개인정보 안전성 확보조치 기준, 홈페이지 운영자가 볼 10가지 조치

개인정보 안전성 확보조치는 내부 관리계획부터 접근 권한, 암호화, 접속기록, 파기까지 고시가 정한 최소 기준입니다. 이 글에서는 개인정보보호위원회 고시의 10가지 조치를 한눈에 정리하고, 작은 홈페이지가 먼저 점검할 6단계를 원문 기준으로 소개합니다.

개인정보 안전성 확보조치의 근거

개인정보 보호법 제29조는 개인정보가 유출등이 되지 않도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 기술적·관리적·물리적 조치를 하도록 정합니다. 시행령 제30조제1항은 그 조치를 내부 관리계획, 접근 권한 제한, 접근 통제, 암호화, 접속기록 보관, 악성프로그램 방지, 물리적 조치 등으로 나누고, 제3항은 세부 기준을 개인정보보호위원회가 고시하도록 합니다.

그 고시가 「개인정보의 안전성 확보조치 기준」입니다. 국가법령정보센터에서 확인한 현행 고시는 2026년 7월 1일 시행된 제2026-9호이며, 제3조는 개인정보 보유 수와 유형, 정보주체에게 미치는 영향 등을 고려해 스스로의 환경에 맞게 적용하도록 정합니다. 원문은 국가법령정보센터 개인정보의 안전성 확보조치 기준에서 볼 수 있습니다.

안전성 확보조치 10가지 한눈에 보기

아래 표는 고시 제2장의 조치 가운데 일반 개인정보처리자와 관련된 10가지를 조항과 홈페이지에서 확인할 점으로 정리한 것입니다. 일일평균 이용자 100만 명 이상인 경우의 인터넷망 차단(제6조의2)과 공공시스템 운영기관 조항은 뺐습니다.

조치	고시 조항	홈페이지에서 확인할 점
내부 관리계획	제4조	계획 문서와 연 1회 이상 이행 점검
접근 권한 관리	제5조	관리자 계정을 사람마다 따로 발급했는지
접근통제	제6조	관리자 접속 제한, 외부 접속 인증, 자동 접속 차단
암호화	제7조	비밀번호 일방향 암호화, 전송 구간 암호화
접속기록 보관·점검	제8조	관리자 접속기록 보관 기간과 점검 주기
악성프로그램 방지	제9조	보안 프로그램과 보안 업데이트 적용
물리적 안전조치	제10조	서류·저장매체 잠금 보관
재해·재난 대비	제11조	일정 규모 이상이면 대응 절차와 백업·복구 계획
출력·복사 안전조치	제12조	엑셀 내려받기 항목 최소화
파기	제13조	복원할 수 없는 방법으로 삭제

그림은 이 가운데 홈페이지 운영과 가장 가까운 조치를 여섯 묶음으로 줄인 것입니다. 물리적 조치, 재해·재난 대비, 출력·복사는 마지막 묶음과 표에서 함께 확인하세요.

조치별 핵심 내용

내부 관리계획과 교육(제4조)

보호 조직, 보호책임자, 접근 권한, 암호화, 접속기록, 유출사고 대응 계획 등 18개 항목을 담은 내부 관리계획을 세우고 시행합니다. 다만 1만 명 미만의 정보주체에 관한 개인정보를 처리하는 소상공인·개인·단체는 생략할 수 있습니다. 보호책임자와 개인정보취급자 교육은 규모에 따라 정기적으로 하고, 보호책임자는 이행 실태를 연 1회 이상 점검합니다.

접근 권한과 접근통제(제5조·제6조)

권한은 업무에 필요한 최소 범위로 차등 부여하고, 담당자가 바뀌면 지체 없이 변경·말소하며, 부여·변경·말소 기록을 최소 3년 보관합니다. 계정은 사람마다 발급해 공유하지 않고, 일정 횟수 이상 인증에 실패하면 접근을 제한합니다. 관리자 접속은 IP 주소 등으로 제한하고, 외부에서 접속할 때는 인증서·보안토큰·일회용 비밀번호 같은 안전한 인증수단을 쓰며, 일정 시간 작업이 없으면 접속이 자동으로 끊기게 합니다. 홈페이지에서 개인정보가 권한 없는 사람에게 공개되지 않도록 조치하는 것도 제6조제3항에 들어 있습니다.

암호화와 접속기록(제7조·제8조)

비밀번호는 복호화되지 않도록 일방향 암호화해 저장하고, 주민등록번호·여권번호·계좌번호 같은 이용자 정보는 안전한 암호 알고리즘으로 암호화해 저장합니다. 자세한 대상은 개인정보 암호화 기준에서 다뤘습니다. 접속기록은 1년 이상 보관하되 5만 명 이상 처리하거나 고유식별정보·민감정보를 처리하는 시스템 등은 2년 이상 보관합니다. 보관 기간과 점검 방법은 개인정보 접속기록 보관에서 정리했습니다.

악성프로그램, 출력·복사, 파기(제9조·제12조·제13조)

보안 프로그램은 자동 업데이트를 쓰거나 하루 1회 이상 업데이트하고, 운영체제나 프로그램 제작업체의 보안 업데이트 공지가 있으면 정당한 사유가 없는 한 즉시 적용합니다. 출력할 때는 용도를 정하고 항목을 최소화하며, 파기는 완전파괴, 전용 소자장비, 복원되지 않는 초기화·덮어쓰기 가운데 하나로 합니다.

작은 홈페이지 안전조치 점검 6단계

모든 조항을 한 번에 맞추기 어렵다면 아래 순서로 시작합니다.

1. 처리 규모 파악: 몇 명의 개인정보를 처리하는지, 고유식별정보나 민감정보가 있는지 확인합니다. 적용 범위가 여기서 갈립니다.
2. 계정과 권한 정리: 공용 관리자 계정을 없애고 사람마다 계정을 만들며, 퇴사자 계정은 바로 지웁니다.
3. 관리자 접속 보호: 관리자 페이지 접근을 IP 등으로 제한하고, 2단계 인증과 자동 로그아웃을 켭니다.
4. 암호화 확인: 비밀번호 저장 방식과 HTTPS 적용 여부를 확인합니다.
5. 접속기록 확인: 관리자 접속기록이 남는지, 정해진 기간 동안 보관되는지 확인합니다.
6. 업데이트와 파기: 보안 업데이트를 바로 적용하고, 보관 기간이 지난 개인정보를 지웁니다.

그림은 여섯 단계를 순서대로 정리한 것입니다. 1단계에서 확인한 규모를 기록해 두면 2단계 이후 어떤 조항까지 적용할지 판단할 때 근거가 됩니다.

부칙의 시행일도 확인하기

고시는 여러 차례 개정되었고, 2025년 10월 31일 개정 고시의 부칙은 제5조제1항·제6항, 제8조제1항·제2항 등 일부 조항을 발령한 날의 1년 후부터 시행하도록 정합니다. 적용 시점이 중요한 경우에는 원문의 부칙을 함께 확인하고, 해당 여부가 애매하면 전문가에게 확인하세요.

디코랩이 돕는 방식

디코랩은 홈페이지 제작과 함께 운영 중인 사이트의 보안 점검과 유지보수를 맡습니다. 관리자 접속 제한이나 계정 정리처럼 홈페이지에서 할 수 있는 조치를 확인하려면 웹사이트 취약점 점검 서비스를, 정기적인 업데이트와 관리가 필요하면 홈페이지 유지보수 상품을 참고하세요. 고시 적용 범위에 대한 법률 판단은 전문가에게 확인하세요.

자주 묻는 질문

작은 회사도 안전성 확보조치를 모두 해야 하나요?

고시 제3조는 보유 수와 유형 등을 고려해 환경에 맞게 적용하도록 정하고, 일부 조항은 규모 기준을 따로 둡니다. 예를 들어 1만 명 미만을 처리하는 소상공인·개인·단체는 내부 관리계획 수립을 생략할 수 있습니다.

접속기록은 누구의 기록을 남기나요?

고시 제8조는 개인정보처리시스템에 접속한 자의 접속기록을 보관하도록 하되 정보주체는 제외합니다. 홈페이지라면 관리자와 직원의 관리자 화면 접속 기록이 중심입니다.

관리자 계정을 여러 명이 같이 써도 되나요?

고시 제5조제4항은 정당한 사유가 없는 한 개인정보취급자별로 계정을 발급하고 공유하지 않도록 정합니다. 사람마다 계정을 만들어야 접속기록도 의미가 있습니다.

보안 업데이트는 얼마나 빨리 해야 하나요?

고시 제9조제2항은 제작업체의 보안 업데이트 공지가 있으면 정당한 사유가 없는 한 즉시 업데이트하도록 정합니다. 업데이트 담당자와 확인 주기를 미리 정해 두세요.

우리 홈페이지의 관리자 계정, 접속 제한, 암호화 상태를 점검하고 싶다면 디코랩 프로젝트 문의로 사이트 주소를 보내 주세요.