39. 개인정보 영향평가를 하면서 인프라 쪽에서 자주 보게 되는 포인트들

개인정보 영향평가라고 하면
보통은 법령, 동의서, 약관 같은 “문서 일”을 떠올리는 경우가 많은데,
실제로 해보면 인프라·보안 아키텍처를 보는 시간이 꽤 길다.

특히 시스템 규모가 큰 조직에서는
한 서비스 안에서도 온프레미스, 클라우드, 제3자 시스템이
섞여 있는 경우가 많아서
네트워크 구조를 이해하는 게 먼저일 때가 많았다.

제가 평가 업무를 하면서
개인적으로 자주 들여다보게 된 인프라 쪽 포인트들을
간단히 정리해 본다.

인터넷 구간과 내부망 구간이 어떻게 나뉘는지

가장 먼저 보는 건
“어디까지가 인터넷에서 바로 닿는 구간인지”였다.

• 외부에서 직접 접근 가능한 웹·앱 서버
• 그 뒤에 붙어 있는 WAS, API 서버
• 내부 전용 시스템, 백오피스, DB, 로그 서버

이 레이어들이 어떻게 나뉘어 있는지에 따라
적용해야 할 보안 수준이 달라지기 때문이다.

예를 들어,

• 인터넷 구간에는
  WAF, DDoS 방어, SSL 종료, 취약점 진단 결과 등
  외부 위협 대응을 중심으로 보고,
• 내부망 구간은
  접근 주체(관리자, 배치 서버, 다른 서비스)의 종류와
  네트워크 경계 정책, 내부 방화벽·NAC 구조를 더 많이 보게 된다.

개인정보를 어디서 처리/저장하는지와
이 네트워크 경계를 같이 놓고 보면
평가 보고서의 구조도 자연스럽게 잡히는 느낌이 있었다.

DB, 저장소, 로그 위치와 접근 경로

개인정보 영향평가를 하다 보면
결국 질문은 “이 데이터가 어디에 있고, 누가 볼 수 있느냐”로 모인다.

그래서 인프라 구조를 볼 때는
자연스럽게 이런 것들을 체크하게 된다.

• 개인정보가 저장된 DB/스토리지의 위치
  (온프레미스, 클라우드, 관리형 DB 등)
• 애플리케이션이 DB에 접근하는 경로
  (전용망, VPN, 인터넷, 프록시 등)
• 운영자·개발자가 데이터에 접근할 때 거치는 단계
  (점프 서버, VPN, Bastion, DB 콘솔 등)
• 개인정보가 포함된 로그가 있는지, 있다면 어디에 저장되는지

여기서 한 번 정리가 되면
암호화, 접근통제, 로그 보존 같은 항목도
어디를 기준으로 봐야 할지가 훨씬 명확해진다.

클라우드 사용 시 계정·권한 구조

클라우드 환경에서는
플랫폼 계정·권한 설계가 사실상 “보안 인프라”에 가깝다고 느꼈다.

평가 관점에서 자주 봤던 부분은 이런 것들이다.

• IAM 역할/정책이 서비스별로 어느 정도 분리되어 있는지
• 운영·개발·보안 계정이 섞여 있지 않은지
• 콘솔 접속, API 키, 액세스 키 관리를 어떻게 하는지
• 감사 로그(CloudTrail 등)를 활성화하고 있는지,
  있다면 보관 기간은 어느 정도인지

개인정보 보호만 놓고 보면
너무 깊게 들어가는 것처럼 느껴질 수도 있지만,
실제로 사고가 나면
이 계정 구조가 핵심 쟁점이 되는 경우가 많아서
가능하면 평가 단계에서 한 번은 짚고 넘어가려고 했다.

백업, DR, 로그 보관 – “잊혀진 데이터”가 남는 구간

보유 기간과 파기 정책을 이야기할 때
항상 문제가 되는 부분이 백업과 로그였다.

인프라 담당자와 이야기를 하면서
자주 질문했던 내용은 이런 것들이다.

• 개인정보가 포함된 DB/파일이
  어느 주기로, 어떤 방식으로 백업되는지
• 백업 데이터의 저장 위치와 보관 기간
• DR(재해복구) 사이트에
  개인정보 데이터가 어느 수준까지 복제되는지
• 개인정보가 포함된 로그(접속 로그, API 로그 등)의 보관 기간과 접근 통제

운영자는 “당연히 있어야 하는 것”으로 보는 백업·DR 구조가
개인정보 보호 측면에서는
“언제까지, 어느 범위까지 남겨둘지”를 따져봐야 하는 지점이라
이 부분에서 의견을 맞추는 데 시간이 꽤 걸렸던 것 같다.

마무리

개인정보 영향평가는 문서 작업처럼 보이지만,
실제로는 인프라와 애플리케이션 구조를
꽤 깊게 들여다보게 되는 업무인 것 같다.

경험을 정리해보면,

• 인터넷–내부망 경계를 먼저 그려보고
• DB/저장소/로그 위치와 접근 경로를 정리하고
• 클라우드 환경이면 IAM 구조를 한 번 짚어보고
• 백업·DR·로그 보관에서 “잊혀진 데이터”가 남지 않는지 확인하는 것

이 네 가지를 기본 틀로 가져가면
나머지 세부 항목들은
그 위에 하나씩 얹어 가는 느낌에 가깝다는 생각이 든다.