개인정보 안전조치와 유출 통지·신고 | 정보보안기사 필기

1. 안전조치는 여러 통제를 함께 적용한다

2026년 9월 13일 시행 기준이다. 개인정보 보호법 제29조와 시행령, 「개인정보의 안전성 확보조치 기준」에 따라 처리 규모·정보의 특성 등을 고려한 관리적·기술적·물리적 조치를 적용한다. 암호화 한 가지만으로 모든 의무를 다한 것으로 보지 않는다.

영역	대표 조치와 목적
내부 관리	책임·권한, 교육, 점검과 사고대응 절차를 정하고 실행
접근권한·접근통제	업무상 최소 권한 부여, 변경·퇴직 시 회수, 비인가 접근 차단
암호화	법정 대상·처리 상황에 맞춰 전송·저장 정보를 보호하고 키를 별도 관리
접속기록	누가 언제 어떤 작업을 했는지 추적하고 오·남용을 점검
악성프로그램 방지	예방·탐지 도구와 보안 업데이트 운영
물리적 보호·파기	보관 장소 출입통제, 매체 반출과 복구 불가능한 파기

비밀번호는 복호화가 필요한 평문과 달리 안전한 일방향 방식으로 저장한다. 일반 해시를 한 번 계산하는 것만으로 충분한 보호라고 보지 않는다. 구체적인 인증·키 관리 원리는 4단원과 연결한다.

2. 접속기록 보관과 점검

2026년 7월 1일 시행 고시 제8조 기준이다. 정보주체 자신은 제외한, 개인정보처리시스템에 접속한 자의 기록에 관한 규정이다.

대상	최소 보관·관리 기간
원칙	1년 이상
5만 명 이상 정보주체의 개인정보를 처리하는 시스템	2년 이상
고유식별정보 또는 민감정보를 처리하는 시스템	2년 이상
해당 등록·신고를 한 기간통신사업자인 개인정보처리자	2년 이상

개인정보취급자의 접속기록과 다운로드 상황을 확인·점검하는 주기·방법·사후조치절차를 내부 관리계획으로 정하고 이행한다. 현행 조문을 일률적인 ‘월 1회 점검’으로 바꾸어 암기하지 않는다. 접속기록 자체의 위·변조·도난·분실 방지 조치도 필요하다.

3. 실제 유출등을 알게 된 경우의 통지

유출등은 법에서 정한 개인정보의 분실·도난·유출·위조·변조·훼손을 포괄하는 표현이다. 통지는 피해 정보주체에게 알리는 것, 신고는 담당 기관에 알리는 것이다.

실제 유출등을 알게 되면 법상 지체 없이 통지해야 하며, 시행령 제39조는 원칙적으로 인지 후 72시간 이내 서면·전자우편 등으로 알리도록 한다. 다음 내용을 포함한다.

해당 개인정보 항목.
유출등의 시점과 경위.
정보주체가 피해를 줄이기 위해 할 수 있는 방법.
개인정보처리자의 대응조치와 피해 구제 절차.
신고·문의 담당 부서와 연락처.
손해배상·법정손해배상·분쟁조정 등 법상 권리와 행사 방법.

확산·추가 유출 방지를 위한 긴급조치가 필요하거나 천재지변 등 부득이한 사유로 72시간 내 통지하기 어려운 법정 예외에서는 사유 해소 후 즉시 통지한다. 항목·경위가 아직 확인되지 않았다고 전체 통지를 미루지 않는다. 확인된 사실과 필요한 보호·구제 안내를 먼저 알리고 추가 확인 사항을 즉시 보완한다.

정당한 사유로 연락처를 알 수 없으면 홈페이지 등에 30일 이상 게시하는 대체 방법을 적용한다. 홈페이지가 없으면 사업장 등의 보기 쉬운 장소에 게시한다. 편하다는 이유만으로 개별 통지를 게시로 대체하지 않는다.

4. 유출 가능성 통지는 별도로 판단한다

2026년 9월 11일 시행 규정은 대통령령이 정한 유출 가능성을 알게 된 때에도 해당 가능성이 있는 모든 정보주체에게 지체 없이 알리도록 한다. 대표 조건은 다음과 같다.

개인정보처리시스템 등에 대한 불법 접근과 유출 의심 정황이 있으나 관련 정보주체를 특정하기 어려운 경우.
일부 개인정보가 불법 거래 등으로 유출된 사실이 확인되어 다른 정보주체의 정보도 유출되었을 가능성이 있는 경우.

가능성이 있는 정보 항목, 의심되는 시점·경위, 피해 최소화·대응·연락처 등을 알리고 사실관계가 확인되면 추가 통지한다. 단순한 공격 차단 로그 하나가 곧바로 이 조건을 충족하는 것은 아니다. 가능성 통지와 실제 유출 통지의 요건·시점을 구분한다.

5. 담당 기관에 대한 신고

실제 유출등이 다음 중 하나에 해당하면 시행령 제40조에 따라 인지 후 72시간 이내 개인정보보호위원회 또는 KISA에 신고한다.

1,000명 이상 정보주체에 관한 개인정보.
민감정보 또는 고유식별정보.
외부의 불법적인 접근으로 개인정보처리시스템이나 처리용 기기에서 발생한 유출등.

이는 각각의 조건이다. ‘민감정보도 반드시 1,000명 이상이어야 한다’는 설명은 틀리다. 반대로 기관 신고 기준에 해당하지 않아도 정보주체 통지 의무는 별도로 존재할 수 있다.

천재지변 등 부득이한 사유가 있으면 사유 해소 후 즉시 신고한다. 유출 경로를 확인하고 회수·삭제 등으로 정보주체의 권익 침해 가능성을 현저히 낮춘 경우에는 시행령의 신고 예외를 판단한다. 이를 임의로 통지 의무까지 없애는 예외로 확대하지 않는다. 신고 시 아직 확인되지 않은 항목·경위는 확인되는 즉시 추가 신고한다.

6. 사례로 적용하기

외부 불법 접근으로 300명의 일반 연락처가 실제 유출되었다면, 1,000명 미만이라는 이유만으로 기관 신고를 생략할 수 없다. 외부 불법 접근 조건에 해당하며 정보주체 통지도 별도로 진행한다.

반면 방화벽에서 차단된 요청만 있고 불법 접근·유출 정황이 확인되지 않았다면, 그 사실만으로 모든 고객에게 ‘유출 확정’이라고 통지하는 판단은 부정확하다. 조사·보호조치를 진행하면서 실제 사실관계와 각 법정 요건을 확인한다.