Personal Identifiable Information (PII)

개인 식별 정보(Personal Identifiable Information, PII)는 개인의 신원을 식별하거나 추적하는 데 사용될 수 있는 정보를 의미한다. 디지털 시대의 도래와 함께 PII의 중요성과 그에 대한 보호 필요성이 크게 증가했다.

PII의 개념 및 정의

정의

개인 식별 정보(PII)는 단독으로 또는 다른 정보와 결합하여 특정 개인을 식별, 연락, 위치 파악할 수 있게 하는 정보이다. 다양한 기관과 법률에 따라 PII의 정확한 정의는 다소 차이가 있을 수 있으나, 기본적인 개념은 동일하다.

미국 국립표준기술연구소(NIST)는 PII를 “개인에 대한 정보로, (i) 개인의 신원을 식별하는 데 사용되거나, (ii) 개인의 신원에 연결되거나 연결 가능한 정보"로 정의한다.

PII와 유사 개념의 비교

PII와 혼동될 수 있는 유사한 개념들이 존재한다:

PII의 유형 및 분류

PII는 일반적으로 직접 식별 정보와 간접 식별 정보로 분류할 수 있다.

  1. 직접 식별 정보
    직접 식별 정보는 그 자체만으로 특정 개인을 식별할 수 있는 정보입니다:

    • 성명
    • 주민등록번호/사회보장번호
    • 운전면허증 번호
    • 여권 번호
    • 생체 인식 데이터(지문, 홍채 스캔, DNA)
    • 고유 식별자(정부 또는 기관에서 발급한 ID)
    • 디지털 신원(이메일 주소, 사용자명)

  2. 간접 식별 정보
    간접 식별 정보는 단독으로는 개인을 식별할 수 없지만, 다른 정보와 결합하면 특정 개인을 식별할 수 있는 정보이다:

    • 생년월일
    • 출생지
    • 우편번호
    • 성별
    • 인종 또는 민족
    • 직업 정보
    • 의료 기록
    • 교육 기록
    • 재정 정보
    • 지리적 지표
    • IP 주소
    • 쿠키 ID
    • RFID 태그 데이터

  3. 민감성에 따른 분류
    PII는 민감성 수준에 따라 다음과 같이 분류할 수도 있다:

    • 일반 PII
      • 성명, 주소, 전화번호와 같이 대체로 공개된 정보나 쉽게 접근 가능한 정보
    • 민감한 PII
      • 사회보장번호, 의료 정보, 금융 계좌 정보, 생체 데이터와 같이 특별한 보호가 필요한 정보
      • 이러한 정보는 오용될 경우 신원 도용, 재정적 손실, 개인적 피해로 이어질 수 있음
    • 준-민감한 PII
      • 직업, 교육 이력, 출생지와 같이 중간 수준의 민감성을 가진 정보
      • 다른 정보와 결합될 경우 위험성이 증가할 수 있음

PII 관련 법규 및 규제 프레임워크

세계 각국은 PII 보호를 위한 다양한 법규와 규제 프레임워크를 도입하고 있다.

PII 보호의 중요성 및 위험

  1. PII 보호의 중요성

    1. 개인 프라이버시 보호
      • 개인의 기본권으로서의 프라이버시 보장
      • 개인의 자율성과 존엄성 존중
      • 개인 정보의 오용 및 남용으로부터 보호
    2. 신원 도용 및 사기 방지
      • PII 유출은 신원 도용의 주요 원인
      • 금융 사기, 세금 사기, 의료 사기 등의 범죄 예방
    3. 기업의 평판 및 신뢰 유지
      • 데이터 침해는 기업의 평판과 고객 신뢰에 심각한 타격
      • 데이터 보호는 기업의 사회적 책임의 중요한 측면
    4. 법적 책임 및 규제 준수
      • 데이터 보호 법규 위반 시 상당한 벌금과 법적 제재
      • 집단 소송 및 보상 청구의 위험

  2. PII 관련 주요 위험

    1. 데이터 침해 및 사이버 공격
      • 해킹, 악성 소프트웨어, 피싱 공격 등을 통한 무단 접근
      • 랜섬웨어 공격으로 인한 데이터 암호화 및 인질 상황
    2. 내부자 위협
      • 악의적인 직원에 의한 데이터 유출
      • 실수나 부주의로 인한 우발적 노출
    3. 불안전한 데이터 처리 관행
      • 취약한 암호화 및 접근 통제
      • 불충분한 데이터 최소화 및 보존 정책
    4. 제3자 위험
      • 공급업체, 서비스 제공업체, 파트너의 불충분한 보안 조치
      • 데이터 처리자의 책임 소홀
    5. 국경 간 데이터 전송 위험
      • 다양한 국가의 데이터 보호 체제 차이
      • 국경 간 데이터 전송에 대한 법적 제한

PII 보호를 위한 기술적 조치

  1. 데이터 보안 기술
    1. 암호화
      • 저장 데이터 암호화(Data at Rest): 저장된 데이터를 암호화하여 무단 접근으로부터 보호
      • 전송 중 데이터 암호화(Data in Transit): SSL/TLS와 같은 프로토콜을 사용하여 통신 보호
      • 사용 중 데이터 암호화(Data in Use): 동형 암호화와 같은 기술로 처리 중인 데이터 보호
    2. 토큰화
      • 민감한 데이터를 무의미한 토큰으로 대체하여 원래 데이터에 대한 직접적인 접근 없이 처리 가능
      • 결제 처리, 의료 연구 등에서 사용
    3. 해싱
      • 단방향 암호화 기술을 사용하여 데이터를 고정 길이의 문자열로 변환
      • 비밀번호 저장 등에 적합
  2. 접근 통제
    1. 최소 권한 원칙
      • 업무 수행에 필요한 최소한의 권한만 부여
      • 불필요한 접근 제한으로 위험 감소
    2. 역할 기반 접근 통제(RBAC)
      • 사용자의 조직 내 역할에 따라 접근 권한 할당
      • 권한 관리 간소화 및 일관성 유지
    3. 다중 인증(MFA)
      • 지식(비밀번호), 소유(토큰, 휴대폰), 생체 정보와 같은 여러 인증 요소 조합
      • 단일 인증 방식보다 훨씬 강력한 보안 제공
  3. 데이터 익명화 및 가명화
    1. 익명화(Anonymization)
      • 데이터에서 식별자를 제거하여 개인과의 연결을 영구적으로 차단
      • k-익명성, l-다양성, t-근접성과 같은 기술 활용
    2. 가명화(Pseudonymization)
      • 식별자를 가명으로 대체하여 추가 정보 없이는 개인을 식별할 수 없게 함
      • 비식별화의 한 형태로, GDPR에서 권장하는 보호 조치
    3. 차등 프라이버시(Differential Privacy)
      • 데이터셋에 통계적 노이즈를 추가하여 개인 정보를 보호하면서도 유용한 통계적 분석 가능
      • 애플, 구글 등이 데이터 분석에 활용
  4. 데이터 거버넌스 도구
    1. 데이터 발견 및 분류
      • 조직 내 PII의 위치와 유형을 식별하고 분류하는 도구
      • 보호가 필요한 데이터의 가시성 확보
    2. 데이터 손실 방지(DLP) 솔루션
      • 민감한 데이터의 무단 전송이나 유출을 감지하고 방지
      • 이메일, 웹, 엔드포인트 등 다양한 채널 모니터링
    3. 감사 및 모니터링 도구
      • 데이터 접근 및 사용 패턴 추적
      • 의심스러운 활동 감지 및 알림

용어 정리

용어설명

참고 및 출처

규제 기관 및 표준

  1. 유럽 데이터 보호 위원회(EDPB) - https://edpb.europa.eu/
  2. 미국 연방거래위원회(FTC) - https://www.ftc.gov/privacy-security
  3. 국제표준화기구(ISO) - ISO/IEC 27001, 27018
  4. 미국 국립표준기술연구소(NIST) - 개인정보 보호 프레임워크

법률 및 규제

  1. 일반 개인정보 보호법(GDPR) - https://gdpr.eu/
  2. 캘리포니아 소비자 개인정보 보호법(CCPA) - https://oag.ca.gov/privacy/ccpa
  3. 건강보험 이전 및 책임에 관한 법(HIPAA) - https://www.hhs.gov/hipaa/

전문가 조직 및 리소스

  1. 국제 개인정보 전문가 협회(IAPP) - https://iapp.org/
  2. 개인정보 보호 권리 정보 센터(EPIC) - https://epic.org/
  3. 전자 프런티어 재단(EFF) - https://www.eff.org/

기술 리소스

  1. 개인정보 보호 도구 - https://www.privacytools.io/
  2. 오픈 웹 애플리케이션 보안 프로젝트(OWASP) - https://owasp.org/