Privacy Desk

개인정보 보호 업무를 하다 보면“데이터를 잘 지키는 것”과“데이터를 잘 활용하는 것”이서로 다른 방향으로 끌어당길 때가 많다.한쪽에서는수집 최소화, 보유 기간 단축, 접근권한 축소 같은 키워드를 말하고,다른 한쪽에서는데이터 기반 분석, 맞춤형 서비스, 자동화 같은 키워드를 말한다.실무에서 개인정보 영향평가를 하면서도이 두 가지 목소리 사이에서어디에 기준선을 둘지 계속 고민하게 된다.“지키는 편이 편하다” 쪽으로만 기울지 않기개인정보 담당자 입장에서만 보면사실 가장 편한 선택지는 단순하다.적게 모으고, 빨리 지우고,볼 수 있는 사람을 최대한 줄이면 된다.그런데 실제 서비스나 시스템을 보면이렇게만 할 수는 없다.업무 효율, 사용자 편의, 품질 관리, 장애 분석 등데이터가 있어야만 돌아가는 부분이 너무 많기 ..

개인정보 영향평가 업무를 하다 보면가장 어려운 부분 중 하나가“현업을 설득하는 일”인 것 같다.법·가이드라인을 근거로 이야기를 하더라도,실제 서비스를 운영하는 입장에서는추가 개발, 일정, 사용성 등여러 현실적인 부담을 같이 안고 있기 때문이다.저 역시 아직 설득을 잘한다고 말할 수준은 아니지만,여러 번 부딪히면서그래도 지키려고 하는 태도 몇 가지는 생겼다.“왜 안 되는지”보다 “왜 필요한지”를 먼저 이야기하기처음에는“법에 이렇게 되어 있어서 안 됩니다”라는 식으로설명할 때가 많았다.그런데 시간이 지나면서이 방식은현업 입장에서는 거의 항상 방어적으로 받아들여진다는 걸 느꼈다.그래서 요즘은 가능하면어떤 사고/사례 때문에이런 요구가 생겨났는지이용자 입장에서이 보호조치를 했을 때 무엇이 달라지는지나중에 문제가 ..

지금 맡고 있는 업무는서비스·시스템에 대한 개인정보 영향평가와관련 보안 요구사항 검토다.예전에 시스템팀에서 보안 담당자로 일하면서방화벽, WAF, IPS, DLP, NAC, EDR 같은 장비를 운영하고,계정·권한, 로그 정책을 손봤던 경험이 있어서지금은 그 경험을 평가 관점에서 다시 활용하고 있는 느낌이다.그중에서도암호화, 접근통제, 로그 세 가지는거의 모든 평가에 등장하는 기본 항목이라나름대로 순서를 정해두고 들여다보려고 한다.암호화 – “무엇을, 어디서, 어떻게”까지는 그림이 그려지는지암호화는 평가표에서도 항목이 많지만,결국은 세 가지를 확인하려고 한다.무엇을→ 주민등록번호, 계좌번호처럼법·가이드라인에서 명시된 대상뿐 아니라,서비스 특성상 민감하게 봐야 할 정보까지 포함하는지어디서→ DB, 파일, 백..

지금은 개인정보 영향평가를 중심으로여러 서비스와 시스템을 검토하는 일을 하고 있다.처음에는 체크리스트를 따라가는 느낌이 강했는데,몇 번 반복하다 보니 자연스럽게“어떤 질문부터 던져야 이 서비스가 보이는지”를다시 생각하게 되는 것 같다.완전히 정리된 방법론이라기보다는,개인적으로 영향평가를 할 때항상 다시 꺼내 보는 세 가지 질문을기록 차원에서 정리해 본다.이 서비스가 진짜로 하고 싶은 일은 무엇인가영향평가 서류를 받으면가장 먼저 제목과 화면 캡처, 기능 설명을 본다.이때 스스로에게 먼저 묻는 질문은“이 서비스가 진짜로 하고 싶은 일이 뭘까?”이다.어떤 사용자에게어떤 문제를 해결해 주려고어떤 흐름(화면/기능)으로 구성된 서비스인지이 그림이 안 잡힌 상태에서수집 항목과 보호조치만 들여다보면검토 내용이 자꾸 조..

지금은 개인정보 보호 담당자나 보안 담당자를 목표로관련 공부를 계속 하고 있다.아직 현업에서 여러 회사를 거친 것도 아니고,학계에서 연구를 오래 한 것도 아니라“전문가”라고 말하기에는 거리가 멀다.그래도 조금씩 공부하다 보니어디에 더 집중해야 할지,어떤 흐름으로 공부하면 좋을지에 대해나름대로 생각이 정리되는 부분이 있어서기록 차원에서 적어두고 싶었다.법·제도는 “배경을 이해한다”는 느낌으로 계속 읽어보기개인정보보호법이나 관련 고시, 가이드 문서를 보면처음에는 용어도 어렵고 분량도 많아서한 번에 이해하기가 쉽지 않았다.그래도 계속 읽어보면서 느낀 건,“어려운 조문을 외우자”보다는왜 이런 조항이 생겼는지어떤 사고나 이슈를 계기로 강화되었는지사업자에게 무엇을 요구하려는 것인지이 배경을 이해하려고 노력하는 게조..

정보보안과 로그 분석에 관심이 생기면서ELK(Elasticsearch, Logstash, Kibana)를개인적으로 공부해 보고 싶다는 생각이 들었다.아주 깊은 운영 경험은 아니지만,처음 시작할 때 “이 정도를 미리 알고 있었으면 좋았겠다” 싶은 점들을가볍게 적어본다.‘전사 로그 통합’보다, 내가 궁금한 화면부터 정하는 게 편했다ELK를 검색해 보면“통합 로그 플랫폼”이라는 표현이 많이 나온다.하지만 공부하는 입장에서는처음부터 그 수준을 따라가려다 보면금방 지치는 것 같았다.그래서 방향을 바꿔서,웹 서버 에러 코드를 한눈에 보고 싶은지로그인 실패/성공 비율을 보고 싶은지특정 서비스의 응답 지연 현황을 보고 싶은지이런 식으로 “내가 궁금한 질문”을 먼저 정해 놓고,그 질문에 필요한 로그부터 천천히 ELK로 ..

정보보안을 공부하다 보면자연스럽게 “로그가 중요하다”는 말을 자주 듣게 된다.침해사고 분석, 이상행위 탐지, 컴플라이언스 준수까지거의 모든 이야기의 마지막에는“결국 로그를 보고 판단한다”는 결론이 따라붙는 것 같다.아직 실무에서 거대한 로그 시스템을 직접 운영해 본 것은 아니고,강의·책·블로그 자료와 작은 실습 환경을 통해조금씩 감을 잡아가는 단계에 가깝다.그래도 공부를 이어가다 보니“좋은 보안 로그는 이런 조건을 갖추면 좋겠다”라고나름대로 정리해 본 기준이 있어서,메모 차원에서 한 번 적어두려고 한다.누가 / 언제 / 어디서 / 무엇을 했는지가 보이는지로그를 예시로 보면서가장 먼저 확인하게 된 건“이 로그만 보고 상황을 상상할 수 있는가”였다.적어도 이런 정보는 들어가 있어야나중에 보안 쪽에서 의미 있..

요즘 하고 있는 일의 큰 축은개인정보 영향평가다.새로운 서비스를 기획하거나,시스템을 개선할 때개인정보 처리 흐름과 보호조치를 점검하고보고서를 작성하는 일이다.법령이나 가이드라인을 맞추는 것도 물론 중요하지만,몇 년 정도 하다 보니“기술 난이도”보다 “조율 난이도”가 더 크다는 생각이 들 때가 많았다.개인정보 영향평가 실무를 하면서개인적으로 느꼈던 부분들을가볍게 정리해본다.기획, 개발, 인프라, 법무 사이에서 말을 바꿔가며 설명해야 하는 일 같았다하나의 서비스만 봐도관여하는 팀이 많다.서비스를 기획하는 팀화면과 기능을 만드는 개발팀서버와 네트워크를 관리하는 인프라팀약관·동의서와 법령을 보는 법무/컴플라이언스팀개인정보 영향평가는이 사이를 왔다 갔다 하면서각각의 언어로 같은 내용을 설명하는 일에 가깝게 느껴졌..

개인정보 영향평가라고 하면보통은 법령, 동의서, 약관 같은 “문서 일”을 떠올리는 경우가 많은데,실제로 해보면 인프라·보안 아키텍처를 보는 시간이 꽤 길다.특히 시스템 규모가 큰 조직에서는한 서비스 안에서도 온프레미스, 클라우드, 제3자 시스템이섞여 있는 경우가 많아서네트워크 구조를 이해하는 게 먼저일 때가 많았다.제가 평가 업무를 하면서개인적으로 자주 들여다보게 된 인프라 쪽 포인트들을간단히 정리해 본다.인터넷 구간과 내부망 구간이 어떻게 나뉘는지가장 먼저 보는 건“어디까지가 인터넷에서 바로 닿는 구간인지”였다.외부에서 직접 접근 가능한 웹·앱 서버그 뒤에 붙어 있는 WAS, API 서버내부 전용 시스템, 백오피스, DB, 로그 서버이 레이어들이 어떻게 나뉘어 있는지에 따라적용해야 할 보안 수준이 달라..

개인정보 보호는 이제 웬만한 서비스라면 다 얽혀 있는 주제인데,막상 실무에서 일을 하다 보면“무엇부터 확인해야 할지”가 애매할 때가 많았다.저도 처음부터 체계적으로 배웠다기보다는개인정보 영향평가를 하면서,그리고 현업이랑 상담하다 보니자연스럽게 “이건 먼저 보고 넘어가야겠다” 싶은 지점들이 조금씩 생겼다.정답이라기보다는,개인적으로 업무할 때 기본으로 체크하려고 하는 것들을한 번 정리해 보려고 한다.수집 항목과 목적이 서로 맞는지개인정보 보호 얘기할 때 제일 많이 나오는 말이“최소 수집, 목적 제한”인 것 같다.평가를 하거나 검토를 할 때저는 보통 이 순서로 본다.이 서비스가 하려는 일은 정확히 무엇인지그 일을 하기 위해 꼭 필요한 정보가 무엇인지실제 화면/약관/DB에 정의된 수집 항목이그 “꼭 필요” 수준..