본문 바로가기

분류 전체보기

AI 챗봇·생성형 AI 도입 전 개인정보 체크리스트 다섯 가지 AI 챗봇·생성형 AI 도입 전 개인정보 체크리스트 다섯 가지고객 문의 응대에 챗봇을 붙이거나, 사내 업무에 생성형 AI를 도입하는 조직이 빠르게 늘고 있습니다. 그런데 개인정보 관점에서 검토하지 않고 도입하는 경우가 대부분입니다.이 글에서는 도입 전에 반드시 확인해야 할 다섯 가지를 정리하겠습니다.목차1. 왜 AI가 특별히 문제인가2. 도입 전 확인할 다섯 가지3. 외부 AI API를 쓴다면4. 자유 입력창이 가장 위험합니다5. 계약서에 넣어야 할 것6. 자동화된 결정 문제7. 점검 체크리스트왜 AI가 특별히 문제인가기존 시스템과 다른 점이 몇 가지 있습니다.특징위험자유 입력무엇이 들어갈지 통제하기 어려움외부 API 의존데이터가 외부로 나감학습 가능성입력한 데이터가 모델에 남을 수 있음블랙박스왜 그런 .. 더보기
임직원 보안 교육, 무엇을 어떻게 해야 하나 (기록까지) 임직원 보안 교육, 무엇을 어떻게 해야 하나 (기록까지)보안 교육은 거의 모든 조직이 하고 있지만, 심사에서 가장 자주 지적되는 항목 중 하나입니다. 이유는 단순합니다. 했는데 기록이 없어서입니다.이 글에서는 교육을 어떻게 설계하고, 무엇을 남겨야 하는지 정리하겠습니다.목차1. 왜 교육이 요구되나2. 교육 설계 여섯 가지 요소3. 무엇을 가르칠 것인가4. 기록으로 남겨야 할 것5. 효과를 높이는 방법6. 위탁사 교육은 어떻게7. 자주 하는 실수8. 점검 체크리스트왜 교육이 요구되나기술적 조치로 막을 수 없는 위험이 있기 때문입니다.방화벽은 직원이 실수로 이메일을 잘못 보내는 것을 막지 못합니다. 앞서 다룬 유출 사고 글에서 보셨듯, 가장 흔한 유출 원인은 해킹이 아니라 실수입니다.법령과 인증기준 모두 개.. 더보기
만 14세 미만 아동 개인정보, 무엇이 다른가 — 법정대리인 동의 실무 만 14세 미만 아동 개인정보, 무엇이 다른가 — 법정대리인 동의 실무서비스에 어린이 이용자가 있다면 일반 회원과 다른 절차가 필요합니다. 그리고 “우리는 성인 서비스니까 해당 없다”고 생각하는 곳도, 실제로는 어린이가 가입하고 있는 경우가 많습니다.이 글에서는 만 14세 미만 아동의 개인정보를 처리할 때 무엇이 달라지는지 정리하겠습니다.목차1. 왜 만 14세인가2. 무엇이 다른가3. 먼저 판단할 것4. 법정대리인 동의 확인 방법5. 쉬운 언어로 안내하기6. 동의 확인용 정보의 처리7. 자주 하는 실수8. 점검 체크리스트왜 만 14세인가개인정보 보호법은 만 14세 미만 아동의 개인정보를 처리하려면 법정대리인의 동의를 받도록 하고 있습니다.아동은 동의의 의미와 결과를 충분히 판단하기 어렵다고 보기 때문입니.. 더보기
개인정보 영향평가(PIA), 대상과 절차 총정리 개인정보 영향평가(PIA), 대상과 절차 총정리개인정보 영향평가는 새 시스템을 만들거나 크게 바꾸기 전에 개인정보 침해 위험을 미리 점검하는 제도입니다. 영어 약자로 PIA라고 부릅니다.“우리도 해야 하나?”가 첫 질문일 텐데, 답은 기관 성격과 규모에 따라 다릅니다. 순서대로 정리하겠습니다.목차1. 영향평가가 무엇인가2. 누가 해야 하나3. 민간기업은 어떤가4. 진행 절차 7단계5. 핵심 산출물은 개인정보 흐름표6. 평가기관은 어떻게 선정하나7. 자주 하는 실수8. 점검 체크리스트영향평가가 무엇인가한 문장으로 말하면 “만들기 전에 위험을 점검하는 절차”입니다.시스템을 다 만든 뒤에 문제를 발견하면 고치는 비용이 훨씬 큽니다. 설계 단계에서 잡자는 것이 이 제도의 취지입니다. 앞서 다룬 위험평가가 조직 .. 더보기
ISMS-P 심사 결함, 자주 나오는 유형 8가지와 예방법 ISMS-P 심사 결함, 자주 나오는 유형 8가지와 예방법심사를 앞두고 가장 궁금한 것은 “어디서 걸리는가”입니다. 결함이 나오는 지점은 대체로 정해져 있습니다.이 글에서는 자주 나오는 유형과, 그것을 줄이는 방법을 정리하겠습니다.목차1. 결함은 왜 나오나2. 자주 나오는 여덟 가지3. 공통점 하나4. 결함을 줄이는 네 가지 습관5. 심사 전 한 달에 할 일6. 결함이 나왔다면7. 마음가짐결함은 왜 나오나의외로 “몰라서”보다 “안 남겨서”가 많습니다. 실제로 하고 있는데 기록이 없어 결함이 되는 경우입니다.심사원은 조직을 믿지 않는 것이 아니라, 확인할 수 있는 것만 인정합니다. “했습니다”라는 말은 증적이 없으면 확인할 수 없습니다.자주 나오는 여덟 가지심사에서 자주 나오는 결함 유형 | 업로드 파.. 더보기
관리자 계정 접근통제, 법이 요구하는 수준은 어디까지인가 관리자 계정 접근통제, 법이 요구하는 수준은 어디까지인가개인정보 유출 사고의 상당수는 외부 해킹이 아니라 정상 권한을 가진 계정에서 시작됩니다. 그래서 접근통제는 기술적 안전조치 중에서도 우선순위가 높습니다.이 글에서는 관리자 계정을 어떻게 관리해야 하는지를 실무 기준으로 정리하겠습니다.목차1. 왜 관리자 계정이 문제인가2. 여섯 가지 기본 원칙3. 권한 부여 절차4. 점검은 언제 무엇을5. 이력은 얼마나 보관하나6. 자주 나오는 결함7. 점검 체크리스트왜 관리자 계정이 문제인가관리자 계정은 많은 정보에 접근할 수 있고, 흔적을 지울 수도 있습니다. 하나가 뚫리면 피해 범위가 넓습니다.특히 위험한 것은 공용 계정입니다. 여러 명이 같은 계정을 쓰면, 사고가 났을 때 누가 했는지 특정할 수 없습니다. 기록.. 더보기
ISMS-P 내부감사, 계획서부터 개선 확인까지 (양식 항목 포함) ISMS-P 내부감사, 계획서부터 개선 확인까지 (양식 항목 포함)ISMS-P 인증기준에는 관리체계를 스스로 점검하고 개선하도록 하는 요구사항이 있습니다. 이것이 내부감사입니다.그런데 “우리가 우리를 감사한다”는 개념 자체가 낯설어, 형식적으로 끝나는 경우가 많습니다. 이 글에서는 실제로 돌아가는 내부감사를 만드는 방법을 정리하겠습니다.목차1. 내부감사는 왜 하나2. 전체 흐름3. 감사인은 누가 맡나4. 계획서에 들어갈 항목5. 무엇을 점검하나6. 결과 보고와 개선7. 자주 하는 실수8. 점검 체크리스트내부감사는 왜 하나이유는 두 가지입니다.목적설명인증 요구사항관리체계 점검 및 개선은 인증기준에 포함된 항목입니다실질적 필요심사 전에 스스로 발견해 고치면, 심사에서 결함이 줄어듭니다두 번째가 더 중요합니다.. 더보기
개인정보 국외이전, 언제 동의가 필요한가 — 클라우드 쓴다면 꼭 확인 개인정보 국외이전, 언제 동의가 필요한가 — 클라우드 쓴다면 꼭 확인해외 클라우드를 쓰거나, 해외 본사에 데이터를 보내거나, 외국 업체에 업무를 맡긴다면 개인정보 국외 이전에 해당할 수 있습니다.문제는 본인도 모르는 사이에 국외 이전이 일어나는 경우가 많다는 점입니다. 협업 도구 하나 도입했을 뿐인데 데이터가 해외 서버에 저장되고 있는 식입니다.목차1. 무엇이 국외 이전인가2. 이 다섯 가지만 가능합니다3. 동의를 받을 때 알려야 할 것4. 클라우드를 쓴다면5. 처리방침에도 공개해야 합니다6. 점검 체크리스트7. 자주 하는 실수무엇이 국외 이전인가개인정보를 국외의 제3자에게 제공하거나, 국외에서 처리하도록 위탁·보관하는 것을 말합니다.유형예시국외 제공해외 제휴사에 회원정보 제공국외 위탁해외 콜센터, 해외.. 더보기
반응형

티스토리툴바