기술·관리·물리적 안전조치와 영향평가

암호화한 명단을 전 직원이 내려받을 수 있다면

센터는 신청자 명단을 암호화해 저장했다. 그러나 모든 직원이 공용 계정으로 접속하고 프로그램이 누구에게나 복호화된 명단을 내보낸다면, 저장 암호화만으로 불필요한 열람을 막을 수 없다. 사무실에서 출력한 명단을 방문객이 볼 수 있는 문제도 암호 알고리즘을 바꿔 해결하지 못한다.

이 절은 앞의 문화강좌 서비스에 기술·관리·물리적 통제를 배치하고, 새로운 처리로 사람이 입을 피해를 미리 평가하는 방법을 다룬다. 운영안과 시험 기록은 자체 교육 사례이며 실제 기관의 법정 평가서나 보안 인증이 아니다.

처리 흐름에서 통제가 필요한 곳을 찾는다

개인정보 생명주기는 수집부터 이용·이전·보관·권리대응·파기까지 이어졌다. 같은 자료도 위치·역할·목적이 달라지면 필요한 통제가 달라진다. 여기서는 그 흐름의 위험과 실제 통제 증거를 연결한다.

1. 처리 위험에 맞는 통제를 먼저 설계한다

개인정보 안전조치·영향평가의 연결은 처리 흐름에서 사람에게 미칠 위험을 찾아 예방·탐지·복구 통제와 담당·검증을 정하고, 처리 변경 전후의 효과와 잔여 위험을 확인하는 활동이다.

유출과 해킹만이 위험인 것은 아니다. 잘못된 출석기록으로 수료 기회를 잃거나 정정 요구가 다른 사본에 반영되지 않는 것도 정보주체의 피해가 될 수 있다. 따라서 안전한 저장뿐 아니라 정확한 처리, 권한, 정상 이용과 권리 행사까지 함께 살핀다. 통제를 많이 나열하는 대신 어떤 실패를 어디에서 막는지 적는다.

기술·관리·물리적 조치를 한 사건에 연결하기

법 제29조와 시행령 제30조는 내부 관리계획, 접근권한·인증·접근통제, 저장·전송 보호, 접속기록, 악성프로그램 방지와 물리적 보호 등을 규정한다. 구체적인 암호화 대상·망 분리·기록 보존 등은 처리 유형과 적용되는 하위 고시의 조건을 확인해야 한다. 어느 한 장비를 설치했다는 사실만으로 전체 안전조치를 충족했다고 쓰지 않는다.[PV-C05]

자체 운영안 PV-S1은 국내의 가상 접수 서비스를 가정하고 아래 통제를 선택한다. 표는 법정 고시 전체의 대체 체크리스트가 아니라 주어진 실패와 통제를 연결하는 설계 결과다.

관리적 통제는 서류만 뜻하지 않는다. 권한 승인·교육·점검·위탁 감독의 실제 수행을 포함한다. 기술 조치는 그 정책을 시스템에서 집행하고 물리 조치는 공간·기기·출력물의 접근을 제한한다. 같은 관리자 계정이 권한과 모든 로그를 함께 바꾸면 통제가 독립적으로 감시한다고 보기 어려우므로 운영 권한과 점검 경로를 나눈다.

목적과 통제와 증거의 흐름

화살표는 평가와 집행의 연결이다. 강사의 열람을 막는 통제만 시험하고 정당한 출석 확인까지 불가능하게 만들면 업무 목적을 놓친다. 통제를 약화하여 편의를 회복하는 대신 역할과 허용 범위를 정확하게 고친다.

2. 영향평가는 위험을 설계에 되돌리는 과정이다

개인정보 영향평가는 개인정보파일의 운용으로 발생할 수 있는 침해 위험요인을 분석하고 개선사항을 도출하는 평가다. 한국법의 의무 대상·수행 주체·절차는 법 제33조와 시행령 제35조 등으로 판단하며, 일반적인 내부 위험 검토와 법정 영향평가 수행을 같은 완료 상태로 표시하지 않는다.[PV-C06]

법 제33조는 정한 기준에 해당하는 개인정보파일의 운용으로 침해가 우려되는 공공기관의 평가·결과 제출과 지정 평가기관에 대한 의뢰를 규정한다. 공공기관 외의 처리자도 침해 우려가 있으면 영향평가를 위해 적극 노력해야 한다. ‘공공기관의 의무 대상이 아니다’와 ‘위험을 평가하거나 안전조치를 할 필요가 없다’는 전혀 다른 결론이다.[PV-C06]

시행령 제35조의 전자적으로 처리할 수 있는 파일 기준은 민감정보 또는 고유식별정보를 수반하는 5만 명 이상, 다른 파일과 연계한 결과 50만 명 이상, 일반적인 100만 명 이상, 이미 평가받은 파일의 운용체계 변경 등을 구별한다. 마지막 경우 평가 대상은 변경 부분으로 한정된다. 하나의 인원 기준을 모든 파일·모든 기관에 공통으로 적용하지 않는다.[PV-C06]

직접 판정: 5만 명보다 적으면 언제나 제외인가

자체 사례 PV-I1은 법 제33조의 해당 공공기관이고 전자적 파일 운용에 따른 침해 우려가 있다는 전제에서 제35조의 기준만 비교한다. 사람 수는 중복을 제거한 정보주체 수이며 행 수가 아니다. 실제 기관 판단에는 적용대상·파일·변경 사실과 해당 절차를 다시 확인해야 한다.

I2에서 인원이 한 명 늘면 I1의 경계를 넘는다. 그러나 I5는 5만 명보다 작아도 이전 평가와 운용체계 변경이라는 다른 조건으로 판단한다. 인원 정보가 없으면 ‘기준 미달’로 채우지 않는다. 민간 서비스에 같은 숫자를 넣어 공공기관 대상 의무를 자동으로 적용하는 것도 틀리다.

3. 센터의 새 분석 기능을 평가한다

PV-S1에 ‘수업 기록을 분석해 다음 강좌를 추천’하는 기능을 추가한다고 하자. 먼저 개인정보파일과 정보 흐름, 추천에 필요한 속성, 추천 결과가 참여 기회에 미치는 영향을 정한다. 필요 없는 건강·경제 상태를 추정하여 추천에서 배제하는 처리는 분석 정확도만으로 정당화되지 않는다.

평가 산출물에는 처리 목록·흐름도, 적용근거, 위험과 영향을 받는 주체, 대안, 선택한 통제·담당·기한, 정상·실패 검증과 잔여 위험을 적는다. 입력을 더 모으는 대안과 최소한의 강좌 선택 이력만 쓰는 대안을 비교하고, 개인별 추천이 없어도 강좌별 집계로 목적을 달성하는지 먼저 확인한다. 법정 영향평가 대상이면 지정 평가기관 의뢰와 제출 절차를 별도로 이행한다.

평가에서 ‘다른 강좌 명단에 접근하지 못하게 한다’고 적었으면 개발 산출물과 실제 거부 시험에 연결한다. 신규 수신처·자료 결합·수집항목·판정 방식이 바뀌면 영향을 다시 평가한다. 평가 보고서를 받아 두고 구현과 운영이 바뀌어도 그대로 승인 상태로 두지 않는다.

직접 계산: 설정한 12곳과 작동을 확인한 9곳

자체 점검 PV-S2는 같은 권한 통제를 적용할 명시된 12개 처리 경로를 평가한다. 사람·서버·규칙 수가 아니라 ‘다른 강좌 명단의 제공을 거부해야 하는 경로’가 분모다. 설정 배치는 12곳 모두 끝났지만 결과는 다음과 같다.

설정 배치율은 12/12=100%다. 시험 실시율은 10/12≈83.33%, 실행한 경로 중 통과율은 9/10=90%, 전체 경로 중 작동 확인은 9/12=75%다. 설정 100%를 보호 완료 100%라고 보고하지 않는다. 비인가 제공 1곳은 사람의 권리를 침해하는 실패이므로 평균이 높아도 해당 기능의 출시를 보류하고 원인 수정과 재시험을 한다. 미실행 두 경로를 실패·성공 중 하나로 억지 분류하지 않는다.

시험을 통과한 9곳도 실제 운영의 모든 공격을 방어했다는 뜻은 아니다. 검증한 소스·설정·계정 조건·시점을 기록하고 운영 변경과 수집 누락을 점검한다. 발견된 원인이 공통 권한 모듈이면 다른 경로에도 영향이 있는지 다시 확인한다.

4. 위험·담당·검증을 실제로 묶는다

센터 책임자는 최소 수집과 정상 수강, 비인가 명단 제공 금지를 보호목표로 정한다. 개인정보 담당은 목적·적용근거·영향평가 해당 여부와 처리방침을 점검한다. 개발 담당은 개인별 권한·서버 집행·정정과 삭제 전파를 구현하고, 운영 담당은 갱신·암호와 키 권한·접속기록·복구 시험을 맡는다. 시설 담당은 출력물·기기 출입과 매체 처리를 관리한다.

PV-S2의 실패 경로를 먼저 차단·수정하고 미실행 경로의 환경을 복구한다. 검토 담당은 설치 화면이 아니라 실제 정상·거부 결과와 민감정보가 없는 점검 기록을 확인한다. 분석 기능에는 필요한 입력만 사용하고 결과의 소집단 노출과 부당한 배제 가능성도 검토한다. 암호화 하나로 모든 위험 대응을 대체하거나 개인정보 전체를 관제 로그에 복제하는 대안은 기각한다.

비인가 제공, 권한 회수 미반영, 정정·삭제 전파 누락, 로그 위조·수집 중단, 출력물 분실을 각각 시험한다. 필수 통제가 실패하거나 필요한 범위가 미확인이면 출시·평가 조치 종결을 보류한다. 필요한 법정 평가기관·절차·권한을 내부 문서나 이 교재의 시험 통과로 대체하지 않는다.

서류와 숫자가 위험을 가리지 않도록

높은 설치율, 영향평가 보고서의 존재, 암호모듈 인증은 각각 다른 범위의 증거다. 접근권한을 잘못 부여한 업무 흐름은 안전한 암호화 위에서도 실패할 수 있다. 개인정보의 정확성·권리·목적 문제를 침입 탐지 성공으로 대신하지 않는다.

법정 기준 하나에 해당하지 않는 경우도 다른 기준·특별 규율·새 변경을 검토해야 한다. 확인하지 않은 하위 고시의 보존기간이나 점검 주기를 일반적인 수치로 만들어 넣지 않는다. 이 절의 사례별 기준과 실제 법정 의무의 적용표를 구별한다.

두 공식 범위를 보조하는 역할

이 절은 개인정보보호의 안전조치·사전 평가와 활용 변경의 위험 검토를 보조한다. 대상은 접수·명단·추천 기능의 처리 경로와 정보주체다. 설치와 작동, 공공 의무 기준과 일반 위험 검토, 보안과 개인정보 영향을 구별한다. 비인가 제공·평가 누락·미실행에서 수정·재시험·보류를 판단한다. 모든 고시 항목·기관별 법정 평가 수행·전체 위험 제거는 제외한다.

5. 자체 10점 문제

PV-I1의 I1·I2·I5를 비교하고 PV-S2의 설치·실시·통과·작동 확인 비율을 계산하여 출시 가능 여부를 설명하라.

기관·파일·인원과 평가 변경 조건을 먼저 읽고 각 비율의 분모를 적는다. 문제와 답안은 자체 교육 예시다.

I1·I2는 인원 경계로, I5는 이전 평가와 체계 변경으로 판단하는 이유를 먼저 적는다. 설정 12·실행 10·통과 9의 어느 값을 각 비율의 분모로 쓰는지도 적고 필수 실패 1곳의 출시 결정을 설명한다.

I1 50000명 → 기준 충족 / I2 49999명 → 명시 조건에서는 불충족
I5 이전 평가 + 운용체계 변경 → 변경 부분 대상
배치 12/12, 실시 10/12, 실행한 경로 중 통과 9/10, 전체 확인 9/12

6. 자체 25점 문제

PV-S1의 접수·분석 기능에 기술·관리·물리적 안전조치와 영향평가를 연결하라. 위험·대안·실제 통제·담당·증거·변경 및 출시 보류를 포함한 운영안을 작성하라.

통제의 이름을 쓰는 것에서 끝내지 말고 어느 실패 경로에 무엇을 집행하는지 결정한다.

목적·위험을 먼저 고정하고 권한·암호·출력물·정정 전파를 각각 어떤 실패에 연결하는지 쓴다. 내부 위험 검토와 지정 평가기관의 법정 절차를 동일한 완료 상태로 쓰지 않는다.

7. 자기교정

조건 변경

미실행 2곳만 추가 통과하면? 실시 12/12, 전체 확인 11/12≈91.67%지만 실패 1곳은 남는다. 결과표의 출시 보류는 평균만으로 해제하지 않는다.

I2의 정보주체가 한 명 늘면? 건강정보 50000명으로 그 인원 기준을 충족한다. 대상표의 기관·파일 전제도 함께 유지한다.

민간 센터가 새 민감정보 분석을 계획하면? 공공 대상 수치만으로 평가 의무를 확정하지 않지만 별도 처리 근거·위험·안전조치를 다시 검토한다. 영향평가의 서로 다른 결론을 구별한다.

회상으로 찾을 설치율의 함정

원래 표를 닫고 “설정 12/12, 실행 10/12, 실행한 경로 중 통과 9/10, 전체 확인 9/12”를 이름과 함께 복원한다. 미실행 2곳만 추가 통과했을 때 확인은 11/12지만 비인가 제공 1곳은 여전히 실패다. 그래서 확인 비율이 상승했다는 사실만으로 필수 실패를 해제할 근거는 없다. 실패 원인이 공유 권한 모듈이라면 이미 통과한 경로도 같은 변경의 영향 범위에 들어갈 수 있어 산출물·설정·시험의 버전을 다시 연결한다.

평가 기준은 공공기관·파일·인원·연계·이전 평가·변경이라는 조건의 조합이다. 같은 숫자를 넣더라도 기관이나 파일의 사실이 달라지면 판정이 달라질 수 있으므로, 답안에는 수치보다 먼저 적용 전제를 쓴다. 국가법령정보센터 시행령 본문에서는 2026-10-05에 대통령령 제36671호·2026-09-11 시행 표기를 확인했다. 제35조의 기관별 적용 사실과 세부 평가 절차는 아래 기존 조문 검토 범위와 구별한다.

근거와 한계

PV-C05는 개인정보 보호법 제29조와 시행령 제30조, PV-C06은 법 제33조와 시행령 제35조를 사용한다. 법률 제21445호·대통령령 제36671호의 2026-09-11 시행 범위를 2026-09-19에 대조했으며 기존 보존 출처 LAW-KR-PIPA-CURRENT·LAW-KR-PIPA-DECREE-CURRENT를 재사용한다. 조문별 세부 고시의 모든 기술 조건·주기·보존기간을 이 표가 완전히 열거한 것으로 표시하지 않는다.

PV-S1·PV-S2·PV-I1과 표·도식·답안은 자체 작성이다. 기관 사실·정식 평가·사람에 의한 독립 승인과 교육용 작동 확인은 구별한다. 뒤의 법규 장은 적용 논증을 확장하며 이 절의 필수 설명을 대신 읽어야 하는 선수 학습 자료는 아니다.

회독의 핵심

처리 흐름과 사람의 피해에서 필요한 통제를 고른다. 관리·기술·물리를 실제 집행과 증거로 연결하고 법정 영향평가의 주체·파일·변경 조건을 구별한다. 설정·시험·통과·작동 확인은 다른 상태이며 필수 실패를 평균으로 지우지 않는다.