개인정보보호법은 모든 기업에 적용되는 것으로 전자파일이나 DB는 물론 종이문서나 전자문서도 적용되고 있다. 기업에서는 개인정보의 수집에서 보관 및 폐기까지 철저하게 관리하고 보호해야 함을 뜻한다. 하지만 이를 보호하기 위한 구체적인 방법을 강구하는 데에는 어려움이 크다. 담당자들의 고민을 해결해주기 위해서 이 달에는 기업 내 문서에 대한 개인정보보호법 대응 사례들을 살펴보고자 한다.

김 희 수 │ 신도리코 솔루션사업부 부장(heesu@sindoh.com)

금융기관의 발 빠른 개인정보보호법 대응 사례

개인정보보호법이 발효되고 가장 빠르게 대응해온 산업은 단연 금융기관이다. 개인정보를 많이 보유하고 있어 유출 사고에 민감할 수밖에 없고 금감원의 감사가 진행되면서 다른 산업군보다 일찍 개인정보 보호를 위한 사내 시스템들이 구축됐다. 그 중에서도 종이문서에 출력된 개인정보에 대한 보호방안도 개발되었는데 크게 두 가지 콘셉트로 설명할 수 있다. 바로 ‘개인정보 자동검출 시스템’과 ‘개인정보 자기 선언 시스템’이다. 두 시스템이 이름은 유사하지만 구현 및 운영방안은 크게 다르다.

A보험사의 개인정보 자동검출 시스템

개인정보 자동검출 시스템은 사용자 PC에 AGENT를 설치, 출력하는 문서 내용을 확인해 포함된 개인정보가 있으면 결재를 받거나 개인정보에 마스킹(*)을 해서 출력되게 함으로써 개인정보에 대한 유출을 막는 시스템이다.

문서 출력 시 문서 내에 있는 개인정보를 자동적으로 판독하므로 사용자 입장에서 업무 프로세스의 변화가 적고 간편한 시스템이다. A보험사의 경우 정책을 설정 운영할 수 있는 서버를 본사에 두고 전체 사용자 PC에 AGENT를 설치해 운영 중이며, 출력 중 개인정보가 일정 수량 이상 포함 시에는 결재를 받아 출력하고, 적은 경우에는 자동으로 마스킹 처리해 출력되게 하고 있다. 이렇게 처리된 이력을 관리함으로써 개인정보가 포함된 문서의 생성에서 관리사용 이력 등에 대하여 일괄 시스템으로 관리운영하고 있다. AGENT 타입이라 OS의 버전에 따라 지원해야 하고 새로운 OS 도입 시에 불편함이 있다는 단점이 있지만, 최근 사용상의 문제점을 보완하는 개발이 진행되고 있다. 또한, 문서파일의 개인정보는 완벽하게 추출하지만 JPG, PPT, PDF를 통한 정보 유출에 취약하고 복사, 책스, 스캔 등 PC를 통하지 않는 문서작업에서도 통제가 어렵다는 단점이 있어 최근 OCR 시스템과 결합해 운영하는 시스템으로 점차 발전해 가고 있다.

B카드 사의 개인정보 자기선언 시스템

개인정보 자기선언 시스템을 구축한 B카드 사는 AGENT가 없는 방법으로 시스템을 개발하여 혁신적이라는 평가를 받았다. 개인정보가 포함된 문서는 출력을 요청한 사용자가 내용을 가장 정확하게 알고 있다. 그래서 개인정보 포함 문서는 사전 결재를 올려 승인을 받은 후 출력할 수 있도록 시스템을 구축함으로써 개인정보 문건 생성을 완벽히 관리할 수 있다.

만약 개인정보가 포함된 문서인데도 사전승인을 받지 않고 출력할 경우 사후 문서보안 관제시스템에서 이를 검출하여 사유서를 요구하고 결재를 받아두는 시스템도 같이 운영함으로써 사전승인 시스템의 약점을 100% 보완했다.

이 시스템은 팩스에도 적용할 수 있어 보안을 보다 강화할 수 있다는 것도 강점이다. B카드사는 이를 확대 적용하여 고객정보를 사용하는 모든 곳에 대하여 협력사도 개인정보 사전승인 시스템을 구축 운영하고 있다. 이러한 시스템을 통해 개인정보의 생성에서부터 관리 폐기까지도 관리하는 DOCUMENT LIFE CYCLE 관리가 가능해져 개인정보관리가 더욱 명확해졌다.

프린터와 복합기 관리가 정보보호의 첫걸음

금융기관은 산업적 특성에 따라 고도의 개인정보 보호가 필요하기 때문에 시스템 개발, 구축, 운영에 많은 비용을 투자하고 있다. 그렇다면 일반 기업에서 적은 비용으로 시작할 수 있는 정보보호 방법에는 어떤 것이 있을까? 우선 프린터, 복합기 사용 시 사원증 인증을 통해 사용 이력을 저장하는 것부터 시작하는 것이 좋겠다. 사용 이력에 문서 이미지까지 저장할 수 있다면 사고를 미연에 방지하는데 큰 도움이 될 것이다. 기업마다 업무 프로세스가 다르고, 개인정보 및 문서관리 정책이 다르기 때문에 문서관리 솔루션 기업에 컨설팅을 의뢰하는 것도 좋은 방법이다. 신도리코는 수년 동안 다양한 산업 군에서 성공사례를 쌓아온 만큼 기업별 니즈에 맞춰 맞춤형 솔루션을 제안할 수 있다.

<글 : 시큐리티월드 편집부>

[월간 시큐리티월드 통권 제196호(sw@infothe.com)]

<저작권자 : 시큐리티월드(www.securityworldmag.co.kr) 무단전재-재배포금지>