개인정보 중 무엇을 반드시 암호화해야 합니까

무엇을, 어디서 암호화하는가

개인정보 암호화 의무는 항목과 구간의 두 축으로 정해져 있습니다. 개인정보 보호법 제29조의 안전조치 의무를 구체화한 「개인정보의 안전성 확보조치 기준」 제7조가 기준이고, 주민등록번호는 법 제24조의2가 따로 암호화 보관을 요구합니다.

고시가 말하는 「이용자」는 정보통신망법상 정보통신서비스 제공자가 제공하는 서비스를 이용하는 사람을 말합니다. 웹사이트나 앱의 회원이 대표적입니다. 같은 이름·연락처라도 저장 시 암호화가 의무인지는 항목에 따라 다르지만, 인터넷 구간으로 주고받을 때는 항목과 관계없이 암호화해야 하고 직원 PC나 USB 같은 매체에 저장할 때도 이용자 개인정보는 암호화해야 합니다.

비밀번호는 암호화가 아니라 일방향 저장입니다

일방향 암호화는 저장된 값에서 원래 비밀번호를 되돌릴 수 없는 방식입니다. 로그인할 때는 입력값을 같은 방식으로 변환해 저장된 값과 비교합니다. 실무에서는 같은 비밀번호라도 저장 값이 달라지도록 임의의 값(솔트)을 더하고, 대입 공격에 시간이 걸리도록 설계된 비밀번호 전용 해시 알고리즘을 씁니다. 「비밀번호 찾기」가 원래 비밀번호를 보여 주는 구조라면 저장 방식부터 점검해야 합니다.

직원·거래처 정보는 기준이 다릅니다

회원이 아닌 직원이나 거래처 담당자처럼 이용자가 아닌 정보주체의 정보는 고시 제7조제3항이 따로 정합니다. 고유식별정보(주민등록번호·여권번호·운전면허번호·외국인등록번호)를 인터넷 구간이나 인터넷과 내부망 사이 구간(DMZ)에 저장하면 암호화해야 합니다. 내부망에 저장할 때는 주민등록번호는 암호화해야 하고, 그 밖의 고유식별정보는 암호화하지 않을 때의 위험도 분석 결과(영향평가 대상 공공기관은 개인정보 영향평가 결과)에 따라 적용 여부와 범위를 정할 수 있습니다.

인사 시스템이 클라우드에 있다면 어느 구간에 해당하는지부터 판단해야 합니다. 인터넷에서 직접 접근할 수 없게 통제된 구간이 내부망의 기준이므로, 서브넷 구성과 접근 통제가 그 판단의 근거가 됩니다.

전송 구간도 같은 방식으로 봅니다. 고시가 암호화를 요구하는 것은 인터넷망 구간으로 주고받는 경우이므로, 법정 최소 기준만 보면 내부망 안의 통신은 의무 대상이 아닐 수 있습니다. 다만 클라우드에서는 애플리케이션 서버와 데이터베이스, 외부 결제·메일 서비스 사이의 통신 경로가 생각보다 복잡해 어느 구간이 인터넷을 거치는지 판단하기 어렵습니다. 데이터베이스 연결과 내부 서비스 간 통신에도 TLS를 기본으로 거는 편이 판단의 부담을 줄입니다.

클라우드 디스크 암호화로 충분한가

클라우드의 저장 암호화는 디스크나 백업이 통째로 유출되는 상황에는 효과적이지만, 정상 경로로 데이터베이스에 접속한 사람에게는 평문이 보입니다. 개인정보보호위원회 안내서(2025.11.)는 클라우드에 저장하는 개인정보를 클라우드 제공자의 암호화 기능으로 암호화할 수 있다고 하면서도, 그 기능이 기준에 부합하는 조치인지는 확인이 필요하다고 덧붙입니다. 주민등록번호나 계좌번호처럼 저장 암호화가 의무인 항목을 디스크 암호화만으로 충족했다고 볼 수 있는지는 시스템 구조를 함께 보고 판단해야 하는 법률·기술 검토 지점입니다. 위험을 줄이는 관점에서는 법정 항목에 항목 단위 암호화를 적용하고, 디스크 암호화는 그 밑의 한 겹으로 함께 두는 구성을 권합니다.

암호화된 데이터베이스 밖으로 새는 경로도 함께 봐야 합니다. 대표적인 것이 애플리케이션 로그입니다. 오류를 추적하려고 요청 내용을 통째로 로그에 남기면 주민등록번호나 카드번호가 평문으로 기록될 수 있고, 로그는 데이터베이스보다 접근 권한이 넓게 열려 있는 경우가 많습니다. 로그에 남기기 전에 해당 항목을 가리는 처리를 두고, 관리자 화면에서 내려받는 엑셀 파일처럼 데이터베이스 밖으로 나가는 사본도 같은 기준으로 다룹니다.

규모가 큰 사업자는 키 관리도 의무입니다. 10만 명 이상의 정보주체를 처리하는 대기업·중견기업·공공기관, 또는 100만 명 이상을 처리하는 중소기업·단체는 암호 키의 생성·이용·보관·배포·파기 절차를 수립해 시행해야 합니다. 클라우드의 키 관리 서비스를 쓰더라도 누가 키를 쓰고 바꿀 수 있는지, 교체 주기와 폐기 절차를 문서로 정해 두어야 합니다.

• 비밀번호가 일방향 방식으로 저장되는지
• 이용자 개인정보 7종이 저장 시 암호화되는지
• 외부와 주고받는 모든 구간에 TLS가 적용되는지
• 엑셀 다운로드 파일·백업 파일이 직원 PC에 암호화 없이 남지 않는지
• 암호 키에 접근할 수 있는 사람과 교체·폐기 절차가 정해져 있는지

참고 자료

• 개인정보의 안전성 확보조치 기준 제7조(개인정보의 암호화) — 국가법령정보센터
• 개인정보 보호법 제24조의2(주민등록번호 처리의 제한) — 국가법령정보센터
• 개인정보 보호법 시행령 제21조의2(주민등록번호 암호화 적용 대상 등) — 국가법령정보센터
• 개인정보 보호법 제29조(안전조치의무) — 국가법령정보센터
• 개인정보의 안전성 확보조치 기준 안내서(2025.11.) — 개인정보보호위원회