'암호화·토큰화·해시함수'가 개인정보서 '나'를 지운다

Question

[서울경제] 국회가 이른바 ‘데이터3법’ 입법을 통해 가명화된 개인정보를 통계·연구 및 금융 등의 목적으로 이용규제를 풀면서 가명정보의 기술안전성에 대한 궁금증이 부각되고 있다. ‘가명화’는 데이터를 통해 제 3자가 특정 개인을 누구인지 알 수 없도록 하는 비식별화 방식의 한 종류다. 현재 가명화 기술은 현존하는 기술로는 뚫기가 매우 까다로워 안전성이 높다고 전문가들은 분석하고 있다.가명정보의 원본이 되는 개인정보를 어떻게 가공, 저장, 관리하느냐에 따라 가명화 기술의 보안성이 좌우되므로 이에 대한 상시적인 모니터링과 관리...

전체 기사 보기

해당 뉴스 기사는 기차는달린다(864222) 님의 요청으로 수집 되었습니다.

데이터3법 중 개정 개인정보보호법은 가명처리의 정의에 대해 개인정보의 일부를 삭제하거나 일부 또는 전부를 대체함으로써 추가 데이터를 사용하지 않는 이상 특정 개인을 알아 볼 수 없도록 하는 것으로 규정하고 있다. 다만 구체적인 가명처리 방식은 규정되지 않아 후속조치가 필요하다고 한국과학기술단체총연합회는 제언하고 있다. 이에 대해 행정안전부 관계자는 “국민들이 헛갈리지 않도록 가명처리 등에 대해 구체적인 사례 등을 담아서 해설서나 안내서를 내려고 한다”고 설명했다.

일반적으로 가명화 기법은 비밀키 암호화, 토큰화(Tokenization), 해시(Hash) 함수의 3가지 방식으로 분류해볼 수 있다. 이중 가장 간단한 방식은 비밀키 암호화 기법이다. 개인정보를 암호화 형태로 가공해 해당 암호키를 가진 사람이 아니면 해당 데이터의 주체가 되는 개인이 누구인지 모르도록 하는 방식이다. 그 간편성 때문에 보편화된 방식이지만 암호키를 가진 사람이 악용할 경우 개인을 식별할 수 있고, 암호 자체를 해커 등이 복호화(암호를 푸는 것)할 가능성을 배제할 순 없다. 이에 대비해 데이터3법은 형사처벌과 더불어 매출의 3%를 과징금을 매기는 강력한 제재를 담았다.

토큰화 방식은 특히 금융권에서 애용됐다. 신용카드나 체크카드 등의 아이디(ID·서비스가입자 신원) 정보를 해커 등 데이터베이스 공격자가 활용할 수 없는 값(토큰)으로 대체함으로써 가입자 개인의 식별을 불가능하게 하는 기술이다. 즉 개인정보의 원본 자료를 제 3자가 풀어볼 수 없도록 난수화하는 방식 등을 의미한다. 은행 및 신용카드회사 등 전통적인 금융사는 물론이고 삼성페이, 안드로이드페이, 애플페이와 같이 스마트폰을 활용한 새 모바일결제서비스에도 토큰화 기술이 활용된 것으로 알려져 있다. 국내의 한 대형금융사 정보보안 담당자는 “토큰화는 답(개인정보)을 풀 수 있는 방정식에 난수를 적용해 아무리 풀어도 답(개인정보)이 안 나오는 방정식을 만드는 것과 같다”며 “우연하게 라도 해당 난수가 답으로 연결될 수 없도록 작업해야 하기 때문에 다소 작업능률은 떨어지지만 그만큼 안전하다고 볼 수 있다”고 설명했다.

토큰이 어떻게 활용되는 지는 평소 신용카드 결제 과정을 보면 이해하기 쉽다. 신용카드 회원 A씨가 상점에서 물건을 산 뒤 카드로 결제하면 해당 상점의 카드결제 단말기가 해당 카드의 개인정보(신용카드번호)를 토큰서버로 전송한다. 토큰서버는 해당 개인정보를 저장하는 동시에 이를 난수화한 토큰 데이터를 생성해 상점 단말기로 전송한다. 상점 단말기는 이렇게 받은 토큰을 다시 응용 및 거래서버로 보내 결제를 처리한다. 이 과정에서 만약 해당 토큰의 원본 개인정보인 신용카드번호가 필요하게 되면 거래서버는 해당 토큰을 토큰 저장소로 보낸다. 토큰 서버는 이렇게 받은 토큰을 원래 저장됐던 개인정보 데이터와 대조해 해당 거래의 원본이 되는 신용카드 번호를 조회해 준다.

recoloergosum · Accepted Answer

.

인서울만하자 · Answer

ㅋㅋ 해쉬함수 여기서보네

'암호화·토큰화·해시함수'가 개인정보서 '나'를 지운다

오르비 캐스트