접속기록은 쌓는 것보다
점검하는 쪽이 어렵습니다
개인정보 보호법 제29조는 개인정보처리자에게 안전성 확보에 필요한 조치를 하도록 하고, 세부 기준은 개인정보보호위원회 고시 「개인정보의 안전성 확보조치 기준」에 있습니다.
이 가운데 접근통제와 접속기록 점검은 모니터링과 로그 분석이 직접 도움이 되는 조항입니다.
무엇을 요구하나
2026년 7월 1일 시행된 개인정보보호위원회고시 제2026-9호 기준입니다.
고시 제3조는 보유 수, 유형, 정보주체에 미치는 영향을 고려해 스스로의 환경에 맞는 조치를 적용하라고 합니다.
| 조항 | 요지 |
|---|---|
| 제4조 내부 관리계획 | 접근 권한, 접근통제, 암호화, 접속기록 보관·점검, 취약점 점검, 유출사고 대응 계획 등을 담은 내부 관리계획 수립·시행. 개인정보 보호책임자는 이행 실태를 연 1회 이상 점검. 1만명 미만 정보주체를 처리하는 소상공인·개인·단체는 생략 가능 |
| 제5조 접근 권한의 관리 | 업무에 필요한 최소 범위로 차등 부여, 인사 변동 시 지체 없이 변경·말소, 부여·변경·말소 내역은 최소 3년 보관, 취급자별 계정 발급과 공유 금지, 일정 횟수 이상 인증 실패 시 접근 제한 |
| 제6조 접근통제 | IP 주소 등으로 접속 권한 제한, 접속한 IP 주소 등을 분석해 유출 시도 탐지·대응, 외부에서 접속하는 취급자에게 안전한 인증수단 적용, 일정 시간 미사용 시 자동 접속 차단 |
| 제6조의2 인터넷망 차단 | 전년도 말 기준 직전 3개월간 저장·관리 이용자 수가 일일평균 100만명 이상이면, 접근 권한을 설정하거나 개인정보를 다운로드·파기할 수 있는 취급자의 컴퓨터 등에 인터넷망 차단 조치 |
| 제7조 암호화 | 비밀번호는 일방향 암호화, 주민등록번호·여권번호·운전면허번호·외국인등록번호·신용카드번호·계좌번호·생체인식정보 등은 안전한 알고리즘으로 암호화 저장, 인터넷 구간 송수신 암호화 |
| 제8조 접속기록 보관 및 점검 | 접속기록 1년 이상 보관. 5만명 이상 정보주체를 처리하거나 고유식별정보·민감정보를 처리하는 시스템, 기간통신사업자는 2년 이상. 접속기록과 다운로드 상황을 확인·점검하는 주기, 방법, 사후조치 절차를 내부 관리계획으로 정해 이행. 위·변조와 도난, 분실 방지 |
| 제9조 악성프로그램 등 방지 | 보안 프로그램 설치·운영, 자동 업데이트 또는 일 1회 이상 업데이트, 보안 업데이트 공지 시 즉시 적용 |
고시 제2조에서 접속기록은 식별자, 접속일시, 접속지 정보, 처리한 정보주체 정보, 수행업무를 전자적으로 기록한 것입니다. 로그인 기록만 남기고 누구의 정보를 조회했는지가 빠져 있으면 요건을 채우지 못합니다.
요구 사항과 Genox 기능의 관계
Genox는 접속기록을 직접 만들지 않습니다.
개인정보처리시스템이나 DB 접근제어 솔루션이 남긴 기록을 받아, 평소와 다른 조회와 다운로드를 찾아내는 쪽을 맡습니다.
| 요구 사항 | 관련 Genox 기능 / 서비스 | 고객이 직접 해야 하는 일 |
|---|---|---|
| 제6조 제1항 제2호 접속 IP 분석과 유출 시도 탐지 | Behavioral Analyzer가 계정별 접속 시간대, 접속지, 다운로드 양을 기준선과 비교. Threat Correlator가 VPN, 프록시, 조회 기록을 한 사건으로 연결 | IP 기반 접속 제한 정책 설정, 탐지 후 조치 절차 운영 |
| 제8조 제2항 접속기록·다운로드 점검 | 대량 조회와 반출 의심 건을 근거와 함께 표시해 점검 대상을 좁힘. AI 보안관제 · MDR로 점검 업무를 맡길 수 있음 | 점검 주기·방법·사후조치 절차를 내부 관리계획에 정하고, 소명 요청과 징계 등 사후조치 결정 |
| 제8조 제1항 · 제3항 보관 기간과 위·변조 방지 | Genox가 받은 로그와 판정 기록의 보존 기간을 고객이 설정, Genox 감사 로그는 서명해 보관 | 원본 접속기록을 1년 또는 2년 이상 안전하게 보관. 원본 보관은 Genox가 대신하지 않음 |
| 제5조 접근 권한 관리 | 계정별 기준선에서 벗어난 접근과 권한 사용 표시 | 권한 부여·변경·말소 절차 운영과 내역 3년 보관 |
| 제4조 제1항 제10호 취약점 점검 | Vulnerability Scanner, 모의해킹 · 진단 | 점검 주기 결정, 발견 항목 조치 |
| 제9조 악성프로그램 방지 | Behavioral Analyzer 샌드박스로 의심 파일 분석. 백신을 대체하지는 않음 | 보안 프로그램 설치와 업데이트 운영 |
| 제7조 암호화 | 관련 기능 없음. 저장소나 코드에 평문으로 남은 키와 비밀번호는 Vulnerability Scanner가 일부 찾아낼 수 있음 | 암호화 대상 식별, 암호화 적용과 키 관리 절차 수립 |
공공시스템 운영기관이라면
개인정보보호위원회가 지정한 공공시스템을 운영하는 기관에는 고시 제3장의 조치가 더해집니다.
- 제17조: 공공시스템 접속기록 등을 자동화된 방식으로 분석해 불법 유출과 오·남용 시도를 탐지하고 그 사유를 소명하도록 하는 등 필요한 조치
- 제17조: 공공시스템 이용기관이 자기 소속 취급자의 접속기록을 직접 점검할 수 있는 기능 제공
- 제18조: 공공시스템별 연 1회 이상 취약점 점검과, 외부 전문기관 또는 외부 전문가의 침투테스트 연 1회 이상. 제18조는 2027년 1월 1일부터 시행
자동화 분석은 Behavioral Analyzer와 Threat Correlator로, 침투테스트는 모의해킹 · 진단 서비스로 준비하실 수 있습니다. 다만 탐지 기준과 소명 절차는 기관이 정해야 합니다.
자주 묻는 질문
Genox를 쓰면 접속기록 점검 의무를 다한 건가요?
아닙니다. 고시는 점검 주기와 방법, 사후조치 절차를 내부 관리계획으로 정해 이행하라고 합니다. Genox는 수많은 접속기록 가운데 먼저 봐야 할 건을 골라 주는 도구이고, 점검을 했다는 판단과 사후조치는 담당자가 직접 해야 합니다.
직원 감시라는 문제는 없나요?
기준선에는 정책에서 허용한 메타데이터(접속 시각, 전송량, 접근 대상)만 씁니다. 그래도 직원 모니터링은 노사 협의나 사내 고지가 필요할 수 있으니, 도입 전에 인사·법무 부서와 범위를 먼저 정하시길 권합니다.
MDR을 맡기면 Genox가 개인정보를 보게 되나요?
관제 대상 로그에 개인정보가 들어 있으면 Genox 분석가가 볼 수 있습니다. 이 경우 개인정보 처리 위탁에 해당할 수 있으므로 계약 단계에서 위탁 범위와 관리·감독 방법을 정해야 합니다. 온프레미스 설치라면 분석 데이터는 고객 망 밖으로 나가지 않고, Genox 직원 접근은 건별 승인을 거칩니다.
이용자 수가 적은 회사도 Genox가 필요할까요?
꼭 그렇지는 않습니다. 처리하는 정보주체가 적고 시스템이 단순하면 DB 접근제어 솔루션의 기본 리포트만으로 점검할 수 있습니다. 보안 담당자가 없다면 Genox Guard나 무료 자가진단부터 보셔도 됩니다.
참고 자료
- 개인정보의 안전성 확보조치 기준, 국가법령정보센터
- 개인정보 보호법, 국가법령정보센터
- 개인정보보호위원회
지금 접속기록이 어디에 어떻게 남는지부터 보시죠
개인정보처리시스템 목록과 접속기록을 남기는 방식을 알려 주시면 점검 대상을 줄이는 방법과 빠진 항목을 정리해 드립니다.