[보도자료] 2024 개인정보정보처리시스템 개선안 : 망분리 완화

https://pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000%22&nttId=10567

개인정보보호위원회

 

2024년 9월 12일, 개인정보 위원회에서 "개인정보처리시스템에 대한 인터넷망 차단조치 제도개선(안)"을 발표했다.

개인정보처리시스템에 접속하는 개인정보취급자의 컴퓨터 등에 대해 의무적으로 인터넷망 차단 조치를 취하는 현재의 망분리 방식 문제점을 해결하는 방안을 내놓았다. 

이제 개인정보처리자가 내부관리계획에 따른 위험분석을 통해 인터넷망 차단 수준을 직접 설계할 수 있게 된다.

 

1. 기존 망분리 방식

[ 물리적 망분리 ]

: 내부망(업무망)과 외부망(인터넷망)을 물리적으로 완저히 분리해 높은 보안성을 가짐

 

[ 논리적 망분리 ]

: 가상화 기술 (VLAN, VDI 등) 을 활용해 내부망과 외부망을 논리적으로 분리해 유연한 환경 제공

 

2. 다층보안체계 (MLS) 

: 데이터를 중요도에 따라 구분하고, 등급별로 차등 보호를 적용하는 보안 체계

 

[ 등급 분류 ]

- 기밀(C, Classified) : 매우 중요한 정보로, 제한된 사용자만 접근 가능

- 민감(S, Sensitive) : 보호가 필요하지만, 기밀보다는 낮은 수준의 정보

- 공개(O, Open) : 누구나 접근 가능한 정보

 

3. 망분리 완화 및 활용 사례

[ 인터넷망 차단조치 (구축) ]

- 금융 : 내부 업무망과 외부 인터넷망을 물리적으로 분리해 외부의 해킹 시도를 차단하고 내부 정보 유출을 방지

- 공공 : 내부 행정망과 외부 인터넷망을 분리해 민감정보(행정정보)의 유출을 방지

- 민간 : 내부망과 외부망 분리 및 접근 통제 시스템 구축으로 정보 유출 사고를 예방

 

[ 인터넷망 차단조치 (완화) ]

- 인터넷 접근이 필요한 부서나 직원에 한해 망분리 정책을 완화하는 방안을 적용

     1. 특정 업무에 필요한 웹사이트만 접근할 수 있도록 화이트리스트를 설정

     2. 가상 데스크톱 인프라(VDI)를 활용해 안전한 환경에서 인터넷 접근을 허용

 

[ 개인정보처리자별 위험분석 결과에 따른 차등 보호대책 적용 ]

- 고위험 수준 : 민감한 개인정보를 대량으로 처리하거나 외부 공격의 표적이 될 가능성이 높은 부서나 시스템에 대해 물리적 망분리, 다중 인증 도입, 접근 통제 강화 등 강력한 보안 조치 적용

- 중위험 수준 : 일반적인 개인정보를 처리하는 부서나 시스템에 대해 논리적 망분리, 접근 권한 관리, 정기적인 보안 점검 등 중간 수준의 보안 조치 적용

- 저위험 수준 : 민감도가 낮은 정보를 처리하는 부서나 시스템에 대해 기본적인 보안 조치와 정기적인 모니터링 수행

 

위험 수준 예시

 

[ 장점 ]

- 보안성 유지 : 위험 기반 접근 제어와 추가 보안 계층으로 기존 물리적 망분리 수준의 보안성 제공

- 업무 효율성 증대

 

[단점]

- 정책 관리의 복잡성 증가

- 비용 증가