많은 온라인 사이트가 이름, 주소, 신용카드 정보 등의 개인 식별 정보를 요청합니다. 이러한 개인 정보는 사이트 공격자가 유출하고 도용하게 되면 개인은 물론이고 개인정보를 다루는 기업들 역시 금전적 피해를 입기 때문에 안전하게 보호하는 것은 매우 중요합니다.

PII란?

Personal Identifiable Information(PII)은 개인 식별 정보를 의미하며 기업이 개인을 식별하거나 조회하기 위해 사용하는 정보입니다. PII는 여권 정보와 같이 개인을 특정할 수 있는 직접적인 식별정보와 인종, 생년월일 등 여러 정보를 조합하여 개인을 식별해낼 수 있는 준 식별정보가 있습니다.

PII에 해당하는 데이터

개인을 특정하여 식별할 수 있는 모든 데이터는 PII에 해당합니다. PII의 정의는 지역마다 다를 수 있지만 대체로 PII라 인식되는 개인정보는 다음과 같습니다.

1. 이름
2. 전화번호
3. 주소
4. 이메일 주소
5. 여권번호
6. 운전면허 등록 번호
7. 차량번호판 번호
8. 지문
9. 생년월일
10. 유전정보
11. 디지털 아이덴티티
12. 신용카드 및 체크카드 번호
13. 주민등록번호(사회 보장 번호)

위에 기재된 정보 외에 PII에 해당하는 수많은 개인정보가 있습니다. 또한 현재 PII에 포함되지 않지만 새로운 정보가 공개되며 이와 조합하여 개인을 식별하는 데 이용할 수 있는 데이터는 추후 PII에 추가될 수 있습니다.

민감성과 비민감성 PII이해하기

PII는 민감성 데이터 비민감성 데이터로 나눌 수 있습니다. 데이터의 민감성을 파악하는 것은 보안 수준을 결정하는 데 도움이 됩니다. 생일, 인종, 종교 등과 같이 추가적인 정보를 활용하지 않으면 개인을 특정 지을 수 없는 웹사이트에서 조회 가능하거나 공개된 데이터는 비민감성 데이터에 해당합니다.

민감성 데이터는 비인가 접근을 막을 수 있는 충분한 보안 조치가 적용된 후 사용해야 하는 데이터입니다. 이러한 데이터는 도용이 발생하게 되면 피해자는 치명적인 피해를 입게 됩니다. 이 때문에 보관하고 사용할 때 상시 암호화하여 위협을 사전에 막아야 합니다. 민감성 데이터의 예시로는 HIPAA가 관리하는 의료정보, 금융 정보, 운전면허 등록번호, 주민등록번호(사회보장번호), 생체정보 등이 있습니다. 또한 기업의 직원 정보, 세금 정보, 직원 식별번호, 비밀번호, 계좌번호, 계정정보 역시 민감성 PII로 분류됩니다.

개인정보보호법에서의 PII

PII는 여러 나라에서 정의되어 사용됩니다. 개인정보보호법에 따라 PII의 정의는 다르며 각 국가의 정의는 다음과 같습니다.

1. 미국 PII

미국 국립표준연구소(NIST)의 개인식별정보의 기밀성 보호를 위한 지침에 따르면 PII는 생체정보, 이름, 사회보장번호와 같이 개인을 유추할 수 있는 모든 정보를 포함합니다.

2. 유럽연합 PII

유럽연합이 발표한 지침95/46/EC에서 개인을 식별할 수 있는 ID번호와 같이 직접적인 식별 데이터는 물론 물리, 정신, 문화, 생리, 경제 그리고 사회정보와 같이 다른 정보의 도움으로 신분을 특정 지을 수 있는 모든 정보를 PII라 명시합니다.

3. 호주 PII

호주의 1988년 개인정보법에서 PII의 정의를 명시하고 있습니다. 해당 법에 따르면 PII는 정보의 진실성 유무와는 관계없이 신분이 명확한 사람에 대한 개인정보 또는 의견 전부를 의미합니다. 호주는 타 국가와 비교하여 PII를 더욱 넓은 관점으로 정의합니다.

4. 뉴질랜드 PII

뉴질랜드 개인정보보호법에 따르면 살아있는 식별 가능한 사람과 연관된 이름, 연락처, 건강 기록, 금융정보 그리고 구매기록까지 모든 정보를 PII라고 정의합니다.

5. 캐나다 PII

캐나다의 개인정보보호 및 전자문서법(PIPEDA)과 프라이버시법에서 단일 데이터 또는 여러 데이터를 조합하여 개인을 식별해낼 수 있는 모든 데이터를 PII라 정의합니다.

PII보호 컴플라이언스 체크리스트

개인식별 정보는 공격자가 접근하기 쉬운 매력적인 데이터이기 때문에 안전하게 보호하는 것이 매우 중요합니다. PII를 다루는 기업들은 관련된 보안 표준과 개인정보 보호 법규를 준수해야만 합니다. 다음은 기업들이 이를 준수하기 위해 따를 수 있는 단계들입니다.

1. 데이터 및 데이터 스토리지(storage) 확인

첫 번째 단계는 기업이 수집 및 보관하는 모든 PII를 식별하고 보관하는 스토리지를 확인하는 것입니다. 개인 식별정보는 파일서버, 클라우드, 직원의 노트북 등 수많은 위치에 보관될 수 있습니다. 이 때문에 모든 스토리지를 명확하게 인지하는 것이 매우 중요합니다. 데이터 스토리지를 확인하는 것뿐만 아니라 데이터의 세 가지 상태인 사용, 정지, 이동 상태 역시 파악해야 합니다. 기업은 데이터의 모든 상태에서 안전하게 보호할 수 있는 조치를 취해야 합니다.

2. PII분류

데이터는 유출 시 발생시킬 수 있는 피해 정도에 따라 분류해야 하며 이는 컴플라이언스를 더욱 쉽게 만들어줍니다. 아래는 데이터 분류의 세 가지 단계입니다.

• 기밀 데이터
  기밀 데이터는 높은 수준의 보안을 적용해야 하는 민감한 데이터입니다. 해당 데이터가 유출 및 도용된다면 매우 치명적인 피해를 가져올 수 있습니다. 기밀 데이터는 사용자가 해당 데이터로 업무를 진행하는 경우에만 접근권한이 주어져야 하며 그 외 모든 시간에는 접근이 허가되지 않아야 합니다.
• 비공개 데이터
  비공개 데이터로 분류된 데이터는 기밀 데이터만큼 민감하지 않지만 역시나 유출되어 도용될 경우 큰 피해를 줄 수 있습니다. 이와 같은 데이터는 지속적으로 확인해야 하는 일부 직원들에게만 접근 권한이 주어져야 합니다
• 공개 데이터
  공개 데이터는 비민감성 데이터로 접근 제한이 가장 낮은 데이터입니다.

3. PII정책 구축

기업에서는 자체적으로 데이터 처리를 규제할 수 있는 정책을 만들 수 있습니다. GDPR(유럽 개인정보보호법)은 데이터 처리를 위한 6가지 원칙을 명시하고 있으며 기업들은 컴플라이언스를 위해 이를 가이드라인으로 활용할 수 있습니다. 기업이 위치한 국가에 GDPR이 적용되지 않더라도 PII보호를 위한 계획을 세울 때 보안 모범 사례로 참고하는 것이 좋습니다. GDPR에서 규정한 데이터 처리 원칙은 다음과 같습니다.

• PII처리는 항상 적법하며 공정하고 투명해야 한다
• PII처리는 필요한 사업 목적을 위해서만 사용한다
• 항상 개인정보 이용은 제한되어 있어야 한다
• 정확하고 시기 적절하게 데이터 처리해야 한다
• 정해진 시간 내에 완료해야 한다
• 무결성 및 기밀성이 유지되어야 한다

PII정책의 목적은 기업 내에서 개인식별정보의 사용을 제한하는 프레임워크를 만드는 것입니다. 하지만 이는 PII데이터를 사용할 때 직원이 인정할 수 있는 사용법을 설명해야 합니다.

4. 데이터 보안 툴 적용

데이터를 식별하고 분류하는 작업이 완료되었으면 인가되지 않은 사용자들의 사용을 제한하는 보안을 적용해야 합니다. 일반적인 데이터 보호 조치에는 엔드포인트 관리, 암호화, 2FA 인증 그리고 스토리지 보안이 있습니다.

엔드포인트 관리: 엔드포인트 관리는 디바이스 펌웨어와 하드웨어의 작동 모니터링과 디바이스 보안을 위한 백신 설치를 포함합니다.

암호화: 정지 및 이동 상태인 데이터의 암호화는 비인가 사용자들이 데이터를 해석할 수 없도록 하기 때문에 PII컴플라이언스를 위해 매우 중요합니다. 암호화키 역시 해커들이 암호화된 데이터를 해독하는 데 사용하지 못하도록 보호해야 합니다.

2FA 인증: 2FA 인증(다요소 인증)은 사용자가 데이터 접근을 시도할 때 자신임을 밝히는 증거를 두 가지 이상 요구합니다.

스토리지 보안: 기업들은 암호화된 하드드라이브와 데이터 손실 방지 소프트웨어가 적용된 클라우드 스토리지를 사용함으로써 저장소를 안전하게 보호할 수 있습니다. DLP는 난독화와 비식별화를 통해 민감성 정보를 안전하게 보호하며 유출 위험을 최소화해줍니다.

5. IAM(Identity and access management) 실시

신원 및 접근 관리(IAM)는 기업 내에서 데이터 접근 규정을 명확하게 정의하는 것입니다. 모든 사용자는 데이터 접근에 대한 권한이 그들의 역할과 책임에 따라 주어져야 합니다. 데이터 접근 허가 오류는 인수 합병시 발생할 확률이 높으며 역할 기반 접근 통제 방법은 실수로 정보가 유출되는 것을 방지할 수 있습니다.

6. 모니터링 및 시정조치

기업은 정보 유출을 대비하여 사고대처 계획을 가지고 있어야 합니다. 정기적인 PII모니터링은 필수적입니다. 대부분의 기업은 그들의 데이터가 유출되었다는 것을 뒤늦게 알아차리는 경우가 많습니다. 이 때문에 유출로 인한 피해를 해결하고 최소화하기 위해 피해 복구 계획이 매우 중요합니다. 제시간에 대처하지 못하게 된다면 피해는 걷잡을 수 없게 될 것입니다.

마치며

정보 유출은 다양한 이유로 발생하며 공격자가 정보를 도용하지 못하도록 적절한 보안 조치를 취하는 것은 해당 데이터를 취급하는 기업의 책임입니다. Experian의 조사에 따르면 42%의 고객들이 그들의 데이터를 안전하게 보호하는 것은 기업의 책임이라고 답했습니다. 또한 64%의 고객은 데이터가 유출되었던 기업과 협업하고 싶지 않다고 답했습니다. 이 통계는 기업에 있어 컴플라이언스의 중요성을 강조합니다.

규정을 준수하지 않으면 사업의 실패, 고객 신뢰도 하락 그리고 처벌받을 수 있습니다. 가트너의 조사에 따르면 2023년까지 개인정보보호법과 기타 조치를 통해 세계 인구 60%의 개인정보가 보호될 것이라고 밝혔습니다. 엄청난 수의 데이터가 수집되고 사용되면서 기업들은 보안이 침해되지 않도록 많은 압박을 받고 있습니다. PII컴플라이언스는 데이터 유출과 연관된 위험성을 최소화하는 효과적인 방법입니다. 공격을 사전 예방하고 보안을 적용하여 기업들이 사이버 공격을 피할 수 있습니다.

앱실링(AppSealing)은 여러 산업의 고객들에게 보안 솔루션을 제공하는 선두주자로서 풍부한 경험과 전문성을 갖추었습니다. 게임산업에서 핀테크에 이르는 다양한 산업을 위한 앱실링의 솔루션은 안드로이드, iOS, 하이브리드 모바일 앱의 성능을 저해하지 않으면서 신뢰성 높고 유연하게 보호합니다. 또한 관련 표준과 규제를 준수하면서 데이터 유출을 방지하고 위협 분석을 바탕으로 실시간으로 데이터에 기반한 결정을 내릴 수 있습니다. 지금 앱실링을 통해 바로 최신 보안 솔루션을 간단하게 구현하는 방법에 대해 알아보세요!

FAQs

1. PII로 분류될 수 없는 데이터의 종류는?

단독 데이터로서 개인을 식별할 수 없는 모든 데이터는 PII로 분류되지 않습니다. 예를 들어 이름, 직장, 공유 데이터, 익명 데이터 등은 PII로 분류되지 않습니다.

2. PII위반은 무엇인가요?

PII위반은 PII의 불법적이고 비인가된 사용을 나타냅니다. 신원 도용이 대표적인 PII위반입니다. 비허가된 사용과 공개도 PII위반이며 유출 상황을 공개하지 않은 것 역시 위반으로 처리합니다.

3. 이메일을 통해 PII를 보내는 법

PII를 보낼 때 이메일은 안전한 방법이 아니며 PII를 전송할 때 사용을 지양해야 합니다. 만약 다른 방법이 존재하지 않다면 암호화하고 적절한 인증절차를 적용하여 보안이 지켜지도록 해야 합니다.

4. PII를 제어하는 법률에는 어떤 것이 있나요?

개인 식별 정보를 보호하고 비인가된 사용을 처벌하기 위해 1974년 연방거래위원회법 및 개인정보보호법과 같은 연방법과 주법에 수많은 소비자 보호법이 존재합니다.