금융기관의 수탁업체에서 발생하는 개인정보 관리 부실을 진단하는 방법론에 대해 살펴봅니다.

1. 금융기관 수탁업체의
개인정보 침해 진단
2011. 11. 15.
구 태 언 변호사
taeeon.koo@happy-maru.kr
행복마루 법률사무소

2. 목 차
고객정보 침해시 금융기관의 민형사상 책임 개관
금융기관 수탁업체의 개인정보 침해 진단
포렌식 기법을 활용한 법적 책임 완화 효과 달성

3. 고객정보 침해시 금융기관의 책임 개
관

4. 개인정보관리책임자(CPO)의 형사 책임
업무결정에 관여한 경우
해당 위반행위를 알고 결정했다고 평가되어 형사책임을 질 소지 높
음
개인정보 유출시 암호화 조치 미이행된 경우 형사책임
업무결정에 관여하지 않은 경우
원칙적으로는 형사책임을 지지 않음
개인정보관리
사실상 해당 업무처리에 대해 잘 알고 있었거나, 해당 업무처리를 관리
감독할 의무가 있다고 평가되는 경우에는 형사책임 발생 가능
책임자
평소 관리감독에 철저했는지 여부
관리감독의 핵심은 정책수립, 교육 및 점검
개인정보 관련 업무에 대한 위임전결규정 수립, 사전 검토 및 사후 검토에 대
한 원칙 수립, 주기적인 점검 및 관련 사항에 대한 교육 실시 필요
이러한 관리감독을 철저히 하였다면 형사책임이 발생하지 않을 가능성 높음

5. 업무상 개인정보 침해와 민형사상 책임
업무처리 본사 직원에 의한 침해
과정에서 수집, 이용, 제공, 파기, 보존 단계별 관련 법규 위반시
개인정보 수탁업체에 의한 침해
침해
본사를 위해 개인정보를 처리하는 과정에서 관련 법규 위반시
민사 책임
사용자 책임 – 본사 직원 및 수탁업체 직원 포함(정통망법 25조 5항)
입증책임의 전환(정통망법 32조) – 금융기관이 고의/과실이 없음을 입증해야
제공받은 제3자에 의한 침해
금융기관의 - 본사가 적정하게 개인정보를 제공하였는지가 책임 발생의 관건
형사 책임
책임
고의에 의한 행위자는 행위책임으로서 본인이 형사처벌을 받게 됨
법률의 부지는 정당한 변명이 되지 않음
입건 대상자는 금융기관의 개인정보 담당 임직원(개인정보관리책임자로 지정된 사람에 국
한되지 않음) – 수탁자와 공모한 경우
기술적/관리적 보호조치 위반에 의한 침해로 평가될 경우 “부작위”가 처벌되는 결과

6. 해킹에 의한 개인정보 침해시 민형사상 책임
개인정보취급자에 의한 해킹
본사 직원 및 수탁업체 직원 여부 불문
금융기관은 사용자 책임 및 형사책임 발생
민사책임에 있어서 사용자 책임의 전환으로 금융기관이 승소하기 곤란
형사책임에 있어서 기술적/관리적 보호조치 위반으로 평가받아 개인정보보호 담당 임직
내부자에 원이 형사처벌 가능성이 높음
의한 해킹 개인정보취급자가 아닌 자에 의한 해킹
평소 개인정보에 대한 접근권한이 없는 자에 의한 침해
민사책임에 있어서 사용자 책임이 인정될 가능성이 아주 높음
형사책임에 있어서 기술적/관리적 보호조치 위반으로 평가받을 가능성이 아주 높음
외부자에 의한 해킹
금융기관의 기술적/관리적 보호조치 위반이 있었는지 여부가 책임 성립의 관건
금융기관의
공동불법행위에 따른 민사책임 및 기술적/관리적 보호조치 위반으로 인한 형사책
책임 임 성립 가능

7. 개인정보 침해와 민형사상 책임 요약
< 형사책임 >
1
암호화 의무 등 보호조치 고시 위반 등 일정한 경우 형사책임의 발생
양벌규정으로 인한 회사의 책임 발생 및 벌금의 부과 *민, 형사 절차 동시 진행의 가능성
< 민사책임 >
2 직원(수탁회사 포함)의 개인정보 침해시 회사의 사용자 책임 발생
집단 소송)에 따른 거액의 손해배상책임 부담
3
한국소비자원의 집단분쟁 조정절차 개시, 개인정보분쟁조정위원회의 조정절차 개시 등

8. 수탁업체의 개인정보 침해진단의 필요성
 금융기관의 개인정보 유출 사건에 대해 피해자들의 대규모 소송이 진행되어 피해보
상 판결까지 이어지는 등 금융기관의 새로운 RISK로 등장
 또한, 금융기관에서 취급하는 개인정보의 양이 급격하게 증가하고 있음에도 불구하
고 적절한 대응을 하지 못해, 개인정보 침해 문제가 발생하여 포렌식 관점에서 접근
필요
 금융기관 본사는 고도의 정보보안 시스템을 구축하고 철저한 정보관리를 시행함으
로써 리스크를 줄이고 있으나, 수많은 수탁업체들에 있어서 본사와 동일한 정보관
리를 실시하기 어려움
 그러나, 수탁업체는 본사와 동일한 법적 책임을 금융기관에게 야기하므로 수탁업체
에 대한 철저한 고객정보 관리 필요

9. 대표적인 진단 대상 오남용 행위
1 개인정보 수집 2 개인정보의 이용 및 제공
개인정보 수집시 고지, 명시의무 불이행 고지, 동의 범위를 초과한 이용 / 제공
사전 동의 없이 개인정보수집/이용/제공 개인정보처리 위탁시 고지의무 불이행
만14세 미만 아동 개인정보의 부정수집 PC저장시 암호화 여부
3 개인정보의 유지, 관리 4 개인정보의 동의철회, 파기/개인
개인정보보호법령상 기술적 관리적 조치 정보의 유출, 도용, 침해 대응처리
/ 안전성 확보 조치 미비 목적 달성한 개인정보의 방치, 활용
비인가자의 개인정보 접근 허용 등 개인정보처리 위탁시 고지의무 불이행
폐기시 복구불가능하게 폐기할 의무

10. 포렌식 진단기법의 활용
• 종래 점검 실무는 체크리스트 기반으로 진단 대상의 진술에 의존
• 수탁업체에 대한 점검이 사전 예고하에 공개적으로 이루어지므로 오남용 행위에 관
한 증거를 폐기하여 쉽게 적발되지 않음
• 컴퓨터 저장장치(HDD, USB, CD 등) 또는 데이터베이스에 불법적(비인가자, 암호
화 미적용 등)으로 오남용된 개인정보 처리 증거 확보 가능
• 디지털 포렌식 기법적 분석은 삭제된 증거, 외부저장장치의 활용, 공모(악의적 이용
에 대한 증거 및 관련자)과 관련된 자료를 찾아낼 수 있음

11. 포렌식 절차
 사전 조사
- 현업의 주요업무 파악
- 진단 대상 업체에 특화된 체크리스트 작성
 증거 수집
- 개인정보 책임자, 처리자, 취급자 등 인터뷰
- 개인정보처리시스템 DB 백업 및 Log 수집
- 개인정보취급자의 PC의 HDD, USB 등 이미징
 증거 분석(예시)
- 부적절한 개인정보 보유 여부
- 외부저장장치를 활용한 개인정보 은닉, 오남용 등 활용 실태
- 개인정보 폐기시 복구불가능하게 폐기하였는지 여부
- DMZ영역에 개인정보의 저장 여부 및 암호화 적용 여부
- PC에 저장되는 개인정보의 암호화 적용 여부

12. 정보통신망법상 암호화 규정
개인정보의 기술적·관리적 보호조치 기준 (방통위 고시 2009. 8. 7. )
제6조 (개인정보의 암호화)
비밀번호 및 바이오정보는 복호화되지 않도록 일방향 암호화 저장
주민등록번호, 계좌 및 신용카드 번호, 계좌번호는 안전한 암호 알고리듬으로 암호화하
여 저장
정보통신망을 통해 이용자의 인증정보 송수신시 안전한 보안서버 구축 등의 조치를 통
해 이를 암호화 하여 전송
Web Server에 SSL통신 또는 암호화 응용프로그램 탑재
정보통신서비스 제공자 등은 이용자의 개인정보를 개인용컴퓨터(PC)에 저장
할 때 이를 암호화하여 저장 (2010년 1월 29일 시행)

13. 개인정보보호법상 암호화 규정
개인정보의 안전성 확보 조치 기준 (행안부 고시 2011. 9. 30. )
제7조 (개인정보의 암호화)
암호화할 개인정보는 고유식별정보, 비밀번호, 바이오정보
위 개인정보를 정보통신망을 통해 송수신할 때에는 암호화 통신
비밀번호 및 바이오정보는 암호화하여 저장해야, 비밀번호는 일방향 암호화해야
고유식별번호
인터넷 구간 및 DMZ구간에 저장시 암호화해야
내부망에 저장시 위험도 분석에 따라 암호화 적용 여부 및 적용여부 결정(공공기
관은 개인정보영향평가의 결과
안전한 암호알고리즘으로 암호화하여 저장해야
2011. 13. 30.까지 암호화계획 수립, 2012. 12. 31.까지 암호화적용
업무용 컴퓨터에 고유식별정보를 저장시 상용암호화소프트웨어 또는 안전한
암호알고리즘 사용

14.  진단 절차 요약
사전조사 증거수집 증거분석 보고서작성
• 현황파 • 인터뷰 • 유출 및 • 대응 방
악 • 디스크 오남용 안 마련
• 체크리 이미징 분석 등
스트 작 등 • 완전파
성등 기 확인

15. 기대효과
 수탁업체의 개인정보 처리과정에서 발생할 수 있는 법적 RISK 미연에 방지
 금융기관 직원 및 협력업체 직원에 경각심 부여로 예방 효과 달성
 금융기관에 대한 신뢰성 증가로 인하여 금융기관 이미지 향상
 수사기관, 규제기관의 조사에 사전적 예방적 대응
 정확한 취급 실태 파악으로 정보보안 정책을 실질적으로 개선 가능
 오남용 관련 담당자에 대해 신상필벌 시행

16. 감사합니다.

17. Q&A