수탁사 실태점검

서류를 보는 점검과 흔적을 보는 점검은 다릅니다. 문서 검토만으로 확인되지 않는 것이 무엇인지, 디지털 포렌식 기법이 점검에서 어떤 역할을 하는지 설명합니다.

왜 필요한가

수탁사가 취급하는 개인정보의 양은 계속 늘고 있습니다. 개인정보의 생애주기(수집, 이용, 제공, 보관, 파기) 각 단계에서 안전하게 다뤄져야 하지만, 관리가 따라가지 못하면 그 지점이 곧 유출의 통로가 됩니다.

유출 사고의 원인을 보면 뚫기 어려운 고난도 해킹만 있는 것이 아닙니다. 관리자의 의도치 않은 실수, 내부 직원의 유출, 위탁업체 직원의 정보 매매처럼 사람 에서 비롯된 경우가 상당한 비중을 차지합니다. 기술을 더 사는 것으로는 막히지 않는 영역입니다.

많은 조직이 수탁사 점검을 담당자 인터뷰, 문서 검토, 기본적인 시스템 설정 확인 수준에서 마칩니다. 이 방식에는 두 가지 한계가 있습니다.

시점의 한계: 점검 당시의 상태만 확인됩니다. 점검 전에 어땠는지, 점검이 끝난 뒤에 어떻게 되는지는 알 수 없습니다.
표면의 한계: 규정과 설정은 갖춰져 있어도 실제 운영이 그것을 따르는지는 다른 문제입니다. 접근 권한 대장은 정리되어 있는데 실제 계정 목록과 다른 경우가 흔합니다.

ISMS 나 ISMS-P 인증을 받았으니 안전하다는 설명도 자주 듣지만, 인증은 심사 시점에 요건을 충족했다는 뜻이지 그 이후의 운영까지 보증하지 않습니다. 실제로 점검해 보면 지속적인 관리 부재나 시스템 오류로 미흡한 지점이 발견되는 경우가 적지 않습니다.

여기에서 디지털 포렌식 기법이 들어옵니다. 담당자에게 묻는 대신 시스템에 남은 흔적을 보는 방식입니다. 문서에 적힌 것과 시스템에 남은 것이 다를 때, 사실을 말해 주는 쪽은 후자입니다.

예를 들어 파기했다고 보고된 개인정보가 파일서버나 백업 데이터베이스에 남아 있는지, 권한이 없는 계정이 개인정보처리시스템에 접속한 이력이 있는지, 보안 솔루션이 우회된 흔적이 있는지는 인터뷰로는 확인되지 않고 로그와 저장 매체를 봐야 확인됩니다.

실태점검은 대체로 여섯 단계로 진행됩니다.

사전준비: 수탁사가 수행하는 업무와 계약 내용을 파악하고, 필요한 자료를 요청하며, 점검 도구와 체크리스트를 준비합니다.
인터뷰: 점검과 이미징에 대한 동의서를 받고, 위탁 업무의 개인정보 흐름과 보안 시스템 구성을 파악해 점검 대상을 선정합니다.
현장점검: 개인정보처리시스템, 개인정보가 오가는 파일서버, 보안 솔루션 로그, 방화벽과 백신 로그를 확인합니다.
정보수집: 대상 PC 의 저장 매체를 담당자 입회 하에 수거하고, 원본과 동일한 사본(이미지)을 만듭니다. 분석은 원본이 아니라 사본에서 수행합니다.
정보분석: 데이터를 추출하고 분류하며, 삭제된 파일을 복구하고, 개인정보의 유출과 오남용 관점에서 흔적을 분석합니다.
결과보고: 현장에서 발견된 사항을 먼저 공유하고, 결과 보고서와 개선 방안을 정리합니다.

이미징 단계에서 사본을 두 벌 만드는 것이 관행입니다. 하나는 분석용으로 쓰고, 다른 하나는 만일의 사태에 대비한 백업으로 보관합니다. 원본을 직접 분석하면 무결성이 훼손될 수 있기 때문입니다.

점검이라 해도 남의 PC 를 들여다보는 일이므로, 동의와 범위 설정이 절차의 출발점입니다. 무엇을 목적으로 분석하는지, 그 목적을 달성하면 수집한 데이터를 언제 파기하는지를 동의서에 명시하고 그대로 이행해야 합니다.

점검하러 가서 점검 대상의 개인정보를 새로 만들어 오는 상황이 되어서는 안 됩니다. 이 원칙이 지켜지지 않으면 점검 행위 자체가 또 하나의 위반이 됩니다.

PC 와 서버에서 확인하는 대표적인 흔적은 다음과 같습니다.

여기에 법률 검토가 더해집니다. 위탁 범위를 넘어선 정보 제공은 없었는지, 위탁과 제3자 제공의 구분이 적절한지, 이용 목적을 달성한 개인정보가 파기되었는지를 확인합니다.

실태점검의 목적은 수탁사를 적발하는 것이 아닙니다. 위탁자와 수탁사 모두 사고가 나면 함께 책임을 지는 구조이므로, 점검은 사고가 나기 전에 약한 고리를 찾아 함께 고치는 활동에 가깝습니다.

그래서 결과 보고에는 발견 사항만이 아니라 수탁사가 실제로 수행할 수 있는 개선 방안이 함께 담겨야 합니다. 지적만 남기고 끝난 점검은 다음 점검 때 같은 지적을 반복하게 됩니다.