개인정보 안전성 확보조치 기준, 무엇을 하라는 건가요
손님 정보를 다루는 회사가 지켜야 할 기술적·관리적·물리적 보호 조치의 최소 기준입니다. 개인정보 보호법 제29조가 의무를 정하고, 시행령 제30조가 큰 항목을, 고시가 세부 기준을 정합니다. 고시 제3조는 다루는 정보의 양과 종류, 손님에게 미치는 영향을 보고 회사 환경에 맞게 적용하라고 합니다.
아래는 일반 회사에 해당하는 고시 제2장을 조항별로 줄인 것입니다. 공공시스템을 운영하는 공공기관에만 해당하는 제3장은 뺐습니다.
| 고시 조항 | 하라는 것 | 규모에 따른 차이 |
|---|---|---|
| 제4조 내부 관리계획 | 보호 조직, 책임자, 직원 교육, 접근 권한, 암호화, 접속기록, 유출사고 대응 같은 항목을 담은 계획을 세워 시행하고, 해마다 한 번 이상 지켜지는지 점검 | 정보주체 1만 명 미만인 소상공인·개인·단체는 생략 가능 |
| 제5조 접근 권한 관리 | 일에 필요한 만큼만 권한을 주고, 사람마다 따로 계정을 주고, 권한을 주고 바꾸고 지운 내역을 3년 이상 보관. 로그인을 여러 번 틀리면 접근 제한 | 따로 없음 |
| 제6조 접근 통제 | 허락받지 않은 접속을 막고, 밖에서 들어올 때 안전한 인증수단을 쓰고, 홈페이지나 공유 설정으로 정보가 드러나지 않게 하고, 한동안 쓰지 않으면 접속이 자동으로 끊기게 하고, 업무용 휴대폰에 잠금 | 인터넷망 차단(제6조의2)은 하루 평균 이용자 100만 명 이상인 곳만 |
| 제7조 암호화 | 비밀번호는 되돌릴 수 없게 바꿔 저장하고, 주민등록번호·계좌번호 같은 정보는 남이 알아볼 수 없게 바꿔(암호화) 저장하고, 인터넷으로 주고받을 때도 암호화 | 암호 키 관리 절차는 대기업·중견기업·공공기관은 10만 명 이상, 중소기업·단체는 100만 명 이상일 때 |
| 제8조 접속기록 | 시스템에 들어온 사람이 언제, 어디서, 어떤 손님 정보로 무엇을 했는지 남는 기록을 1년 이상 보관하고, 고칠 수 없게 지키고, 점검 | 5만 명 이상이거나 고유식별정보·민감정보를 다루는 시스템 등은 2년 이상 |
| 제9조 악성프로그램 방지 | 백신 같은 보안 프로그램을 최신으로 두고, 쓰는 프로그램에 보안 업데이트가 나오면 바로 반영 | 따로 없음 |
| 제10조 물리적 조치 | 손님 정보가 든 서류와 외장 저장장치를 잠금장치가 있는 곳에 보관 | 따로 없음 |
| 제11조 재해·재난 대비 | 화재·홍수·정전 같은 때를 대비한 대응 절차와 백업·복구 계획 | 대기업·중견기업·공공기관은 10만 명 이상, 중소기업·단체는 100만 명 이상일 때 |
| 제12조 출력·복사 | 화면에 띄우거나 파일로 만들 때 용도를 정하고 항목을 줄이기 | 따로 없음 |
| 제13조 파기 | 지울 때는 되살릴 수 없게 지우기 | 따로 없음 |
표의 사람 수는 그 회사가 개인정보를 다루는 정보주체(손님처럼 정보의 주인인 사람) 수입니다. 고유식별정보는 주민등록번호·여권번호·운전면허번호·외국인등록번호이고, 민감정보는 건강 정보처럼 법 제23조가 정한 정보입니다.
조항 안에 따로 예외를 둔 곳도 있습니다. 정확한 문구는 아래 출처의 고시 원문을 보세요.
2026년 10월 31일부터 달라진 조항
2025년 10월 31일 고시를 고치면서 1년 미뤄 둔 조항이 2026년 10월 31일부터 시행됐습니다. 가장 큰 변화는 접근 권한, 밖에서 들어올 때의 인증, 접속기록 규칙이 직원(고시의 개인정보취급자)만이 아니라 손님 정보가 담긴 시스템에 들어오는 사람 모두에게 적용된다는 점입니다. 손님 본인은 빠집니다.
| 항목 | 10월 30일까지 | 10월 31일부터 |
|---|---|---|
| 접근 권한 주기(제5조 제1항) | 직원에게만, 일에 필요한 최소한으로 | 접근하는 사람 누구에게나 일에 필요한 최소한으로 |
| 로그인 실패 제한(제5조 제6항) | 권한 있는 직원과 손님이 대상 | 권한 있는 사람 모두가 대상 |
| 밖에서 들어올 때 안전한 인증(제6조 제2항) | 직원이 밖에서 접속할 때 | 접근 권한이 있는 사람이 밖에서 접속할 때(손님 본인 제외) |
| 접속기록을 남길 사람(제8조 제1항) | 직원의 접속기록 | 시스템에 접속한 사람 모두의 기록(손님 본인 제외) |
| 접속기록 점검(제8조 제2항) | 월 1회 이상 점검, 손님 정보 내려받기가 보이면 이유 확인 | 점검 주기·방법·후속 조치를 내부 관리계획으로 정하고 그대로 지키기 |
| 내부 관리계획 항목(제4조 제1항) | 16가지 | 출력·복사 때의 안전조치와 파기를 더해 18가지 |
고시의 개정 이유에는 이 조항들을 개인정보취급자에서 오픈마켓 판매자 등까지 넓힌다고 적혀 있습니다. 입점 판매자처럼 직원이 아닌데 우리 관리 화면에 들어오는 사람이 있다면, 그 계정에도 권한을 줄이고 밖에서 들어올 때 안전한 인증을 쓰고 접속기록을 남기는지 먼저 보세요.
대표나 담당자가 직접 확인할 것
개발자가 아니어도 관리 화면과 휴대폰으로 확인할 수 있는 것들입니다. 실제 손님 계정이 아니라 시험용 계정으로 해 보세요.
- 계정 목록(제5조): 관리 화면의 계정 목록에 지금 그 일을 하는 사람만 있는지 봅니다. 그만두거나 업무가 바뀐 사람의 계정은 바로 바꾸거나 지워야 합니다.
- 같이 쓰는 계정(제5조): 관리자 계정 하나를 여러 사람이 같이 쓰고 있지 않은지 봅니다. 고시는 사람마다 따로 계정을 주라고 합니다.
- 권한의 크기(제5조): 모든 계정이 손님 정보 전체를 보고 내려받을 수 있는 최고 권한은 아닌지 봅니다. 상담 담당은 상담 기록만, 배송 담당은 배송 정보만처럼 일에 필요한 만큼이 기준입니다.
- 로그인 실패(제5조): 시험용 계정으로 비밀번호를 일부러 여러 번 틀려 봅니다. 몇 번을 틀려도 계속 시도할 수 있다면 접근 제한이 없는 것입니다.
- 관리자 로그인의 두 번째 확인(제6조): 관리 화면에 로그인할 때 비밀번호 말고 한 번 더 확인하는 단계가 있는지 봅니다. 고시는 밖에서 접속할 때 인증서, 보안토큰, 일회용 비밀번호(로그인할 때마다 새로 받는 번호) 같은 안전한 인증수단을 쓰라고 합니다.
- 켜 두고 자리 비우기(제6조): 관리 화면을 켜 둔 채 한동안 두었다가 다시 눌러 봅니다. 그대로 쓸 수 있다면 자동 접속 차단이 없는 것입니다.
- 주소만 알면 열리는 화면(제6조): 로그인하지 않은 휴대폰 브라우저에 주문 상세나 손님 정보 화면의 주소를 붙여 넣어 봅니다. 손님용 시험 계정으로 내 주문 화면을 연 뒤 주소 끝 번호를 하나 바꿔, 다른 손님 주문이 열리는지도 봅니다.
- 공유 링크(제6조): 손님 명단이 든 파일이나 폴더가 '링크가 있는 모든 사용자'처럼 누구나 열 수 있는 상태로 공유돼 있지 않은지 봅니다.
- 업무용 휴대폰(제6조): 손님 정보를 보는 업무용 휴대폰과 태블릿에 화면 잠금이 걸려 있는지 봅니다.
- 비밀번호 찾기(제7조): 비밀번호 찾기를 눌렀을 때 원래 비밀번호를 그대로 보여 주거나 메일로 보내 준다면, 되돌릴 수 있는 방식으로 저장하고 있다는 뜻입니다. 고시는 비밀번호를 되돌릴 수 없게 바꿔(일방향 암호화) 저장하라고 합니다.
- 주의 요함 표시(제7조): 손님이 이름과 연락처를 넣는 화면을 컴퓨터 브라우저로 열었을 때 주소창에 '주의 요함'이나 '안전하지 않음'이 뜨면, 정보가 암호화되지 않은 채 오갈 수 있습니다.
- 목록과 내려받기 항목(제12조): 관리 화면 목록이나 엑셀 내려받기에 그 일에 필요 없는 항목까지 모두 나오지 않는지 봅니다. 예를 들어 배송을 확인하는 화면에 생년월일이 보일 필요는 없습니다.
개발자나 만든 곳에 물어볼 것
화면에서 보이지 않는 저장·기록·업데이트는 만든 사람에게 물어야 확인됩니다. 아래 질문을 메일이나 메신저로 보내 답을 받아 두세요.
- 저장소 접속 제한(제6조 제1항): 손님 정보가 담긴 저장소(데이터베이스)에 접속할 수 있는 곳을 IP 주소(인터넷에 연결된 기기마다 붙는 번호) 등으로 정해 두었나요? 낯선 곳에서 접속을 시도하면 알 수 있나요?
- 화면 밖의 통로(제6조 제3항): 앱과 서버가 자료를 주고받는 통로(API, 프로그램끼리 자료를 주고받는 통로)로 손님 정보를 직접 요청해도 로그인과 권한을 매번 확인하나요?
- 비밀번호와 중요한 정보의 저장(제7조): 비밀번호는 되돌릴 수 없게 바꿔 저장하나요? 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호, 신용카드번호, 계좌번호, 생체인식정보를 받는다면 암호화해 저장하나요?
- 접속기록(제8조): 시스템에 들어온 사람이 언제, 어디서, 어떤 손님 정보로 무엇을 했는지 기록이 남나요? 그 기록을 1년 이상(손님 5만 명 이상이거나 고유식별정보·민감정보를 다루면 2년 이상) 고치거나 지울 수 없게 보관하나요?
- 권한 변경 기록(제5조 제3항): 계정에 권한을 주고, 바꾸고, 지운 내역이 남고 3년 이상 보관되나요?
- 보안 업데이트(제9조 제2항): 서버와 앱에 쓰는 프로그램에 보안 업데이트 공지가 나오면 바로 반영하나요? 마지막으로 반영한 날은 언제인가요?
- 지운 정보(제13조): 지운 손님 정보가 백업이나 시험용 복사본에 되살릴 수 있게 남아 있지 않나요?
모르겠다거나 안 했다는 답이 온 항목이 먼저 고칠 곳입니다. 받아 둔 답은 고시 제4조가 말하는 해마다 한 번 이상의 점검 때 그대로 쓸 수 있습니다.
개인정보 유출 통지와 신고는 72시간 안에
손님 정보가 샌 것을 알게 되면 72시간 안에 해당 손님에게 알려야 합니다(시행령 제39조). 1천 명 이상이거나, 고유식별정보·민감정보이거나, 외부의 불법 접근으로 샌 경우에는 같은 72시간 안에 개인정보보호위원회나 한국인터넷진흥원에 신고도 해야 합니다(시행령 제40조). 여기서 샜다는 것은 분실·도난·유출뿐 아니라 위조·변조·훼손까지 말합니다.
해킹 같은 침해사고로 샜다면 신고할 곳이 하나 더 있습니다. 정보통신서비스 제공자는 침해사고를 알게 된 때부터 24시간 안에 과학기술정보통신부나 한국인터넷진흥원에 따로 신고해야 하고, 하지 않거나 늦으면 5천만 원 이하의 과태료가 붙습니다(정보통신망법 제48조의3 제1항, 제76조 제1항).
2026년 9월 11일부터는 샌 것이 확인되기 전에도 알려야 하는 경우가 생겼습니다. 시스템에 불법 접근이 있었는데 누구 정보인지 특정하기 어려울 때, 일부 정보가 불법으로 거래된 것이 확인돼 다른 손님 정보도 샜을 수 있을 때입니다. 이때도 그 사실을 안 때부터 72시간 안에 알립니다(시행령 제39조의2·제39조의3).
고시 제4조는 내부 관리계획에 유출사고 대응 계획을 넣으라고 합니다. 72시간 안에 움직이려면 아래를 미리 정해 두는 편이 좋습니다.
- 처음 연락할 사람: 이상한 접속이나 정보 노출을 처음 알아챈 직원이 밤이나 주말에도 바로 연락할 사람과 연락 방법
- 손님에게 알릴 내용: 샌 항목, 언제 어떻게 샜는지, 손님이 피해를 줄이려고 할 수 있는 일, 회사의 대응과 피해 구제 절차, 피해 신고를 받을 부서와 연락처, 손해배상 청구와 분쟁조정 같은 법적 권리(법 제34조 제1항)
- 연락처를 모르는 손님: 홈페이지에 30일 이상 게시하는 것으로 통지를 갈음할 수 있습니다(시행령 제39조 제3항).
- 막고 거두는 일: 샌 길을 막고, 퍼진 정보를 회수하거나 지우는 조치(법 제34조 제3항). 이런 긴급 조치가 먼저 필요하면 끝낸 뒤 바로 알릴 수 있습니다(시행령 제39조 제1항).
- 신고 창구: 개인정보보호위원회 또는 한국인터넷진흥원(시행령 제40조)
안전조치와 과징금·과태료는 이렇게 이어집니다
안전조치를 하지 않은 것만으로도 과태료 대상이 될 수 있고, 손님 정보가 샌 뒤에는 안전조치를 다했는지가 과징금을 가릅니다. 법 조문과 개인정보보호위원회 9월 10일 보도자료에 적힌 것만 옮겼습니다.
| 경우 | 근거 | 내용 |
|---|---|---|
| 안전조치를 하지 않음 | 법 제75조 제2항 제5호 | 3천만 원 이하 과태료 |
| 손님 정보가 샘 | 법 제64조의2 제1항 제9호 | 전체 매출액의 3% 이하 과징금. 안전성 확보에 필요한 조치를 다했으면 부과하지 않음 |
| 고의·중대한 과실로 3년 안에 되풀이, 1천만 명 이상 피해, 시정명령을 따르지 않아 샘 | 법 제64조의2 제2항 | 전체 매출액의 10% 이하 과징금 |
| 보호에 미리 투자하고 기준보다 더 지킴 | 법 제64조의2 제6항, 9월 10일 보도자료 | 과징금 기준금액의 40% 범위에서 감경. 고의·중대한 과실이면 제외 |
| 기한 안에 신고·통지하지 않고 피해 확산도 막지 않음 | 9월 10일 보도자료 | 과징금 최대 30% 가중 |
과징금을 실제로 얼마로 정하는지는 시행령과 부과 기준이 따로 정합니다. 우리 회사에 어떻게 적용되는지는 법률 전문가와 확인하세요.
보도자료에 실린 투자 감경 안내서 요약은 기준보다 더 지킨 예로 내부 관리계획이 지켜지는지 늘 점검하기, 계정과 접근 권한을 한곳에서 관리하기, 안전한 인증수단과 접속수단을 함께 쓰기, 약한 곳을 늘 점검하고 고치기, 법이 정한 것보다 넓게 암호화하기, 접속 기록을 실시간으로 모아 보기, 앱에 들어간 소프트웨어 부품 목록을 최신으로 관리하기를 듭니다.
자주 묻는 질문
손님이 몇백 명뿐인 작은 회사도 지켜야 하나요?
네. 법 제29조의 안전조치 의무는 업무로 개인정보를 다루는 모든 개인정보처리자에게 있습니다. 다만 고시 제3조는 정보의 양과 종류, 손님에게 미치는 영향을 보고 회사 환경에 맞게 적용하라고 하고, 정보주체 1만 명 미만인 소상공인·개인·단체는 내부 관리계획을 생략할 수 있습니다(제4조). 접근 권한, 접근 통제, 비밀번호 암호화, 접속기록 1년 보관에는 사람 수 조건이 없습니다. 개인정보보호위원회는 9월 10일 보도자료에서 영세·중소기업의 가벼운 위반은 기술지원을 받아 고치면 과징금을 면제할 수 있게 했다고 밝혔습니다.
내부 관리계획은 꼭 만들어야 하나요?
정보주체 1만 명 미만인 소상공인·개인·단체가 아니라면 만들어야 합니다. 고시 제4조는 보호 조직과 책임자, 직원 교육, 접근 권한, 암호화, 접속기록, 유출사고 대응 계획 같은 항목을 넣어 회사 안의 의사결정 절차를 거쳐 정하고 시행하라고 합니다. 중요한 내용이 바뀌면 바로 고치고 고친 이력을 남겨야 하며, 개인정보 보호책임자가 해마다 한 번 이상 지켜지는지 점검해야 합니다. 2026년 10월 31일부터는 출력·복사 때의 안전조치와 파기도 계획에 넣을 항목이 됐습니다.
접속기록은 매달 점검해야 하나요?
2026년 10월 30일까지는 고시가 월 1회 이상 점검하라고 정했습니다. 10월 31일부터는 접속기록과 손님 정보 내려받기 상황을 점검하는 주기와 방법, 문제가 보였을 때의 후속 조치를 회사가 내부 관리계획으로 정하고 그대로 지키는 방식으로 바뀌었습니다. 주기를 회사가 정하게 됐을 뿐 점검은 그대로 해야 하니, 정한 주기와 점검한 날짜·결과를 남겨 두세요.
안전조치를 다 했는데도 정보가 새면 어떻게 되나요?
법 제64조의2 제1항 제9호는 안전성 확보에 필요한 조치를 다한 경우 유출을 이유로 한 과징금(전체 매출액 3% 이하)을 매기지 않는다고 정합니다. 그래도 손님에게 알리고 신고하는 의무는 그대로라 72시간 안에 통지와 신고를 해야 합니다. 평소에 한 조치와 점검을 기록으로 남겨 두는 편이 좋습니다.
점검을 맡기면 기준을 지켰다고 확인받는 건가요?
아닙니다. byte-creo의 성능·보안 점검은 손님 정보가 새는 곳을 찾아 고치고, 고치기 전과 후를 같은 방법으로 견준 결과를 드리는 일입니다. 법을 지켰다는 확인, 정보보호 인증 심사, 법률 자문은 대신하지 않습니다.
출처
모두 2026년 10월 27일 국가법령정보센터의 법·시행령·고시 원문과 개인정보보호위원회 보도자료(첨부 전문)에서 확인했습니다. 10월 31일부터 바뀐 조항은 고시 제2025-9호 부칙(발령한 날의 1년 후부터 시행)과 2023년판 고시 문구를 견주어 적었습니다. 정보통신망법의 24시간 신고는 2026년 11월 1일 같은 곳의 법 원문에서 확인했습니다.
- 개인정보의 안전성 확보조치 기준(현행, 고시 제2026-9호) · www.law.go.kr/admRulInfoP.do?admRulSeq=2100000281400
- 같은 고시 2025년 10월 31일 개정(제2025-9호, 개정 이유·부칙) · www.law.go.kr/admRulInfoP.do?admRulSeq=2100000265956
- 같은 고시 2023년 9월 22일판(제2023-6호, 바뀌기 전 문구) · www.law.go.kr/admRulInfoP.do?admRulSeq=2100000229672
- 개인정보 보호법(2026년 9월 11일 시행) · www.law.go.kr/lsInfoP.do?lsiSeq=283839&efYd=20260911
- 개인정보 보호법 시행령(2026년 9월 11일 시행) · www.law.go.kr/lsInfoP.do?lsiSeq=289537&efYd=20260911
- 개인정보보호위원회 보도자료(2026년 9월 10일) · www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12459
- 정보통신망 이용촉진 및 정보보호 등에 관한 법률(2026년 10월 2일 시행) · www.law.go.kr/LSW/lsInfoP.do?lsiSeq=290001&efYd=20261002
