서는 이러한 조건을 종합하여 Low로 분류한다.
다만 사회공학 공격에 악용될 수 있는 등 조직의 구체적인 상황에 따라 더 높은 영향 수준을 적용할 수도 있다고 설명한다.
조직이 직원의 인트라넷 이용 기록을 저장하는 사례이다.
로그에는 다음 정보가 포함된다.
- 사용자 IP 주소.
- 이전에 방문한 페이지의 URL.
- 접속 시각.
- 열람한 내부 페이지와 주제.
이 로그에는 이름이 직접 포함되지 않는다.
그러나 별도의 인증 로그에 사용자 계정과 IP 주소의 관계가 저장되어 있다면 두 로그를 결합하여 특정 사용자를 식별할 수 있다.
따라서 해당 로그도 PII에 해당할 수 있다.
문서의 예시에서는 접근 권한과 이용 맥락 등을 고려하여 Low로 분류한다.
조직의 부정행위, 예산 낭비 및 권한 남용에 관한 신고를 접수하는 시스템이다.
신고자는 자유 서술란에 자신의 이름, 주소, 이메일 및 전화번호를 입력할 수 있다.
신고 내용에는 뇌물 수수나 안전 규정 위반 등 심각한 혐의가 포함될 수 있다.
신고자의 신원이 노출되면 다음 피해가 발생할 수 있다.
- 조직 내부의 보복.
- 고용 상실.
- 심각한 정신적 피해.
- 협박.
- 신체적 위해.
문서의 예시에서는 이러한 피해를 고려하여 High로 분류한다.
실제로 개인정보가 포함된 기록이 약 50건에 불과하더라도 예상 피해가 중대하므로 높은 영향 수준을 부여한다.
NIST SP 800-122의 PII 기밀성 영향 수준은 FIPS 199의 보안 영향 수준과 관련되어 있지만 동일한 개념은 아니다.
FIPS 199는 연방정부 정보와 정보시스템을 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability)의 세 가지 보안 목표에 따라 분류한다.[3]
| 구분 | NIST SP 800-122 | FIPS 199 |
|---|---|---|
| 주요 대상 | 개인식별정보 | 정보 유형 및 정보시스템 |
| 평가 목적 | PII 기밀성 침해에 따른 개인과 조직의 피해 평가 | 정보와 시스템의 보안 영향 수준 결정 |
| 보안 목표 | 기밀성에 초점 | 기밀성·무결성·가용성 |
| 영향 수준 | Low, Moderate, High | Low, Moderate, High |
| 주요 고려사항 | 식별 가능성, 민감도, 이용 맥락, 법적 의무 등 | 보안 목표 침해에 따른 업무·자산·개인 등의 피해 |
| 관계 | 개인정보 특유의 위험을 추가 평가 | 정보시스템 보안 분류의 기본 기준 |
SP 800-122는 FIPS 199 및 NIST SP 800-60에 따른 정보시스템 보안 분류 결과를 PII 기밀성 영향 수준으로 보완하도록 권고한다.
예를 들어 시스템의 일반적인 정보 유형 분류만으로 개인정보 유출 시 발생할 수 있는 피해가 충분히 반영되지 않았다면 추가적인 보호조치를 검토할 수 있다.
PII 기밀성 영향 수준을 FIPS 199의 시스템 보안 영향 수준과 기계적으로 동일하게 취급해서는 안 된다.
PII 기밀성 영향 수준은 개인정보에 특화된 추가 평가 결과이다.
또한 SP 800-122는 기밀성에 초점을 맞추므로 개인정보의 무결성이나 가용성에 관한 위험까지 모두 평가하는 문서는 아니다.
예를 들어 의료정보의 무단 변경은 기밀성 침해가 없더라도 개인의 생명과 안전에 영향을 미칠 수 있다.
이러한 위험은 별도의 무결성 및 가용성 평가에서 다루어야 한다.
NIST SP 800-122의 제4장은 개인식별정보의 기밀성을 보호하기 위한 조치를 다음 세 영역으로 구분한다.[1]
- 운영적 보호조치(Operational Safeguards).
- 개인정보 특화 보호조치(Privacy-Specific Safeguards).
- 보안 통제(Security Controls).
조직은 PII 기밀성 영향 수준과 운영 환경을 고려하여 적절한 보호조치를 선정해야 한다.
조직은 개인정보를 안전하게 처리하기 위한 정책과 절차를 수립해야 한다.
주요 정책 항목은 다음과 같다.
- 개인정보 보호 담당자의 역할과 책임.
- 개인정보 수집 및 이용 기준.
- 개인정보 접근 권한.
- 외부 제공 및 공유 기준.
- 개인정보 보관 및 폐기 절차.
- 외부 위탁업체의 개인정보 처리.
- 개인정보 침해사고 보고 및 대응.
- 정책 위반에 대한 조치.
개인정보 보호정책은 조직의 업무 절차와 정보시스템 개발 수명주기에 반영되어야 한다.
조직 구성원은 개인정보에 접근하기 전에 적절한 교육을 받아야 한다.
주요 교육 내용은 다음과 같다.
- 개인정보의 정의와 식별 방법.
- 개인정보의 수집·이용·보관 제한.
- 개인정보 보호 관련 역할과 책임.
- 개인정보의 안전한 폐기.
- 개인정보 침해사고의 식별.
- 침해사고 보고 절차.
- 개인정보 오남용에 따른 제재.
NIST는 단순한 인식 제고(Awareness), 직무 수행을 위한 훈련(Training), 전문지식 습득을 위한 교육(Education)을 구분한다.
NIST SP 800-122는 개인정보의 수집·이용·보관을 최소화하는 것을 기본적인 개인정보 보호 원칙으로 제시한다.
개인정보를 적게 보유할수록 침해사고 발생 시 노출될 수 있는 정보의 범위도 줄어들 수 있다.
주요 권고사항은 다음과 같다.
- 업무 수행에 필요한 개인정보만 수집.
- 불필요한 개인정보 항목의 수집 중단.
- 기존 보유 정보의 필요성 정기 검토.
- 이용 목적이 종료된 정보의 적절한 폐기.
- 불필요한 식별번호 사용 제한.
- 보존 기간과 폐기 일정 수립.
개인정보의 폐기는 관련 법령, 기록물 보존 의무 및 소송에 따른 증거 보존 의무 등을 고려하여 수행해야 한다.
개인정보 영향평가(Privacy Impact Assessment, PIA)는 정보시스템의 개인정보 처리에 따른 위험을 식별하고 완화하기 위한 구조화된 평가 절차이다.
주요 평가사항은 다음과 같다.
- 어떤 개인정보를 수집하는가?
- 개인정보를 수집하는 이유는 무엇인가?
- 수집한 개인정보를 어떻게 이용하는가?
- 개인정보를 누구와 공유하는가?
- 개인정보를 어떻게 보호하는가?
- 위험을 줄이기 위해 어떤 대안이나 보호조치를 선택했는가?
PIA는 시스템 개발 초기뿐 아니라 시스템의 변경과 운영 과정에서도 개인정보 보호 위험을 검토하는 데 활용할 수 있다.
비식별 처리(De-Identification)는 데이터에서 개인을 식별할 수 있는 정보를 제거하거나 가려 식별 가능성을 낮추는 과정이다.
대표적인 방법은 다음과 같다.
- 이름과 식별번호 삭제.
- 식별정보 마스킹.
- 식별자를 임의의 값으로 대체.
- 재식별에 필요한 대응표를 별도 보관.
- 여러 기록을 집계하여 개별 식별 가능성 감소.
NIST SP 800-122는 비식별 처리된 데이터라도 재식별 가능성이 남아 있을 수 있다고 설명한다.
재식별 코드나 대응표를 사용하는 경우에는 해당 정보를 별도 시스템에 보관하고 접근을 제한해야 한다.
또한 공개 자료나 외부 데이터와 결합하여 개인을 재식별할 수 있는지 검토해야 한다.
문서는 재식별에 필요한 정보가 적절히 분리·보호되고 외부 자료와의 결합으로도 재식별할 수 없는 조건을 충족하면 비식별 처리된 정보에 Low 기밀성 영향 수준을 부여할 수 있다고 설명한다.
단순히 이름을 삭제했다는 이유만으로 개인정보 보호 의무가 사라지는 것은 아니다.
익명화(Anonymization)는 기존에 식별 가능했던 정보를 비식별 처리하고 재식별을 위한 코드나 연결 관계까지 제거하는 방식이다.
NIST SP 800-122는 비식별 처리와 익명화를 구분한다.
| 구분 | 비식별 처리 | 익명화 |
|---|---|---|
| 영문 | De-Identification | Anonymization |
| 주요 목적 | 개인의 식별 가능성 제거 또는 감소 | 개인을 재식별할 수 있는 연결 관계까지 제거 |
| 재식별 코드 | 존재할 수 있음 | 존재하지 않아야 함 |
| 활용 사례 | 통계 분석, 업무 분석, 연구 | 공개 데이터, 연구, 시험 데이터 |
문서에서 소개하는 익명화 기법은 다음과 같다.
- 일반화(Generalization): 세부 값을 범위나 집단으로 변환.
- 억제(Suppression): 특정 기록이나 데이터 항목 삭제.
- 잡음 추가(Noise Addition): 데이터에 일정한 변동값 추가.
- 데이터 교환(Data Swapping): 유사한 기록 사이에서 특정 값을 교환.
- 평균값 대체(Average Value Replacement): 개별 값을 집단 평균으로 대체.
이러한 기법은 통계적 특성을 유지하면서 개인의 식별 가능성을 낮추는 데 활용할 수 있다.
다만 문서 자체도 공개 데이터와 계산 기술의 발전으로 완전한 익명성을 확보하기 어려울 수 있다고 설명한다.
따라서 익명화 기법을 적용했다는 사실만으로 재식별 위험이 완전히 제거되었다고 판단해서는 안 된다.
NIST SP 800-122는 개인정보의 기밀성 보호에 활용할 수 있는 보안 통제를 제시한다.
특히 NIST SP 800-53의 접근통제, 감사, 인증, 매체 보호 및 통신 보호 관련 통제를 활용하도록 설명한다.[1]
| 통제 | 영문 명칭 | 개인정보 보호 목적 |
|---|---|---|
| AC-3 | Access Enforcement | 개인정보 접근 권한 강제 |
| AC-5 | Separation of Duties | 직무 분리를 통한 오남용 방지 |
| AC-6 | Least Privilege | 최소 권한 적용 |
| AC-17 | Remote Access | 원격접속 제한 및 보호 |
| AC-19 | Access Control for Mobile Devices | 모바일 장치의 개인정보 접근통제 |
| AC-21 | User-Based Collaboration and Information Sharing | 개인정보 공유 권한 확인 |
| AU-2 | Auditable Events | 개인정보 관련 감사 대상 사건 정의 |
| AU-6 | Audit Review, Analysis, and Reporting | 감사 기록 분석 및 보고 |
| IA-2 | Identification and Authentication | 사용자 식별 및 인증 |
| MP-2 | Media Access | 개인정보 저장매체 접근 제한 |
| MP-3 | Media Marking | 저장매체와 출력물의 보호 수준 표시 |
| MP-4 | Media Storage | 개인정보 저장매체의 안전한 보관 |
| MP-5 | Media Transport | 개인정보 저장매체의 안전한 운송 |
| MP-6 | Media Sanitization | 저장매체의 안전한 정보 삭제 |
| SC-9 | Transmission Confidentiality | 전송 중 개인정보의 기밀성 보호 |
| SC-28 | Protection of Information at Rest | 저장된 개인정보의 보호 |
| SI-4 | Information System Monitoring | 개인정보 관련 이상행위 탐지 |
위 통제 번호와 명칭은 2010년 SP 800-122에서 인용한 당시의 SP 800-53 체계를 기준으로 한다.
이후 SP 800-53의 개정으로 일부 통제의 명칭·번호·구성이 변경되었으므로 현재 보안 통제체계를 설계할 때는 최신 SP 800-53을 확인해야 한다.[4]
개인정보 접근통제는 인가된 사용자만 업무에 필요한 범위에서 개인정보에 접근하도록 제한하는 것이다.
주요 보호조치는 다음과 같다.
- 역할 기반 접근통제(RBAC).
- 최소 권한 원칙.
- 업무별 개인정보 접근 범위 제한.
- 직접적인 데이터베이스 접근 제한.
- 애플리케이션을 통한 제한적 개인정보 조회.
- 개인정보 재식별 권한의 분리.
예를 들어 직원 복리후생 데이터베이스에 접근하는 사용자가 전체 직원의 개인정보를 다운로드할 수 있도록 허용하는 대신, 담당 업무에 필요한 기록과 필드만 조회하도록 제한할 수 있다.
직무 분리(Separation of Duties)는 한 사용자가 서로 충돌하는 권한을 동시에 보유하지 않도록 제한하는 통제이다.
예를 들어 비식별 처리된 데이터를 분석하는 담당자에게 재식별 대응표에 대한 접근 권한까지 부여하지 않는 방식이다.
이를 통해 단일 사용자가 비식별 데이터를 임의로 재식별하는 위험을 줄일 수 있다.
개인정보에 접근하는 사용자는 적절한 방식으로 식별·인증해야 한다.
주요 보호조치는 다음과 같다.
- 사용자별 고유 계정 사용.
- 개인정보 영향 수준에 적합한 인증수단 적용.
- 원격접속 권한 제한.
- 원격접속 통신 암호화.
- 모바일 장치의 보안 상태 확인.
- 장치 분실·도난에 대비한 보호조치.
문서에는 2010년 당시 미국 연방정부의 원격접속 및 모바일 장치 관련 정책이 인용되어 있다.
이러한 과거 정책을 현재의 기술적 요구사항이나 법적 의무로 그대로 적용해서는 안 된다.
개인정보에 대한 비인가 접근과 비정상적인 사용을 탐지하기 위해 감사 기록과 모니터링 기능을 활용할 수 있다.
주요 대상은 다음과 같다.
- 개인정보 조회.
- 개인정보 변경.
- 대량 다운로드.
- 비인가 접근 시도.
- 개인정보 외부 전송.
- 접근 권한 변경.
- 비정상적인 데이터 이동.
NIST는 데이터 손실 방지(Data Loss Prevention, DLP) 기술을 개인정보의 비정상적인 이동을 탐지하는 수단의 하나로 소개한다.
개인정보는 저장 상태와 전송 상태에서 모두 적절하게 보호해야 한다.
주요 보호조치는 다음과 같다.
- 저장 데이터 암호화.
- 통신 구간 암호화.
- 이동식 저장매체 암호화.
- 백업 데이터 보호.
- 저장매체의 물리적 접근통제.
- 개인정보 출력물의 안전한 보관.
- 저장매체 폐기 전 안전한 데이터 삭제.
암호화는 개인정보의 기밀성을 보호하는 중요한 기술이지만, 적절한 접근통제와 키 관리가 함께 이루어져야 한다.
NIST SP 800-122의 제5장은 개인정보 침해사고에 특화된 대응 절차를 설명한다.
개인정보 침해사고는 일반적인 정보보안 사고와 달리 정보주체에게 직접적인 피해가 발생할 수 있으므로 추가적인 대응이 필요하다.
대표적인 피해는 다음과 같다.
- 신원 도용.
- 금전적 피해.
- 사생활 침해.
- 협박.
- 사회적 평판 손상.
- 신체적 위해.
- 조직의 신뢰도 하락.
- 법적 책임과 사고 대응 비용.
문서는 개인정보 침해사고 대응 절차를 조직의 기존 정보보안 사고 대응체계에 통합하도록 권고한다.[1]
2010년 원문은 당시 NIST SP 800-61 Revision 1의 사고 대응 절차를 기반으로 다음 네 단계를 사용한다.
| 단계 | 영문 | 주요 활동 |
|---|---|---|
| 준비 | Preparation | 대응 계획, 역할, 보고 및 통지 절차 수립 |
| 탐지 및 분석 | Detection and Analysis | 침해 여부와 영향받은 개인정보 분석 |
| 억제·제거·복구 | Containment, Eradication, and Recovery | 피해 확산 방지, 원인 제거, 시스템 복구 |
| 사후 활동 | Post-Incident Activity | 사고 원인 분석, 피해 지원, 재발 방지 |
이는 2010년 문서의 구성이다.
현재 NIST SP 800-61은 Revision 3으로 개정되었으며, 사이버보안 프레임워크(CSF) 2.0과 연계하여 사고 대응을 조직의 위험관리 활동 전반에 통합하도록 설명한다.[5]
조직은 개인정보 침해사고가 발생하기 전에 다음 사항을 결정해야 한다.
- 사고 대응 담당자와 책임.
- 개인정보 침해사고의 판단 기준.
- 내부 보고 절차.
- 외부기관 신고 및 통지 절차.
- 정보주체 통지 여부와 방법.
- 통지 내용과 시점.
- 언론 및 대외 커뮤니케이션 담당자.
- 피해 지원 서비스 제공 기준.
- 사고 기록 및 추적 방법.
개인정보 침해사고는 정보보안 담당자뿐 아니라 개인정보보호 담당자, 법무 담당자, 시스템 소유자 및 대외 커뮤니케이션 담당자의 협력이 필요할 수 있다.
NIST는 개인정보 침해사고를 최초 신고할 때 다음 정보를 확보하도록 권고한다.
- 사고 신고자.
- 사고 발견자.
- 사고 발견 일시.
- 사고의 성격.
- 영향을 받은 시스템.
- 다른 시스템과의 연결 관계.
- 유출되거나 침해된 정보의 종류.
- 관련 저장매체.
- 기존에 적용된 보호조치.
- 영향을 받은 것으로 추정되는 개인의 수.
- 수사기관 연락 여부.
이러한 정보는 사고의 범위와 심각도를 판단하는 데 활용된다.
탐지 및 분석 단계에서는 다음 사항을 확인한다.
- 사고에 PII가 포함되어 있는가?
- 어떤 개인정보가 영향을 받았는가?
- 개인정보가 실제로 접근되거나 공개되었는가?
- 영향을 받은 개인과 기록의 수는 얼마인가?
- 개인정보가 암호화되어 있었는가?
- 사고의 원인과 공격 경로는 무엇인가?
- 추가적인 개인정보 노출 가능성이 있는가?
PII 기밀성 영향 수준은 사고 대응의 우선순위와 피해 지원 범위를 판단하는 데 활용할 수 있다.
개인정보 침해사고에서도 일반적인 보안사고 대응 기술을 사용할 수 있다.
다만 개인정보가 포함된 시스템을 복구하거나 저장매체를 폐기할 때는 추가적인 고려가 필요하다.
대표적인 활동은 다음과 같다.
- 침해된 계정 및 시스템의 접근 차단.
- 공격 원인 제거.
- 개인정보의 추가 노출 방지.
- 침해된 시스템 복구.
- 개인정보가 포함된 저장매체의 안전한 처리.
- 사고 조사에 필요한 증거 보존.
NIST는 개인정보를 삭제하거나 저장매체를 정화하기 전에 해당 정보의 증거 보존 필요성을 판단해야 한다고 설명한다.
증거로 보존해야 할 정보를 성급하게 삭제하면 사고 조사나 법적 절차에 문제가 발생할 수 있다.
사고 종료 이후에는 다음 활동을 수행한다.
- 사고 원인 분석.
- 사고 대응 과정 검토.
- 피해 규모 확정.
- 개인정보 보호조치 개선.
- 대응 절차 개정.
- 담당자 교육.
- 정보주체에 대한 피해 지원.
- 유사 사고 방지를 위한 개선사항 공유.
개인정보 침해로 인한 피해가 신원 도용이나 금융사기와 관련되는 경우 신용정보 모니터링 등 피해 지원 서비스를 검토할 수 있다.
다만 모든 개인정보 침해사고에서 동일한 피해 지원 서비스를 제공해야 하는 것은 아니다.
정보의 종류와 예상 피해를 고려하여 결정해야 한다.
NIST SP 800-122는 개인정보 침해사고에 대한 통지 정책을 사전에 수립하도록 권고한다.
주요 검토사항은 다음과 같다.
- 정보주체에게 통지해야 하는가?
- 언제 통지해야 하는가?
- 누가 통지해야 하는가?
- 어떤 내용을 통지해야 하는가?
- 어떤 수단으로 통지해야 하는가?
- 통지 대상은 누구인가?
- 대외적인 문의와 피해 지원을 어떻게 처리하는가?
문서에는 2007년 미국 OMB 정책에 따른 연방기관의 사고 보고 요구사항도 설명되어 있다.
그러나 이는 2010년 발행 당시의 정책적 배경이다.
현재 적용되는 신고 기한과 통지 의무는 해당 국가와 기관에 적용되는 최신 법령 및 정책에 따라 별도로 확인해야 한다.
NIST SP 800-122는 개인정보 보호의 기반으로 공정한 정보처리 원칙(Fair Information Practices)을 설명한다.
특히 OECD의 개인정보 보호 8원칙을 소개한다.[1]
| 원칙 | 영문 | 주요 내용 |
|---|---|---|
| 수집 제한 | Collection Limitation | 개인정보의 적법하고 공정한 수집 |
| 정보 정확성 | Data Quality | 개인정보의 정확성·완전성·최신성 유지 |
| 목적 명시 | Purpose Specification | 개인정보 수집 목적의 명확화 |
| 이용 제한 | Use Limitation | 정해진 목적 외 이용 및 공개 제한 |
| 안전성 확보 | Security Safeguards | 개인정보의 분실·무단 접근·변조·공개 방지 |
| 공개 | Openness | 개인정보 처리 정책과 관행의 투명성 |
| 개인 참여 | Individual Participation | 정보주체의 열람·정정 등 참여 권리 |
| 책임 | Accountability | 개인정보 관리 주체의 책임 |
이러한 원칙은 개인정보를 단순히 암호화하거나 접근을 차단하는 것만으로 충분하지 않다는 점을 보여준다.
개인정보의 수집 목적, 이용 범위, 정보주체의 권리 및 조직의 책임까지 함께 고려해야 한다.
NIST SP 800-53은 정보시스템과 조직을 위한 보안 및 개인정보 보호 통제 카탈로그이다.
두 문서는 다음과 같이 구분된다.
| 구분 | NIST SP 800-122 | NIST SP 800-53 |
|---|---|---|
| 주요 목적 | PII 기밀성 보호 | 정보시스템과 조직의 보안·개인정보 보호 통제 제공 |
| 주요 대상 | 개인식별정보 | 정보시스템, 조직, 업무 및 정보 |
| 주요 내용 | PII 식별, 영향 수준 평가, 보호조치, 침해사고 대응 | 보안 및 개인정보 보호 통제 카탈로그 |
| 적용 방식 | PII 특성에 따른 위험 기반 보호조치 선정 | 조직의 위험에 따른 통제 선정 및 조정 |
SP 800-122는 SP 800-53의 통제를 활용하여 PII의 기밀성을 보호하는 방법을 설명한다.
다만 2010년 원문에서 인용한 SP 800-53 통제는 이후 개정된 현재의 통제체계와 일부 차이가 있다.
따라서 현재 통제를 선정하거나 평가할 때는 SP 800-53의 현행판과 관련 보충자료를 함께 확인해야 한다.
NIST SP 800-61은 사이버보안 사고 대응에 관한 지침이다.
SP 800-122의 제5장은 개인정보 침해사고에 특화된 추가 대응사항을 설명한다.
두 문서는 다음과 같이 구분된다.
- SP 800-61: 일반적인 사이버보안 사고 대응과 조직의 위험관리 활동.
- SP 800-122: PII 침해 여부, 정보주체의 피해, 사고 통지 및 개인정보 특화 보호조치.
예를 들어 랜섬웨어 사고에 대응할 때는 SP 800-61의 사고 대응 지침을 활용할 수 있다.
해당 사고에서 개인정보가 유출되거나 노출될 가능성이 있다면 SP 800-122의 개인정보 특화 고려사항을 추가로 검토할 수 있다.
NIST SP 800-88은 저장매체의 안전한 데이터 삭제(Media Sanitization)를 다루는 지침이다.
2026년 10월 기준 최신 확정판은 2025년 9월 발행된 Revision 2이다.[6]
두 문서는 다음과 같이 구분된다.
- SP 800-122: 개인정보의 수집·이용·보관 최소화와 안전한 폐기 필요성을 설명.
- SP 800-88: 저장매체의 특성과 정보의 민감도를 고려한 안전한 데이터 삭제 프로그램과 기술을 설명.
개인정보 보존 기간이 종료되거나 저장매체를 폐기하는 경우 SP 800-88의 구체적인 기술적 지침을 활용할 수 있다.
다만 저장매체의 삭제 방법을 결정하기 전에 관련 법령과 기록 보존 의무를 확인해야 한다.
NIST Privacy Framework는 조직 차원의 개인정보 보호 위험관리를 지원하는 프레임워크이다.
SP 800-122와 마찬가지로 개인정보 처리에 따른 위험을 고려하지만 적용 범위와 목적이 다르다.
| 구분 | NIST SP 800-122 | NIST Privacy Framework |
|---|---|---|
| 주요 목적 | PII 기밀성 보호 | 조직 차원의 개인정보 보호 위험관리 |
| 주요 대상 | PII를 처리하는 시스템과 조직 | 개인정보 처리 활동을 수행하는 조직 |
| 주요 접근법 | PII 식별, 기밀성 영향 수준 평가, 보호조치 적용 | 개인정보 보호 위험의 식별·평가·관리 |
| 위험 범위 | 주로 부적절한 접근·사용·공개에 따른 기밀성 침해 | 개인정보 처리 전반에서 발생하는 위험 |
NIST Privacy Framework 1.0은 2020년 1월 발행되었다.
2025년 4월에는 Cybersecurity Framework 2.0과의 정합성을 높이기 위한 Privacy Framework 1.1 최초 공개 초안이 발표되었다.[7][8]
SP 800-122는 개인정보의 기밀성 보호에 관한 구체적인 기술 지침으로 활용할 수 있으며, Privacy Framework는 보다 포괄적인 조직 차원의 개인정보 보호 위험관리에 활용할 수 있다.
NIST SP 800-122는 모든 개인정보에 동일한 수준의 보호조치를 적용하도록 요구하지 않는다.
개인정보의 종류, 식별 가능성, 이용 맥락 및 예상 피해를 고려하여 보호 수준을 결정하도록 권고한다.
따라서 동일한 데이터 필드라도 다음과 같은 차이가 발생할 수 있다.
- 공개된 업무용 연락처: 제한적인 기밀성 보호 필요.
- 금융거래 정보: 신원 도용과 금전적 피해 가능성 고려.
- 비밀 수사 관련 정보: 개인의 신체적 안전에 미치는 영향 고려.
개별적으로 식별 가능성이 낮은 정보도 다른 데이터와 결합하면 PII에 해당할 수 있다.
예를 들어 웹 서버 접근 로그의 IP 주소와 인증 시스템의 계정 기록을 결합하면 특정 사용자의 활동을 식별할 수 있다.
따라서 개인정보 식별과 영향 수준 평가는 개별 데이터베이스뿐 아니라 다른 정보와의 결합 가능성까지 고려해야 한다.
조직이 적법하게 공개할 권한이 있는 정보는 별도의 기밀성 보호가 필요하지 않을 수 있다.
SP 800-122는 이 경우 PII 기밀성 영향 수준을 적용하지 않을 수 있다고 설명한다.
다만 공개된 개인정보라도 무결성과 가용성을 보호할 필요는 있으며, 공개 권한과 이용 목적에 관한 법적 의무가 사라지는 것은 아니다.
개인정보의 양과 민감도는 별도로 고려해야 한다.
- 대량의 일반적인 개인정보: 사고 대응 비용과 조직적 피해가 증가할 수 있음.
- 소량의 고위험 개인정보: 특정 개인에게 심각한 피해가 발생할 수 있음.
따라서 기록 수가 적다는 이유만으로 낮은 보호 수준을 적용해서는 안 된다.
NIST SP 800-122는 2010년 발행된 문서이다.
따라서 다음 사항을 적용할 때는 후속 기술과 최신 지침을 함께 검토해야 한다.
- 클라우드 기반 개인정보 처리.
- 대규모 분산 데이터 저장 및 분석.
- 최신 암호화 기술과 암호모듈 검증 기준.
- 현대적인 신원 인증 체계.
- 개인정보 비식별화 및 재식별 위험 평가.
- 생성형 인공지능과 개인정보 처리.
- 최신 개인정보 침해사고 신고 및 통지 의무.
특히 문서에 포함된 SP 800-53 통제 번호와 미국 연방정부의 사고 보고 정책은 발행 당시의 체계를 반영한다.
기본적인 위험 기반 보호 원칙과 현행 법적·기술적 요구사항을 구분하여 적용해야 한다.
| 시기 | 구분 | 내용 |
|---|---|---|
| 2010년 4월 6일 | 최초 발행 | NIST SP 800-122 최종 발행 |
| 2026년 10월 기준 | 현행 상태 | 별도 개정판 없이 2010년 최초 발행본이 최신 확정판으로 제공됨 |
NIST CSRC는 SP 800-122를 최종 발행본(Final)으로 제공하고 있으며, 해당 문서의 공식 발행 이력에는 2010년 4월 6일의 최종 발행이 기록되어 있다.[2]
문서가 오래전에 발행되었다는 사실만으로 철회되거나 대체되었다고 판단해서는 안 된다.
다만 개인정보 보호 및 정보보안 분야의 다른 NIST 문서는 지속적으로 개정되고 있으므로 SP 800-122에서 참조한 기술과 통제의 현행성을 별도로 확인해야 한다.
NIST SP 800-122는 본문 5개 장과 부록 7개로 구성된다.[1]
| 구분 | 영문 제목 | 주요 내용 |
|---|---|---|
| 제1장 | Introduction | 목적, 적용 범위 및 문서 구성 |
| 제2장 | Introduction to PII | PII의 정의, 식별 및 공정한 정보처리 원칙 |
| 제3장 | PII Confidentiality Impact Levels | PII 기밀성 영향 수준과 평가 요소 |
| 제4장 | PII Confidentiality Safeguards | 운영적·개인정보 특화·기술적 보호조치 |
| 제5장 | Incident Response for Breaches Involving PII | 개인정보 침해사고 대응 |
| 부록 A | Scenarios for PII Identification and Handling | PII 식별 및 처리 시나리오 |
| 부록 B | Frequently Asked Questions (FAQ) | 주요 질의응답 |
| 부록 C | Other Terms and Definitions for Personal Information | 개인정보 관련 용어와 정의 |
| 부록 D | Fair Information Practices | 공정한 정보처리 원칙 |
| 부록 E | Glossary | 용어집 |
| 부록 F | Acronyms and Abbreviations | 약어 |
| 부록 G | Resources | 참고자료 |
- ↑ 1.00 1.01 1.02 1.03 1.04 1.05 1.06 1.07 1.08 1.09 1.10 Erika McCallister, Tim Grance, Karen Scarfone, Guide to Protecting the Confidentiality of Personally Identifiable Information (PII), NIST SP 800-122, https://doi.org/10.6028/NIST.SP.800-122, 2010-04-06.
- ↑ 2.0 2.1 NIST Computer Security Resource Center, SP 800-122, Guide to Protecting the Confidentiality of Personally Identifiable Information (PII), https://csrc.nist.gov/pubs/sp/800/122/final, 확인: 2026-10-25.
- ↑ NIST, Standards for Security Categorization of Federal Information and Information Systems, FIPS 199, https://doi.org/10.6028/NIST.FIPS.199, 2004-02.
- ↑ NIST, Security and Privacy Controls for Information Systems and Organizations, NIST SP 800-53 Revision 5, https://doi.org/10.6028/NIST.SP.800-53r5, 2020-09.
- ↑ NIST, Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile, NIST SP 800-61 Revision 3, https://doi.org/10.6028/NIST.SP.800-61r3, 2025-04-03.
- ↑ Ramaswamy Chandramouli, Eric Hibbard, Guidelines for Media Sanitization, NIST SP 800-88 Revision 2, https://doi.org/10.6028/NIST.SP.800-88r2, 2025-09-26.
- ↑ NIST, Privacy Framework: A Tool for Improving Privacy through Enterprise Risk Management, https://www.nist.gov/privacy-framework/privacy-framework, 확인: 2026-10-25.
- ↑ NIST, Privacy Framework 1.1, https://www.nist.gov/privacy-framework/new-projects/privacy-framework-version-11, 확인: 2026-10-25.