Privacy Desk

재택근무나 원격근무가 예외적인 일이 아니라당연한 선택지 중 하나가 되면서보안·개인정보 관점에서도 고민거리가 많이 생겼습니다.집, 카페, 공유오피스, 출장지 등회사 밖에서 일하는 시간이 늘어나면사소해 보이던 부분들이조금씩 리스크로 다가오기도 합니다.제가 현업에서 재택·원격 근무 환경을 보면서신경을 썼던 부분들을 정리해 보려고 합니다.집은 편하지만, 주변 시선은 더 느슨하다회사에서는 당연하게 지켜지는 것들이집에서는 쉽게 무너지기도 합니다.모니터 화면이 거실에서 그대로 노출되어 있는 경우가족이나 지인에게 업무 관련 창이 보이는 경우집에서 쓰는 개인 PC와 회사 업무용 계정을 섞어 쓰는 경우특별히 악의가 없더라도이런 환경이 반복되면민감한 정보가 주변 사람들에게 노출될 수 있습니다.그래서 재택 환경에서는화면 잠금..

보안·개인정보 업무를 하다 보면개발팀과 함께 일할 일이 많습니다.서로 입장이 다르다 보니긴장감이 생길 때도 있고,“보안은 늘 안 된다고만 한다”는 말을 들을 때도 있습니다.저도 일을 하면서부딪히는 순간과 잘 풀리는 순간을 둘 다 경험했고,그 과정에서 조금씩 정리하게 된 생각들을한 번 적어보고 싶었습니다.타이밍을 놓치면, 같은 말도 더 무거워진다보안 요구사항을 언제 얘기하느냐에 따라받아들이는 무게가 달라집니다.기획 초기나 설계 단계에서 이야기할 때와개발이 거의 끝난 뒤,릴리즈 직전에 이야기할 때의 반응은당연히 다를 수밖에 없습니다.그래서 가능하면큰 구조와 원칙은 초반에세부적인 보완 사항은 중간중간이야기를 나누려고 합니다.물론 이상적인 타이밍만 골라서 얘기하기는 어렵지만,최소한 “이건 초반에 한 번 같이 보..

보안 사고 리포트를 보다 보면기대 이상으로 자주 등장하는 키워드가 있습니다.바로 계정과 권한입니다.비밀번호가 약해서 털리는 경우도 있지만,“원래 주면 안 됐던 권한이 있었다”거나“이미 퇴사한 사람 계정이 남아 있었다”같은 상황에서 시작되는 사고들도 꽤 많습니다.권한은 일단 넓어지고, 잘 줄어들지 않는다실무에서 권한 관리를 하다 보면처음에는 최소 권한으로 시작하더라도시간이 지나면서 조금씩 넓어지는 경향이 있습니다.급해서 일단 전체 권한을 주고나중에 정리하자고 했다가실제로는 정리할 시간이 없어서 그대로 굳어버리는 경우저도 여러 시스템에서 이런 패턴을 봤습니다.그래서 가급적이면“일단 넓게 주고 나중에 줄이는 방식”보다는“처음부터 단계별로 필요할 때만 확장하는 방식”이결과적으로 더 안전하고 관리도 수월했습니다...

서비스를 운영하다 보면필연적으로 외부 수탁사나 협력사와 일을 하게 됩니다.개발, 운영, 콜센터, 마케팅, 클라우드, 장비 유지보수까지조직이 직접 다 할 수는 없기 때문에외부와 일을 나눠서 하는 구조가 자연스럽게 생깁니다.그런데 개인정보나 주요 정보를 다루는 영역까지수탁사·협력사에 맡기기 시작하면보안·개인정보 담당자 입장에서는신경 써야 할 지점이 몇 가지 추가됩니다.어떤 일을 맡기고 있는지 먼저 명확히 하기처음에는 보안 항목부터 보고 싶지만,실제로는 “무엇을 맡긴 일인지”를 먼저 정리하는 게 더 중요했습니다.개발만 해주는지운영도 같이 하는지시스템 접근 권한이 있는지데이터 자체를 넘겨받는지이걸 정확히 알아야어떤 수준의 보안 요구사항을 걸어야 할지감이 잡힙니다.예를 들어 단순 컨설팅과실제 시스템에 접근해서 개..

보안 교육은해야 한다는 건 다들 알고 있지만,막상 진행하고 나면“또 형식적인 교육 하나 했네”라는 반응이 나오는 경우가 많습니다.저도 교육을 준비하면서여러 번 시행착오를 겪었습니다.실무에서 느낀보안·개인정보 교육을 할 때 신경 쓰게 되는 포인트들을한번 정리해 보려고 합니다.1. “하지 마세요”보다 “이렇게 하면 됩니다”를 먼저 보여주기교육을 준비할 때금지사항 위주로만 정리하면 내용은 빨리 채울 수 있습니다.이건 하면 안 됩니다저건 위반입니다라는 이야기만 계속 들으면듣는 사람 입장에서는 금방 피로해집니다.그래서 교육을 할 때는 가능하면위험한 방식과그걸 피할 수 있는 현실적인 대안을 같이 보여주려고 합니다.예를 들면개인 메일에 업무자료를 보내면 왜 위험한지 설명하면서,조직에서 허용하는 협업 도구나 안전한 공..

보안·개인정보 업무를 하다 보면“로그는 나중에 여유 생기면 정리하죠”라는 말을 자주 듣게 됩니다.개발 일정은 항상 빠듯하고,당장 눈에 보이는 기능부터 만드는 게 급하니로그와 모니터링은 자연스럽게 뒤로 밀립니다.그런데 막상 사고가 나거나,점검이나 분쟁 상황이 생기면가장 먼저 찾는 것이 바로 그 로그입니다.로그는 나중이 아니라, 제일 나중까지 남는 것서비스는 언젠가 종료되거나 바뀝니다.하지만 그 서비스가 어떻게 운영됐는지,누가 무엇을 했는지는로그에 남습니다.사고 분석, 고객 민원, 법적 분쟁,규제기관 조사, 내부 감사…어떤 상황이든마지막까지 근거가 되는 것은말이 아니라 기록입니다.그리고 그 기록의 중심에 로그가 있습니다.어떤 로그를 남길지 먼저 정해야 하는 이유개발이 이미 다 끝난 뒤에“이제 로그 좀 남겨 ..

신규 서비스나 시스템이 나오면보안·개인정보 담당자 쪽으로 문서가 하나 둘씩 넘어옵니다.기획서, 화면 설계, API 명세, 인프라 구성도…처음에는 이걸 어디서부터 봐야 할지 막막할 수 있습니다.저도 초반에는 체크리스트만 붙들고 헤매다가,시간이 지나면서 자연스럽게 순서를 조금 정리하게 됐습니다.지금은 대략 아래 순서로 보는 편입니다.1. 이 서비스는 누가, 무엇을 위해 쓰는가가장 먼저 보는 것은 기술 요소가 아니라서비스의 목적과 사용자입니다.누가 쓰는 서비스인지 (내부 직원, 고객, 파트너 등)어떤 가치를 주려고 하는지어떤 데이터가 있어야 그 가치가 나오는지이 세 가지가 정리되어야데이터 수집 항목이 과한지, 적당한지,보안 수준을 어느 정도로 잡아야 할지 감이 잡힙니다.2. 개인정보가 어디에서 어떻게 흐르는지..

보안이나 개인정보 쪽으로 이직을 고민하는 분들과 이야기를 나누다 보면가장 많이 나오는 질문이 있습니다.“보안/개인정보 담당자는 하루 종일 무슨 일을 하세요?”회사마다 조직 구조도 다르고 역할 분담도 조금씩 다르지만,제가 현업에서 반복해서 경험했던 업무들을 기준으로어떤 일들이 있는지 한 번 정리해 보려고 합니다.완전히 정답이라고 하기보다는,실제로 일을 하면서 자연스럽게 느낀 흐름 정도로 봐주시면 좋겠습니다.정책·지침을 만들고, 현실에 맞게 고쳐 나가기보안·개인정보 업무를 하다 보면정책과 지침 문서를 다루는 시간이 꽤 많습니다.정보보안·개인정보 관련 정책과 기준을 정리하고법령이나 인증 요구사항이 달라지면 문서를 개정하고우리 조직이 감당할 수 있는 수준에 맞게 세부 기준을 다듬는 일들이 반복됩니다.겉으로 보면..

개인정보 영향평가를 하다 보면가명정보, 익명정보, 암호화라는 말을 정말 자주 듣게 됩니다.처음에는 셋이 비슷하게 느껴지지만,실제로 일을 하다 보면“이건 아직 개인정보로 봐야 하나?”“어느 수준까지 보호조치를 해야 하지?”같은 고민을 할 때 기준이 되는 개념이라 더 신경이 쓰입니다.여기 적는 내용은 제가 현업에서 정리해 본 관점일 뿐이고,정답이라기보다는 실무에서 생각을 정리할 때 참고할 수 있는 정도로 봐주시면 좋겠습니다.암호화: 잠궈 놓았지만 다시 열 수 있는 정보암호화는 데이터를 그대로 두되,특정 키를 가진 사람만 볼 수 있도록 잠궈 두는 방식입니다.예를 들면DB에 주민등록번호를 암호화해서 저장하는 경우전송 구간에 TLS/HTTPS를 적용해서 통신 내용을 보호하는 경우처음 보면 암호화된 값만 남아 있으..

새로운 서비스를 만들거나,기존 시스템을 크게 바꿀 때마다“개인정보 영향평가를 해야 하느냐”는 이야기가 나옵니다.제가 현업에서 자주 쓰는 비유는 이겁니다.“개인정보 영향평가는 서비스와 시스템을 대상으로 하는 건강검진이다.”1) 무엇을 하는 절차인가간단히 말하면, 다음 질문에 체계적으로 답해 보는 과정입니다.어떤 개인정보를어떤 목적으로어디에 저장하고누가 접근하며얼마나 오래 보관하는지그리고 그 과정에서 생길 수 있는 위험을 찾아보호조치와 개선 과제를 정리합니다.2) 왜 필요할까개인정보 유출·오남용 사고를 사전에 줄이기 위해관련 법령에서 요구하는 의무를 지키기 위해나중에 사고가 나더라도“사전에 이 정도는 점검하고 조치했다”는 책임 있는 노력을 증명하기 위해3) 평가에서 주로 보는 것들수집 항목이 과도하지 않은지..