개인정보 유출사고의 원인분석을 통한 주요 보안위협 선정 및 활용방안에 관한 연구

다국어 초록 (Multilingual Abstract)

With the recent development of information and communication technology-based services using personal information, there are conflicting opinions on the protection and utilization of personal information. While strong regulation is needed for personal information protection, protection and utilization can only be interpreted as conflicting concepts since deregulation and the application of voluntary regulation are required for utilization. In response, the government has prepared a foundation for protecting personal information while using it for technological development.
However, such voluntary regulations could lead to the complacent response of the security vulnerable operators. In particular, the minimum protective measures for hacking response by web or mobile applications, which are externally accessible contacts, may not apply. If the government requires the government to apply the voluntary regulation without minimum standards in the event of infringement of personal information, such as personal information leakage, the operators outside the ISMS certification system will be more likely to take care of security.
Therefore, through this thesis, the organization selects the Top 5 security threats, which are classified as causes of personal information leakage incidents, and provides technical protective measures.

국문 초록 (Abstract)

최근 개인정보를 활용한 정보통신기술(ICT) 기반의 서비스가 발전함에 따라, 개인정보 ‘보호’와 ‘활용’이라는 관점에서 의견이 엇갈리고 있다. 개인정보 보호라는 입장에서는 강력한 법 규제가 필요로 하지만, 활용이라는 입장에서는 법 규제 완화와 사업자의 자율적 규제 적용이 요구되므로 보호와 활용은 상충적인 개념으로 해석될 수밖에 없다. 이에 대하여 정부는 개인정보를 보호하면서도 기술 발전을 위하여 이를 활용할 수 있는 기반을 마련하고 있다.
하지만, 이러한 자율규제는 보안에 취약한 사업자의 안이한 대처로 이어질 수 있다. 특히, 외부에서 내부로 접근 가능한 접점인 웹 또는 모바일 어플리케이션의 해킹 대응을 위한 최소한의 보호조치도 적용하지 않을 수 있다. 대기업에서부터 중소기업까지 개인정보 유출 등의 침해사고가 발생하는 상황에서 최소한의 기준 없이 자율규제 방안을 적용하도록 한다면, ISMS 인증 제도권 외에 있는 사업자들은 보안을 안일하게 대처할 가능성이 높고, 더 많은 침해사고를 경험하게 된다.
따라서, 본 논문을 통해 개인정보 유출사고의 발생 원인 분석과 해당 원인으로 분류되는 주요 보안위협 Top 5를 선정하고, 이를 법적으로 제재할 수 있도록 기술적 보호조치에 관한 대응규제를 개선함으로써 개인정보를 처리하는 사업자들 모두가 스스로 개인정보 보호의 수준을 향상시키고, 지속적으로 적정한 보안수준을 유지할 수 있도록 최소한의 방향성 제시를 목적으로 한다.

목차 (Table of Contents)

• 제1장 서론 1
• 1.1 연구의 배경 및 목적 1
• 1.2 연구의 범위 및 방법 4
• 1.3 논문의 구성 5
• 제2장 연구와 관련한 이론적 배경 6
• 2.1 개인정보 보호와 관련된 법률의 체계 6
• 2.1.1 개인정보 보호법 및 관련 제도 7
• 2.1.2 정보통신망법 및 관련 제도 8
• 2.1.3 법률 비교 8
• 2.2 정부 추진 개인정보 관리실태 점검 현황 14
• 2.2.1 추진 배경 및 개요 14
• 2.2.2 개인정보 관리실태 점검항목 15
• 2.2.3 주요 위반사항 및 제재방침 16
• 2.3 국내 보안 프레임워크 18
• 2.3.1 ISMS(Information Security Management System) 19
• 2.3.2 PIMS(Personal Information Management System) 20
• 2.3.3 정보보호 준비도 평가(Secu-Star) 22
• 2.4 기반시설 취약점 분석·평가 기준 24
• 2.4.1 주요정보통신기반시설 24
• 2.5 현행 법/제도 비교 분석 26
• 제3장 온라인 환경의 보안위협 분석 27
• 3.1 개요 27
• 3.2 주요 개인정보 유출사고 사례분석 28
• 3.2.1 A사 개인정보 유출사고(2017. 03) 28
• 3.2.2 B사 개인정보 유출사고(2017. 09) 30
• 3.2.3 C사 개인정보 유출사고(2015. 09) 31
• 3.3 온라인 환경의 보안위협 분석 32
• 3.3.1 개요 32
• 3.3.2 보안위협 식별 및 분석 35
• 제4장 사례 분석 43
• 4.1 대상 선정 43
• 4.2 점검 결과 44
• 4.2.1 Web Application 44
• 4.2.2 Mobile Application 47
• 4.3 시사점 도출 49
• 제5장 기술적 보안위협 대응규제 개선 52
• 5.1 기술적 보안위협 대응규제 개선 방향 52
• 5.2 효과성 검증을 위한 대응규제 비교 분석 56
• 제6장 결론 59
• 참고 문헌 60