Earticle

정보통신기술 환경에서 수많은 기업들이 회사 내에서 생산되는 중요 자료인 제품정보, 제조기술, 서비스 매뉴얼, 마케팅 자료, 홍보자료, 기술적 자료들을 외부 공개 및 공유를 위해 웹 시스템을 운영하고 있다. 이렇게 인터넷에 공개된 웹 시스템은 사이버 보안 관리에 매우 큰 영향을 주고 있고, 취약점 점검 관리에 한계에 놓여 있다. 특히, 최근 국내외 기업 및 정부기관, 금융 등에서 발생되는 개인정보 유출 사건과, 정보유출 사고 사례를 보면, 디지털 환경에서의 외부 해커의 악의적인 공격으로 대부분이 웹 취약점이 원인으로 나타나고 있다. 이에 본 연구에서는 정보유출 취약점 관리의 한계에 놓일 수 밖에 없는 원인을 확인하여, 외부 환경에 대한 취약점 관리 실태를 점검하고, 정보보호 관리체계에 대한 개선 방안을 연구하고자 한다.

본 논문은 정보기술 시대에서 강조되는 개인 정보의 중요성과 공공기관의 개인 정보 관리의 필요성을 다룬다. 공공기관에서 처리하는 개인 정보의 양이 지속해서 증가함에 따라, 더욱 효과적인 관리체계의 필요성이 대두되었다. 이에 따라, 정부는 기존의 개인 정보 관리 수준 진단 방식을 넘어서, 더욱 강화된 평가 중심의 체계인 '개인정보 보호 수준 평가제'를 도입하였다. 본 연구는 이러한 체계 전환의 배경, 과정, 그리고 2024년에 시행된 개인정보보호법 개정안의 주요 내용을 분석한다. 또한, 문헌조사 및 사례분석을 통해 공공기관 개인정보보호 관리 수준 진단의 현황 및 한계를 평가하고, 체계 전환 후 예상되는 개선 효과와 정책적 제언을 제공한다. 본 연구는 개인정보보호 정책의 강화가 국민 신뢰 제고 및 디지털 시대의 안정적 발전에 이바지할 것으로 전망한다.

In the digital age, the importance of personal information has magnified, underscoring the need for enhanced personal information protection, especially within public institutions. Despite ongoing efforts since 2007, significant breaches in public sector information underline persistent vulnerabilities. This study advocates for a transition from a diagnostic to an assessment framework to fortify privacy management in public institutions, as mandated by recent legislative revisions. The amended Personal Information Protection Act introduces an assessment approach, aiming to comprehensively assess and mitigate risks by expanding the scope of evaluation and implementing robust regulatory measures. This study examines the limitations of the current diagnostic practices through literature review and case analysis and proposes a systematic approach to adopting the new assesment system. By enhancing the assessment framework, the study expects to improve the effectiveness of personal information management in public institutions, thereby restoring public trust and ensuring a stable progression into a more secure digital era. The transition to an assessment system is designed not only to address the gaps in the current framework but also to provide a methodical assessment that supports ongoing improvement and compliance with enhanced legal standards.

개인정보보호위원회에서 공공기관을 대상으로 시행하고 있는 개인정보 관리수준 진단제도의 지표체계는 「개인정보 보호 법」의 법적 준수사항을 점검하지만, 새로운 IT기술의 도입에 따르는 개인정보보호사항을 기준으로 적용하는 데 한계가 있었다. 따라서, 본 연구에서는 제4차 산업혁명의 핵심기술인 빅데이터, 클라우드, 사물인터넷, 인공지능을 특정IT기술의 도입에 따라, 개인정보보호가 강화될 수 있도록 별도의 지표체계가 운영될 수 있도록 지표체계의 개선방안을 제안하고자 한다. 이를 위해서 선정한 특정IT기술의 개인정보보호사항에 관한 국내외 문헌조사를 통해 지표체계의 구성요소를 도출하고, 공공기관의 개인정보 보호담당자 대상으로 한 설문조사 및 개인정보보호 전문가대상으로 FGI/Delphi분석을 통해 진단지표로 선정하였다. 이렇게 선정한 지표체계는 먼저, 모든 특정IT기술의 기획 및 설계단계에서부터 개인정보보호원칙(PbD)과 가명정보처리 및 비식별 조치 에 관한 기준의 적용여부를 점검하는 공통지표를 선정하였다. 이외에 빅데이터에 관한 2개 점검항목, 클라우드에 관한 개인정보 처리방침 게재 사항 등 5개 점검항목, 사물인터넷관련 원칙적용, 로그기록 관리 등 5개 점검항목, 인공지능에 관한 원칙 적용 등 4개 점검항목을 선정하였다. 이처럼 본 연구는 개인정보 관리수준 진단제도의 발전을 위해 새로운 IT기술변화에 대응할 수 있도록 개인정보보호의 신속한 대응을 유도하는 진단제도가 되도록 제언하고자 하였다.

This study tried to suggest ways to improve the indicator system to strengthen the personal information protection. For this purpose, the components of indicator system are derived through domestic and foreign literature, and it was selected as main the diagnostic indicators through FGI/Delphi analysis for personal information protection experts and a survey for personal information protection officers of public institutions. As like this, this study was intended to derive an inspection standard that can be reflected as a separate index system for personal information protection, by classifying the specific IT technologies of the 4th industrial revolution, such as big data, cloud, Internet of Things, and artificial intelligence. As a result, from the planning and design stage of specific technologies, the check items for applying the PbD principle, pseudonymous information processing and de-identification measures were selected as 2 common indicators. And the checklists were consisted 2 items related Big data, 5 items related Cloud service, 5 items related IoT, and 4 items related AI. Accordingly, this study expects to be an institutional device to respond to new technological changes for the continuous development of the personal information management level diagnosis system in the future.

최근 모든 산업에 있어서 디지털 전환이 가속되고 있고 그로 인해 생산되고 이용되는 정보 및 개인정보의 활용이 기업의 성패에 있어서 매우 중요하다. 그러나 이에 대한 역기능으로서 기업의 주요 정보 및 개인정보를 탈취하거나 유출 하려는 시도는 계속 증가하고 있고, 이에 대한 적절한 방어 및 대응이 절대적으로 필요하다. 그러나, 중소기업의 경우 대기업에 비해 정보보호에 대한 우선순위나 전문인력 보유 면에서 매우 미흡한 상황이다. 본 논문에서는 국내에서 시행 되고 있는 인증 및 진단에 대해 살펴보고, 개인정보보호법 고시 기준 확대 적용 및 지원 제도의 상시 운영을 통해서, 중소기업에 적합한 정보보호 인증 확대 적용 및 지원 제도의 실효성 제고 방안을 제시한다.

Recently, digitalization is accelerating in all industries, and the use of information and personal information produced and used in the process of it is very important for the success or failure of a company. However, malicious attempts to steal or leak major information and personal information of a company as an adverse effect continue to increase, and appropriate defense and response are absolutely necessary. However, in the case of small and medium-sized enterprises, the priority of information protection and the possession of professional manpower are very insufficient compared to large enterprises. This paper studies the certification and audit implemented in Korea, and suggests ways to expand the certification of the information protection system suitable for SMEs and improve the effectiveness of the support system through the expansion of the privacy law notification standard and operation of support system.

This study intends to present an effective and efficient development plan about the information protection of medical institutions, by establishing the improvement plan about Personal Information Management System(PIMS) appropriate to the characteristics of medical information focusing on medical institutions generating and using domestic medical information, and doing an empirical study on medical information protection plan. For this, in view of the medical characteristics of the existing Information Security Management System(ISMS), the study presented a study model appropriated to medical institutions based on Personal Information Management Systems index specialized for personal information, and through this, presented the vulnerability diagnosis and vulnerability improvement plan. Based on ISMS index, it designed an improvement index of personal information protection management about each index. The study conducted a survey for executives and employees about PIMS. Accordingly, it presented vulnerability diagnosis items of the current management system indexes from the viewpoint of the people who establish and mange the personal information protection about patients' medical information targeting executives and employees who serve at hospitals and can access medical information.

Since the passing of the Personal Information Act in March 2011 and its initial introduction in September, over the one year to date diverse security devices and solutions have been flowing into the market to enable observance of the relevant laws. Beginning with security consulting, corporations and institutions have focused on technology-based business in order to enable observance of those laws competitively in accordance with 6-step key procedures including proposal, materialization, introduction, construction, implementation, and execution. However there has not been any investment in human resources in the field of education such as technology education and policy education relative to the most important human resources field nor investment in professionals in the organization for the protection of personal information or in human resources for operating and managing IT infrastructure for actual entire personal information such as special sub-organizations. In this situation, as one process of attracting change from the nature of the technology-based security market toward a professional human resource-based security infrastructure market, it is necessary to conduct research into standardization modeling concerning special organizational composition and a management system for the protection of personal information.

제4차 산업혁명시대에서 사용되는 다양한 기술과 서비스를 바탕으로 지능형 정부를 구현하며, 국민을 위한 다양한 공공환경을 제공하고 있다. 그러나, 그 과정에서 국민의 개인정보가 오남용, 악용 등이 되는 개인정보 침해사고가 발생하고 있어, 안전한 서비스환경을 위한 개인정보보호정책이 필요하다. 이에 따라 2020년「개인정보 보호법」이 개정되어 개인정보보호위원회가 총괄부처로서의 역할을 하게 되었는데, 앞으로 주무부처로서의 역할 및 이해관계자간의 협력을 바탕으로 한 개인정보보호정책을 추진해 나가야 할 것이다. 따라서, 본 연구에서는 2008년부터 추진된 개인정보 관리수준 진단제도를 중심으로 개인정보보호를 위한 협력적 네트워크 거버넌스를 구현할 수 있는 방안을 제시하고자 한다. 이를 위해국내외 30개 유사한 평가제도에 관한 문헌검토를 하여, 대상기관규모(수), 법률규정, 평가절차, 평가기준 등을 비교요소로 차이분석을 하였으며, 개인정보보호 실무자 및 관계 전문가를 대상으로 FGI/Delphi분석을 하였다. 본 연구의 분석결과를 바탕으로, 개인정보보호위원회, 한국인터넷진흥원, 개인정보 관리수준진단위원회, 대상 공공기관과의 역할과 관계를 재정비할 뿐만 아니라, 제도적 확장성을 고려한 관계부처 및 상급기관, 진단심사원, 관계기관(위탁업체), 모니터링단, 정보주체(이용자) 등의 참여를 가져오는 개인정보보호를 위한 협력적 네트워크 거버넌스를 제안하고자 한다.

Based on various technologies and services used in the era of the 4th industrial revolution, intelligent government is realized and various public environments are provided for the people. However, in the process, infringement incidents such as misuse and abuse of the people's personal information are occuring, so a personal information protection policy for a safe service environment is required. Accordingly, in 2020, the「Personal Information Protection Act」 was amended and the Personal Information Protection Committee took on the role of the overall ministry. In the future, it is necessary to promote a privacy policy based on the role of the competent ministry and cooperation between stakeholders. Therefore, this study intends to suggest a method to implement cooperative network governance for personal information protection, focused on the personal information management level diagnosis system that has been promoted since 2008. In this study, the literature review was conduced on 30 similar evaluation systems in domestic and abroad and was compared the 4 factors such as target institution size, legal regulations, evaluation procedures, and evaluation standards. In addition, FGI/Delphi analysis was conducted for personal information protection practitioners and related experts. Based on the analysis results of this study, the roles and relationships with the Personal Information Protection Committee, Korea Internet & Security Agency, Personal Information Management Level Diagnosis Committee, and target public institutions are reorganized. In addition, it should be proposed the cooperative network governance for the protection of personal information, in consideration of institutional scalability, to brings participation of related ministries and higher institutions, diagnostic examiners, related institutions (consigned companies), monitoring groups, and information subjects (users).