개인정보 안전조치 안내서 개정, API·패스키·암호키 관리 구체화

개정 안내서는 공공시스템에 대해 연 1회 이상 취약점 점검과 침투테스트를 실시하고 발견한 취약점을 지체 없이 개선하도록 한 기존 고시의 이행 해설을 추가했다.

근거 [1] [2]

인증수단 예시는 기존 7종에서 패스키·QR코드·모바일 앱 등을 포함한 12종으로 확대됐다.

근거 [1] [2]

암호키를 애플리케이션 소스코드나 설정파일에 평문으로 저장하지 않도록 하는 등 키 관리 주의사항이 강화됐다.

근거 [1] [2]

시스템 간 개인정보 연계에 쓰이는 API의 안전한 이용·관리 점검사항과 업데이트가 지연될 때 고려할 안전조치가 보완됐다.

근거 [1] [2]

잦은 비밀번호 변경이 단순한 비밀번호 사용을 유발할 수 있다는 국제적 논의를 반영한 설명도 추가됐다.

근거 [1] [2]

API와 외부 연동이 많은 서비스는 개인정보 흐름이 여러 시스템에 걸쳐 있어 인증·권한·로그·키 관리의 작은 공백도 유출 위험으로 이어질 수 있다.

안내서가 패스키와 모바일 앱 인증 등 최신 방식을 반영하면서, 서비스 운영팀은 오래된 비밀번호 중심 정책을 위험 기반 인증 체계와 함께 재검토할 근거를 얻었다.

공공서비스를 구축하거나 운영하는 사업자는 연례 취약점 점검·침투테스트와 후속 개선 절차가 계약 범위와 운영 일정에 반영됐는지 확인해야 한다.

이번 개정의 실무 핵심은 문서 보유가 아니라 개인정보가 이동하는 API, 인증 흐름, 비밀정보 저장 위치를 실제 자산 목록과 연결하는 데 있다.

패스키 도입은 로그인 화면 변경만으로 끝나지 않는다. 계정 복구, 기기 변경, 보조 인증수단까지 포함한 전체 이용자 여정을 함께 설계해야 한다.

업데이트 지연을 단순 예외 승인으로 처리하지 말고 영향 범위, 임시 통제, 책임자와 해소 기한을 기록하는 운영 절차로 전환해야 한다.