생체인식정보의 명확한 정의 숙지해야
생체인식정보 특성과 개인정보보호 중심 설계 원칙 등 반영해 생체인식정보 보호 6대 원칙 도출

[보안뉴스 엄호식 기자] 개인정보 보호법이 제정된 지 10년이 지난 지금, 우리나라 개인정보보호는 어떤 길을 걸어왔을까? 올해 하반기 GDPR 적정성 결정 통과가 유력시되는 우리나라는 세계에서도 인정하는 개인정보보호 우수국가로 그 배경에는 개인정보 보호법이 있다. 이에 개인정보 보호법의 발자취를 돌아보는 한편, 개인정보보호위원회의 ‘생체정보 보호 가이드라인’을 통해 물리보안 분야 중 생체인식 개인정보를 어떻게 관리하고 보호해야 하는지 짚어봤다.


[이미지=utoimage]

개인정보보호위원회는 지난 9월 지문·얼굴·정맥·홍채 등 생체정보의 보호와 안전한 활용을 위한 ‘생체 정보보호 가이드라인’을 개정해 공개했다. 생체정보보호 가이드라인은 기존 가이드라인을 전면 개편한 것으로 생체정보보호를 위한 기본원칙과 생체정보 처리 단계별 보호 조치, 사례 등을 구체적으로 제시하는 안내서다.

이번 개정은 최근 스마트폰 등 생체정보 이용 기기의 보급이 보편화 되고, 코로나19로 비대면 서비스 전환이 늘어나면서 다양한 분야에서 개인의 생체정보를 인증·식별 목적 등으로 활용하는 사례가 증가함에 따른 것으로, 가이드라인은 안전한 생체정보 이용환경 조성을 위해 개인정보처리자, 관련기기 제조사, 이용자 등이 알아야 할 사항을 구체적이고 알기 쉽게 안내하는 것을 최우선으로 했다.

‘생체정보보호 가이드라인’의 주요 개정 내용은 다음과 같다.
①기존 ‘바이오정보’ 용어의 개념을 명확히 하기 위해 한글 표현인 ‘생체정보’로 변경하고 가이드라인의 명칭도 ‘생체정보 보호 가이드라인’으로 변경했으며, 개인정보 보호법령(고시)에서 암호화 대상으로 규정하는 정보를 ‘생체인식정보’로 정의해 암호화 범위를 명확히 했다.

②보호원칙 중심으로 구성된 기존 가이드라인을 생체인식정보가 처리되는 5단계에 따라 각 처리 단계에서 필요한 총 15개의 보호조치를 안내하는 체계로 개편해 이해도를 높였다.

③적용 대상을 기존 ‘정보통신서비스제공자등’에서 ‘개인정보처리자(정보통신서비스제공자등 포함)’로 확대하고, 개인정보 보호법 시행령 개정에 따라 민감정보로 규정된 생체인식 특징정보의 수집·이용 시 별도 동의가 필요하다는 점을 안내했다.

④이번 가이드라인에는 제조사·이용자 편과 자율점검표 등을 추가해 활용도를 높였다. △제조사 편은 생체인식정보의 안전한 관리를 위한 보호조치는 일반적으로 제조사의 시스템 개발 및 기능 설정에 따라 큰 영향을 받으므로 안전한 이용환경 조성에 필요한 제조사의 역할을 추가했다. △이용자 편은 이용자가 일상생활에서 생체인식정보 활용 서비스를 쉽게 이해하고 안전하게 활용할 수 있도록 서비스 이용 전 사전확인 사항과 서비스 이용 시 주의사항 등을 안내했다. △자율 점검표는 개인정보처리자·제조사·이용자가 생체인식정보 활용 과정에서 가이드라인 준수 여부를 쉽고 편리하게 점검할 수 있도록 가이드라인 내용을 요약한 자율점검표를 부록에 신설했다. ⑤마지막으로 실태점검 등을 통해 확인한 다양한 생체정보 활용 사례를 구체적으로 반영해 가이드라인의 전체적인 이해도를 높였다.

생체인식정보의 명확한 정의
생체정보란 개인의 신체적(지문, 얼굴, 홍채·망막의 혈관 모양, 손바닥·손가락의 정맥 모양, 장문, 귓바퀴 등의 모양), 생리적(뇌파, 심전도, 유전정보 등), 행동적(음성, 필적, 걸음걸이, 자판 입력 속도·간격 등) 특징에 관한 정보로 특정 개인을 인증·식별하거나 개인에 관한 연령이나 성별, 감정 등의 특징을 알아보기 위해 일정한 기술적 수단을 통해 처리되는 정보를 뜻한다.


▲개인정보와 생체정보, 생체인식정보의 구분[자료=개인정보보호위원회]

여기에서 ‘인증’이란 출입통제시스템 등에 대해 이용 권한이 있는 특정 개인임을 확인하기 위해 이용자가 입력한 생체정보를 기기 등에 저장된 정보와 대조해, 본인 여부를 확인하는 것이다. 그리고 ‘식별’이란 여러 가족 구성원의 음성 중 지금 말하는 사람을 확인해 대답하는 인공지능 스피커처럼 개인의 생체정보를 데이터베이스에 저장된 다수의 생체정보와 대조해 여러 사람 중 특정한 개인을 구분해 확인하는 것을 뜻한다.

‘생체인식정보’는 생체정보 중 특정 개인을 인증·식별할 목적으로 처리되는 정보로 ‘일반적인 생체정보’와는 구분된다. 이와 더불어 개인을 인증 또는 식별하는 목적으로 입력장치 등을 통해 수집·입력되는 ‘생체인식 원본정보(이하 원본정보)’와 이로부터 특징점을 추출하는 등의 일정한 기술적 수단을 통해 생성되는 ‘생체인식 특징정보(이하 특징정보)’로 구분된다.

원본정보는 생체인식정보를 전자적으로 처리하는 과정에서 유출되거나 오·남용되는 경우 개인정보 침해 위험성이 커 원본정보의 안전한 보관을 위해 저장 시 암호화하고 원본정보를 특징정보 생성 후에도 보관하는 경우, 다른 개인정보와 분리 보관하는 등 별도의 보호조치가 필요하다. 특징정보는 개인의 신체적, 생리적, 행동적 특징에 관한 정보로 특정 개인을 알아볼 목적으로 일정한 기술적 수단을 통해 생성한 정보이기에 ‘개인정보 보호법 시행령’ 제18조제3호에 따른 민감 정보에 해당하며, ‘개인정보 보호법’ 제23조(민감정보의 처리 제한)가 적용된다.

생체인식정보는 유일하고 변하지 않는다는 특성이 있지만, 유출 시 피해를 복구하기 어렵고 민감 한 정보가 추출되거나 위·변조돼 악용될 수 있는 특성이 있어 이러한 특성을 고려한 특별한 보호 조치가 필요하다.

이에 생체인식정보를 활용한 서비스를 도입하기 전에 생체인식정보 처리에 따른 편익에 비해 개인정보 침해 위험성이 크지 않은지를 고려해 해당 서비스 도입 여부를 결정해야 한다. 또, 생체인식정보 활용 서비스를 도입하는 경우, 서비스 활용 목적에 필요한 최소한의 정보를 적법하게 수집할 필요가 있다.

생체인식정보는 인증·식별 등 이용자로부터 동의를 받은 목적의 범위 내에서만 이용해야 하고, 이용자에게 생체인식정보가 처리되는 내용을 투명하게 공개해야 한다.

또, 위·변조된 생체인식정보를 탐지해 서비스 이용을 거부하는 등 생체인식정보를 안전하게 처리하고, 이용자가 생체인식정보를 스스로 통제할 수 있는 수단을 제공하는 것도 필요하다. 개인정보보호위원회는 ‘개인정보 보호법’ 상의 개인정보보호 원칙(제3조)을 기본으로 생체인식정보의 특성과 개인정보보호 중심 설계 원칙 등을 반영해 생체인식정보 보호 6대 원칙을 도출했다. 개인정보보호 중심 설계(PbD : Privacy by Design) 원칙은 국제적으로 광범위하게 통용되는 개인정보보호 원칙으로 제품이나 서비스 개발 시 기획 단계에서부터 개인정보 처리의 전체 생애주기에 걸쳐 이용자의 프라이버시를 고려한 정책을 적용해 설계에 반영하는 것을 의미한다.

생체인식정보 보호 6대 원칙은 다음과 같다.
1. 비례성 생체인식정보 처리에 따른 편익에 비해 개인정보 침해 위험성이 크지 않은지 고려해 생체인식정보의 활용 여부를 판단 한다.
2. 적법성 생체인식정보의 수집·이용·제공 등 생체정보 처리의 근거는 적법하고 명확해야 한다.
3. 목적 제한 생체인식정보를 정보주체에게 동의 받은 인증과 식별 이외의 목적으로 무단으로 활용해서는 안 된다.
4. 투명성 생체인식정보 보호에 관한 사항을 정보주체에게 알기 쉽게 제공한다.
5. 안전성 생체인식정보가 분실·도난·유출·위조·변조 또는 훼손되지 않도록 안전하게 처리하고 관리한다.
6. 통제권보장 정보주체가 자신의 생체인식정보를 스스로 통제할 수 있는 수단을 제공한다.

생체정보보호 가이드라인 적용 대상
개인정보보호위원회의 ‘생체정보보호 가이드라인’은 생체인식정보를 직접 처리하는 개인정보처리자와 생체인식정보 처리기기를 제조하는 제조사 및 서비스 개발·제공자(이하 제조사) 그리고 생체인식정보 처리 서비스를 이용하는 정보주체(이하 이용자)를 대상으로 한다.

개인정보처리자 개인정보처리자는 정보통신망법 제2조에서 정의한 정보통신서비스 제공자를 포함하며 업무를 목적으로 개인정보파일을 운용하기 위해 스스로 또는 다른 사람을 통해 개인정보를 처리하는 공공기관이나 법인, 단체 및 개인 등을 의미한다. 단, 지문인식 도어록 등을 사적인 목적(업무 목적 외)으로 설치·운영하는 경우에는 개인정보처리자에 해당하지 않는다.

제조사 제조사는 생체인식정보를 처리하는 기기를 제조하거나 생체인식 정보처리 시스템·서비스를 개발해 고객(개인정보처리자 등)에게 제공하는 법인 등을 의미한다. 여기에는 생체인식정보를 처리하는 출입통제기기 제조사와 생체인식정보 처리 시스템을 개발해 납품하는 개발사, 생체인식정보를 처리하는 스마트폰 제조사 및 OS 사업자, 기기에서 처리된 인증결과 값을 전송받는 사업자 등이 포함된다.

이용자 생체인식정보를 제공해 출입통제, 스마트폰·앱 로그인, 거래 승인 등 생체인식정보를 처리하는 서비스를 이용하는 정보주체를 뜻한다. 여기에는 생체인식정보를 활용하는 출입통제, 복무관리 시스템을 이용하는 임직원과 방문객 및 생체인식정보를 활용하는 스마트폰과 쇼핑·금융 앱 이용자 등이 포함된다.


[이미지=utoimage]

생체인식정보 위·변조 방지
센서 등의 장치를 통해 생체인식정보가 수집·입력될 때, 실리콘 인공지문이나 캡쳐된 얼굴·홍채사진, 녹음된 음성 등 위·변조된 생체인식정보를 이용한 공격에 대한 보안대책도 마련하고 있다.

먼저 위·변조 탐지는 온도와 맥박 감지 등 위·변조를 탐지하는 알고리즘 등 위·변조된 생체인식 정보를 탐지하는 기술을 적용할 필요가 있다. 하드웨어 적으로는 피부의 온도 측정, 빛을 흡수·반사·투과·감쇠하는 특성과 손가락 끝의 맥박 측정, 피부에 흐르는 전기 저항을 측정하는 등 위·변조된 생체인식정보를 감지하는 하드웨어를 추가해 탐지한다.

소프트웨어적으로는 위조된 생체인식정보 영상은 실제 인치로부터 수집한 정보 대비 품질이 떨어지는 특성을 이용해 영상의 밝기와 전경의 윤곽, 융선의 명확도 등을 분석하는 알고리즘을 적용한다.

또, 생체인식정보 입력 시 핀 번호 입력, ARS 인증, 일회용 비밀번호(One-Time Password) 인증 등 지식·소유기반의 인증 수단을 추가로 적용해야 한다. 이외에도 생체인식정보를 정보통신망을 통해 전송하거나 보조저장매체 등을 통해 전달하는 경우, 인가되지 않은 접근이나 해킹 등으로 인한 유출과 위·변조 가능 등을 방지하기 위해 안전한 알고리즘으로 암호화해야한다.

공공기관은 국가정보원의 검증대상 암호 알고리즘을 적용하고 법인과 단체·개인 등 민간부분은 KISA나 NIST, ECRYPT, CRYPTREC 등 국내외 전문기관이 권고하는 암호 알고리즘을 적용해야 한다. 생체인식정보 처리는 기술적·환경적 여건에 따라 다르지만 일반적으로 응용프로그램 재차 암호화 방식이나 SSL/TLS 방식, VPN 방식 등 적합한 방식을 적용하면 된다.

생체인식정보의 안전한 이용위한 제조사의 역할
생체인식정보의 안전한 관리를 위한 기술적·관리적 보호조치 등은 일반적으로 제조사의 시스템 개발과 기능 설정에 따라 큰 영향을 받기 때문에 개인정보처리자의 안전한 생체인식정보 처리를 위해서는 제조사의 역할이 중요하다.


▲일반적인 생체정보에 권장되는 보호조치[자료=개인정보보호위원회]

제조사는 제품과 서비스의 기획·설계 및 개발 단계에서 생체인식정보의 전송·저장 시 암호화, 안전한 파기 등 생체인식정보의 안전성 확보에 필요한 기술적·관리적 보호 조치 등을 제품과 서비스에 적용해야 한다. 또, 제품과 서비스를 도입해 운영하는 개인정보처리자와 개인이 생체인식정보 처리시스템을 안전하게 관리·운영하는데 필요한 관리 기능을 제공하고 그 이용 방법을 안내해야 한다.

지문인식 센서 등 생체인식정보를 이용자로부터 직접 수집해 특징정보를 추출하는 장치를 제조하는 경우에는 생체인식정보 유출 및 위·변조에 따른 위험을 최소화하기 위해 특징정보로부터 원본정보가 쉽게 복원되지 않도록 특징정보 생성 알고리즘을 설계해야 한다. 원본정보 수집 시 실리 콘 인공지문, 캡쳐된 얼굴·홍채사진, 녹음된 음성 등 위·변조된 생체인식정보를 이용한 공격에 대한 보안대책도 마련돼야 하며, 원본정보는 고객의 요청 등 특별한 사정이 없다면 특징정보가 생성되면 지체없이 파기해 원본정보 유출에 따른 개인정보 침해위험을 예방해야 한다.

출입통제·복무관리 시스템 등 생체인식정보를 이용해 이용자를 인증한 후 특정 서비스를 제공하는 정보처리시스템 제조사나 쇼핑·금융 앱 등 이용자 대상의 온라인 서비스 개발사 등의 경우에는 전송과 보관 과정에서 생체인식정보가 유출 및 위·변조되지 않도록 안전한 알고리즘으로 암호화하고 암호키를 안전하게 관리해야 한다. 특징정보가 생성되면 원본정보는 지체없이 파기하는 것이 원칙이며, 이용자로부터 동의를 받거나 법령에 근거가 있어 원본정보를 파기하지 않고 보관하는 경우에는 다른 개인정보와 분리해 보관하도록 설계·제조해야 한다.

쇼핑이나 금융 앱 등 온라인 서비스인 경우에는 이용자가 자신의 생체인식정보 제공과 이용을 스스로 결정할 수 있도록 생체인식정보의 열람과 정정·삭제 등의 통제수단을 제공해야 한다.
[엄호식 기자(eomhs@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>