공공시스템 연 1회 해킹 취약점 점검 의무…개보위 안내서 개정

공공시스템에 대한 연 1회 이상 보안 취약점 점검과 침투시험 의무를 구체적으로 설명하고 패스키 등 최신 인증기술을 반영한 개인정보 안전조치 안내서가 나왔다.

개인정보보호위원회는 공공시스템 취약점 점검 의무와 최신 보안기술 등을 반영한 '개인정보의 안전성 확보조치 기준' 안내서를 개정·발간했다고 5일 밝혔다.

이번 안내서는 최근 고시 개정 내용과 변화하는 개인정보 처리환경을 반영해 해설과 예시를 정비하고, 현장에서 자주 제기되는 질의에 대한 답변을 보완했다.

우선 공공시스템을 대상으로 취약점 점검과 침투 테스트를 연 1회 이상 시행하도록 한 의무에 관한 해설과 자주 묻는 질문(FAQ)을 추가했다.

개인정보위는 공공부문 개인정보 유출사고를 예방하기 위해 올해 7월 고시를 개정해 공공시스템별로 취약점 점검과 침투테스트를 연 1회 이상 실시하고, 확인된 취약점을 지체 없이 보완·개선하도록 했다.

다양해진 인증수단과 인공지능(AI) 등 기술 변화에 관한 예시도 추가했다.

안내서에서 소개하는 인증수단은 비밀번호·일회용 비밀번호(OTP)·문자메시지(SMS) 등 7종에서 패스키·QR코드·모바일 앱 등을 포함한 12종으로 늘렸다.

양자컴퓨팅 기술 발전에 따른 암호체계의 변화 가능성을 고려해 양자내성암호 도입에 관한 내용도 담았다.

암호키를 응용프로그램 소스코드나 설정파일 등에 평문으로 저장하지 않도록 주의를 당부하는 등 키 관리의 중요성도 강조했다.

시스템 간 정보 연계 등에 활용되는 응용프로그램 인터페이스(API)의 안전한 이용·관리를 위한 점검사항을 추가하고 시스템 업데이트가 지연될 때 고려해야 할 안전조치에 관한 설명도 보완했다.

이상민 개인정보위 개인정보정책국장은 "안전조치 기준에 대한 현장의 이해를 높이고 업무환경에서 안전조치를 적용할 때 발생할 수 있는 혼선을 줄일 수 있을 것으로 기대한다"며 "개인정보 처리환경과 기술 변화 등을 고려해 안내서를 보완해 나갈 계획"이라고 밝혔다.