개인정보 암호화 알고리즘 적정성 및 KMS 암호키 관리 쟁점

핵심 판단

고유식별정보·비밀번호·바이오정보 등 법정 암호화 대상이 저장·전송 구간에서 안전한 알고리즘으로 암호화되는지, 암호키의 생성·보관·접근·폐기(KMS)와 취급자 분리가 관리되는지가 핵심이다.

배경

암호화는 적용했으나 취약 알고리즘(예: MD5, DES 등) 사용, 키가 소스/설정파일에 평문 저장, 키 접근권한과 데이터 접근권한 미분리 등이 결함으로 발견된다.

주요 쟁점 및 심사 포인트

• 법정 암호화 대상(주민번호 등 고유식별정보·비밀번호·바이오정보) 적용 범위
• 안전한 알고리즘·키 길이 사용 및 취약 알고리즘 배제
• 암호키 생성·보관·접근통제·주기적 교체·폐기(KMS) 및 직무분리

관련 인증기준

ISMS-P 인증기준(2023) 기준. 항목명은 「금융권 ISMS-P 인증기준 점검항목 안내서」로 검증함.

• 2.7.1 암호정책 적용
• 2.7.2 암호키 관리
• 3.1.4 민감정보 및 고유식별정보의 처리 제한

관련 법령·가이드

조문 번호·명칭은 개정으로 달라질 수 있어, 실제 심사·인용 시 국가법령정보센터(law.go.kr) 최신본 재확인을 권장한다.

• 「개인정보의 안전성 확보조치 기준」 제7조(개인정보의 암호화)
  • 고유식별정보·비밀번호·바이오정보 등 저장·전송 시 암호화 및 안전한 암호 알고리즘 사용 의무.
• 「개인정보 보호법」 제24조의2(주민등록번호 처리의 제한)
  • 주민등록번호는 암호화 등 안전조치 의무.
• 「전자금융감독규정」 제13조(전산자료 보호대책)
  • 금융 전산자료의 암호화 등 보호대책 → 금융권 적용 근거.

참고 가이드

• 「개인정보의 안전성 확보조치 기준 안내서」 암호화 부분
• KISA 암호 알고리즘 및 키 길이 이용 안내서(최신본 확인 권장)

심사 시 확인사항 (증적)

• 암호화 적용현황표(대상·구간·알고리즘·키길이)
• 키 보관 위치·접근권한·교체/폐기 이력(KMS 로그)
• 소스·설정파일 내 키 평문 저장 여부 점검 결과

주요 결함 사례

고유식별정보는 암호화했으나 암호키가 애플리케이션 설정파일에 평문 저장되고, 키 접근권한과 DB 접근권한이 동일 담당자에게 부여됨.

보완 대책

1. KMS/HSM 기반 키 분리보관·접근통제·주기 교체 체계 구축
2. 취약 알고리즘 폐기 및 저장·전송 구간 암호화 적용범위 재점검

연관 쟁점

• [ISSUE-033] 생체인식정보 보관·처리 및 FIDO 기반 인증 쟁점
• [ISSUE-034] 클라우드 IAM 과도 권한 부여 및 Secret 노출 쟁점

---

본 문서는 ISMS-P 인증심사 실무 참고용이며, 법적 자문이 필요한 사안은 법률 전문가 확인이 필요합니다. (v2 · 2026-08)