# data[].attributes.attachment_link.title
보건소-개인정보-유출 (2)-압축됨

# data[].attributes.attachment_link.description
사용자 및 엔터티 행동 분석(UEBA)은 머신 러닝을 활용하여 사용자와 장치의 위험한 행동을 감지합니다. UEBA가 위험 평가를 지원하는 방법을 알아보세요.

# data[].attributes.attachment_link.readable_text
공개 키 인프라(PKI) 정의

공개 키 인프라(PKI)는 암호화 를 위한 공개 키를 생성하고 관리하는 데 사용되는 도구를 의미하며, 이는 인터넷에서 데이터 전송을 보호하는 일반적인 방법입니다. PKI는 현재 사용되는 모든 웹 브라우저에 내장되어 있으며, 공용 인터넷 트래픽을 보호하는 데 도움이 됩니다. 조직은 내부적으로 주고받는 통신을 보호하고 연결된 장치가 안전하게 연결될 수 있도록 하는 데 사용할 수 있습니다.

PKI와 관련된 가장 중요한 개념은 암호화 프로세스의 일부이며 네트워크와 통신하려고 시도하는 다른 사람 또는 장치를 인증하는 역할을 하는 암호화 키 입니다.

PKI가 중요한 이유는 무엇입니까?

PKI는 암호화 및 인증을 관리하고 가능하게 하여 신뢰할 수 있고 안전한 온라인 통신을 보장하기 때문에 매우 중요합니다. 기업에서 PKI는 연결된 장치를 통해 네트워크에 액세스하는 침입자와 잠재적으로 위험한 위협을 기업으로부터 멀리하는 것의 차이를 만들 수 있습니다.

PKI는 어떻게 작동합니까?

PKI는 인증서와 키의 두 가지 기술을 구현합니다. 키는 데이터를 암호화하는 데 사용되는 긴 숫자입니다. 메시지의 각 요소는 키 공식을 사용하여 암호화됩니다. 예를 들어, 모든 문자가 문자로 대체되는 메시지를 쓰려면 A는 B가 되고 C는 D가 됩니다. 누군가 이 키를 가지고 있다면, 무의식적 메시지처럼 보이는 것을 얻고 암호를 해독할 것입니다.

PKI를 사용하면 훨씬 더 복잡한 고급 수학 개념이 핵심이 됩니다. 위의 알파벳 예에는 하나의 키가 있으며, 수신자가 이를 가지고 있는 경우 메시지를 쉽게 해독할 수 있습니다. 반면 PKI에는 프라이빗 키와 퍼블릭 키 두 가지가 있습니다.

공개 키는 원하는 모든 사용자가 사용할 수 있으며 다른 사람이 보내는 메시지를 암호화하는 데 사용됩니다. 개인 키는 메시지를 받은 후 암호를 해독하는 데 사용합니다. 키는 복잡한 수학 방정식을 사용하여 연결됩니다. 개인 키와 공개 키가 연결되더라도 이 복잡한 공식을 통해 연결이 촉진됩니다. 따라서 공개 키의 데이터를 사용하여 개인 키를 확인하는 것은 매우 어렵습니다.

인증 기관(CA)에서 발급한 인증서는 통신하려는 사람 또는 장치가 실제로 누구인지 알려줍니다. 올바른 인증서가 장치와 연결되면 장치는 정품으로 간주됩니다. 인증서의 유효성은 실제 여부를 확인하는 시스템을 통해 인증할 수 있습니다.

대칭 암호화는 데이터를 암호화하는 데 사용되는 비교적 간단한 알고리즘을 의미합니다. 제2차 세계대전 중에 독일은 대칭 암호화를 사용하여 개인 메시지를 전송했습니다.

대칭 암호화는 다음과 같이 작동합니다.

1. 일반 텍스트로 메시지가 입력됩니다.

2. 그런 다음 이를 암호화하는 일련의 순열을 통해 실행됩니다.

순열화 프로세스에 들어가는 것이 항상 똑같이 나오는 것은 아니기 때문에 암호화를 깨는 것은 매우 어렵습니다. 예를 들어, 문자 A는 처음 입력할 때 "4T"와 같은 두 문자로 구성된 그룹으로 나올 수 있습니다. 그러나 두 번째로 입력하면 "Y8"로 나타날 수도 있습니다. 따라서 사용하는 방정식을 도출하기가 어렵습니다.

"대칭"이라는 단어는 메시지를 암호화하고 해독하는 데 동일한 키가 필요하다는 사실에 적용됩니다. 키를 알아내기가 어렵기는 하지만, 암호화와 복호화 모두에 솔루션을 전달하는 키는 하나뿐이라는 사실은 위험 요소를 추가합니다. 누군가 키를 공유하는 채널을 손상시키면 시스템이 끊어질 수 있습니다.

대칭 암호화의 위험은 비대칭 암호화로 해결합니다. 비대칭 암호화를 사용하면 메시지를 암호화하기 위해 공개 키와 개인 키의 두 가지 키가 생성됩니다. 이 메시지는 암호화되기 위해 복잡한 수학 순열을 통과해야 합니다. 그러나 개인 키는 이를 해독하고 공개 키는 이를 암호화합니다.

오늘날 공개 및 개인 키를 만드는 데 사용되는 수학적 속성은 타원형 곡선 암호화(ECC), Rivest-Shamir-Adleman(RSA) 및 Diffie-Hellman입니다. 각 알고리즘은 서로 다른 알고리즘을 사용하여 암호화 키를 만듭니다. 그러나, 각각은 공개 키와 개인 키의 관련성에 대해 전반적으로 동일한 원칙을 공유합니다.

예를 들어, RSA 2048 알고리즘은 각각 길이가 1024비트인 두 개의 무작위 프라임 번호를 생성합니다. 그런 다음 서로 곱합니다. 그 문제에 대한 답은 결국 공개 키가 됩니다. 사용되는 두 개의 무작위 프라임 번호는 개인 키입니다.

예를 들어, 두 자리만 포함하여 두 개의 주요 숫자가 작으면 프로그램이 어떤 것인지 알아내기가 비교적 쉽습니다. 그러나 각 숫자는 1024자리이기 때문에 방정식의 곱을 알고 있더라도 이를 알아내기가 매우 어렵습니다.

민감한 데이터 노출 또는 데이터 유출 은 사이버 공격의 가장 일반적인 형태 중 하나입니다. 신용 카드 정보, 의료 정보, 사회 보장 번호, 사용자 암호와 같은 민감한 데이터는 웹 애플리케이션이 이를 효과적으로 보호하지 못하면 노출될 수 있습니다. 이 정보에 액세스하여 훔칠 수 있는 공격자는 이 정보를 광범위한 공격의 일부로 사용하거나 제3자에게 판매할 수 있습니다.

민감한 데이터를 보호하는 것은 유럽연합의 일반 데이터 보호 규정(GDPR)과 같은 데이터 및 개인정보 보호 규정의 엄격한 규칙과 처벌을 고려할 때 점점 더 중요해지고 있습니다. 이를 위해 조직은 서버와 웹 브라우저 간에 저장된 데이터와 전송 중인 데이터를 보호할 수 있어야 합니다.

웹 사이트의 데이터는 웹 브라우저와 서버 간에 암호화된 링크를 설정하는 보안 소켓 계층(SSL) 인증서를 사용하여 보호할 수 있습니다. 또한 서버 또는 방화벽과 웹 브라우저 간에 전송되는 데이터의 무결성을 보호합니다. 또한 안전한 암호화 프로세스를 통해 데이터를 암호화하고, 강력한 해싱 기능으로 저장된 암호를 보호하며, 강력하고 업데이트된 알고리즘, 키 및 프로토콜이 마련되어 있는지 확인함으로써 민감한 데이터 노출을 방지할 수 있습니다.

PKI 인증서란 무엇입니까?

PKI 인증서는 업체가 PKI 키 교환에 참여할 수 있는 권한을 부여하는 문서를 의미합니다. 이는 소유자 고유의 신원을 보유한 여권과 유사합니다. 이 여권이 없으면 해당 업체는 PKI 암호화 데이터 교환에 참여할 수 없습니다.

인증서에는 공개 키가 포함되며 두 당사자 간에 공개 키를 공유하는 데 사용됩니다. 또한 두 법인이 신뢰한다는 출처의 공식 증명도 포함됩니다. 이는 디지털 상호 작용에 관여하는 법인의 신원을 확인합니다. 인증서를 발급하는 소스를 CA라고 합니다.

PKI 인증서에는 인증서 서명 요청을 받는 등록 기관(RA)도 포함됩니다. 서명 요청은 인증서가 사물, 사람 또는 애플리케이션에 제공될 때 인증서의 발급 및 갱신을 용이하게 합니다.

인증서는 인증서 데이터베이스 내에 저장됩니다. CA를 호스팅하는 서버에 있습니다. CA 정보는 통신에 참여하는 데 사용되는 로컬 장치 또는 컴퓨터에도 보관됩니다. CA에 대한 인증서의 저장소를 인증서 데이터베이스라고 하는 반면, 장치 또는 컴퓨터의 로컬 저장소를 인증서 저장소라고 합니다.

PKI 인증서의 또 다른 중요한 측면은 인증서 정책입니다. 이는 PKI 상호작용에 관여하는 각 법인을 식별하고 각 역할을 설명하는 것을 목표로 하는 문서를 의미합니다. 인증서 정책은 PKI 경계라고 하는 범위 내에 게시됩니다. X.509 인증서의 경우 PKI 경계 내의 특정 필드에 링크를 포함할 수 있으며 이 링크는 인증서 정책과 연결됩니다.

PKI 인증서의 일반적인 사용

1. 하이퍼텍스트 전송 프로토콜 보안(HTTPS): HTTPS에서 인증서는 사용자가 연결하려고 하는 각 웹 사이트를 식별하여 주고 받는 메시지가 가로채거나 변경되지 않도록 합니다. 누군가 무단 액세스 권한을 얻게 되면, 가짜 전신 송금을 보내거나 사람들의 신용카드 정보를 얻는 등의 사기 행위에 가담할 수 있습니다. HTTPS는 또한 해커가 정보를 해독하여 효과적으로 가로채고 두 엔터티 간에 전송되는 데이터를 변경하거나 훔치는 방법을 알아야 하기 때문에 다양한 MITM(man-in-the-middle) 공격을 방지하는 데 도움이 될 수 있습니다. 통신 당사자가 메시지를 암호화해야 할 때, 핵심 데이터는 안전하게 보호될 뿐만 아니라 해커가 직접 처리하고자 하는 암호와 기타 개인 정보도 안전하게 보호됩니다.

2. 보안 쉘(SSH): SSH는 컴퓨터와 사용자에게 인증을 제공하고 X.509 인증서를 사용합니다. 서로 다른 SSH 프로토콜은 서로 다른 인증서 형식을 사용할 수 있지만 모두 동일한 기본 기능을 수행합니다. 즉, 사용자와 컴퓨터가 자신이 주장하는 사람인지 확인하는 것입니다.

3. 이메일 서명 및 암호화: 인증서는 이메일 통신이 안전한지 확인해야 할 때도 사용됩니다. SSH와 마찬가지로, 이메일을 보내기 위한 PKI 인증서의 구현에는 여러 가지 옵션이 있지만, 발신 및 수신되는 이메일을 보호하는 동시에 발신자와 수신자가 자신이 주장하는 사람이 되도록 하는 등 동일한 필수 기능을 수행합니다.

PKI 인증서를 받는 방법

인증서를 만드는 프로세스는 논리적인 여러 단계를 따릅니다. 첫째, 공개 키를 계산하는 데 사용되는 개인 키가 생성됩니다. 그런 다음 CA는 검증을 위해 개인 키 소유자의 속성을 제시해야 합니다.

그런 다음 공개 키와 소유자의 속성이 인증서 서명 요청(CSR)이라고 하는 디지털 서명으로 인코딩됩니다. 그러면 키 소유자가 서명합니다. 소유자가 제공하는 서명은 개인 키의 올바른 소유자임을 증명하는 역할을 합니다.

마지막 단계는 CA입니다. CSR은 CA에 의해 검증되고 CA의 개인 키를 사용하여 자체 서명을 인증서에 추가합니다. 이 시점에서 인증서는 합법적인 것으로 간주되며 통신이 시작될 수 있습니다.

보안 이메일을 위해 PKI가 필요한 이유는 무엇입니까?

PKI는 이메일이 인터넷이나 조직의 내부 통신에서 트래픽을 보호하기 위한 귀중한 리소스인 것과 마찬가지로 이메일을 안전하게 보호하는 데 필요한 좋은 도구입니다. 암호화되지 않은 인터넷을 통해 이동하기 때문에 데이터를 가로채는 것은 비교적 쉽습니다. 따라서 이메일은 특히 보호해야 할 중요한 요소입니다.

종종 개인, 비즈니스 크리티컬 또는 민감한 정보가 이메일을 통해 전송됩니다. 이메일을 받는 사람이 의도한 수신자가 아닌 다른 사람일 경우 회사의 운영 또는 다른 사람의 개인 데이터를 가로챌 수 있습니다. 각 당사자가 인증서 프로세스를 사용하여 신원을 확인한 다음 적절한 키를 사용하여 정보를 수신할 수 있는 권한을 확인해야 할 경우 이메일 전송이 훨씬 더 안전합니다.

그렇지 않은 경우, 사람들은 이메일을 임의로 시작하고 가로챌 수 있습니다. 즉, 이메일이 장치에서 온 것처럼 가장하거나, 이메일 콘텐츠를 잡아 서 MITM 공격 의 형태로 변경할 수 있습니다.

PKI가 해결해야 할 일반적인 문제는 무엇입니까?

PKI는 다양한 문제를 해결합니다. PKI가 해결하는 주요 문제 중 하나는 해커가 MITM 공격을 활용하여 정보를 가로채거나 변경하거나 훔치려고 할 때입니다. 중간에 들어가려고 하는 "사람"은 메시지를 해독하는 데 필요한 개인 키를 가지고 있지 않습니다. 따라서 이를 가로채는 것이 최선입니다. 2048비트 암호화를 해독하려면 엄청난 컴퓨팅 성능이 필요합니다. 따라서 PKI는 이러한 유형의 디지털 공격 방지를 위한 강력한 솔루션입니다.

또한 PKI는 인증서 관리 문제를 해결합니다. 이를 위해 각 항목을 검사하여 유효한지 확인합니다. 또한 PKI에는 도난 또는 분실된 불법 인증서를 제거하는 방법이 포함되어 있습니다. 또한 인증서가 만료되거나 침해된 후에도 이를 취소할 수 있습니다.

조직 수준에서 PKI는 조직이 인증서 데이터를 검색하고 관리하는 시스템을 형성하도록 지원할 수 있습니다. 이런 방식으로 조직은 인증서를 가지고자 하는 애플리케이션과 기기뿐만 아니라 인증서의 출처도 자동화할 수 있습니다. 일반적으로, 특정 사용 사례에 관계없이 PKI는 정보의 디지털 전송에 의존하는 세상에서 보다 안전한 형태의 통신을 제공합니다.

매일 인터넷에 도입되는 기기의 수가 증가함에 따라 통신 보안을 확인하는 것이 어렵습니다. 특히 기기를 사용하여 다른 사람을 사칭하거나 통신을 가로챌 수 있기 때문입니다. PKI 시스템은 디지털 통신을 쉽게 악용할 수 없습니다.

예를 들어, 이메일 계정이 적절한 다단계 인증(MFA)으로 보호되는 경우, 이메일 계정이 똑같이 안전하다는 전제하에 PKI를 통해 전화번호와 같은 민감한 정보를 다른 사람에게 보낼 수 있습니다. 또한, 해커가 바이러스를 데이터 스트림에 주입하는 것에 대해 걱정하지 않고도 여러 사물 인터넷(IoT) 기기를 업데이트해야 하는 기업도 그렇게 할 수 있습니다.

PKI 실행 불량의 위험은 무엇입니까?

PKI가 제대로 실행되지 않으면 상당한 위험이 발생하고 통신이 이루어지지 않을 수 있습니다. 예를 들어, 일반적으로 네트워크 내에서 또는 연결된 장치와 함께 장애가 발생할 때 발생하는 디지털 중단으로 인해 메시지가 전달되지 않을 수 있습니다. 그러나 이 경우 악성 당사자가 데이터를 가로챌 가능성은 낮습니다.

안전하지 않은 디지털 ID는 더욱 심각한 문제를 일으킬 수 있습니다. 이는 만료된 인증서를 사용하여 자신이 아닌 사람으로 가장할 수 있기 때문입니다. 마찬가지로, 감사 실패 또는 손상된 CA는 데이터 유출을 초래할 수 있습니다. 이를 방지하려면 IT 팀이나 네트워킹 팀과 같은 PKI 인프라 관리를 특정 팀이 할당되지 않은 책임으로 두는 대신 담당하는 것이 중요합니다.

암호화를 추가하거나 암호화를 잘못하면 비용이 발생합니다. 암호화를 구현하려면 시간과 노력이 모두 필요합니다. 여기에는 암호화해야 할 내부 통신과 이를 사용하는 시스템 및 사용자에게 수반되는 사항을 파악하는 것이 포함됩니다. 예를 들어, 일부 조직에서는 네트워크에 연결된 IoT 장치에 대한 암호화 정책을 배포해야 합니다. 적절한 조직이 없으면 이런 종류의 노력은 많은 시간과 인적 자원을 소비할 수 있습니다. 암호화가 잘못되면 특히 침해에 대한 책임이 있는 경우 추가적인 문제가 발생할 수 있습니다.

# data[].attributes.attachment_link.title
공개 키 인프라(PKI)란 무엇입니까? 어떻게 작동합니까? | Fortinet

# data[].attributes.attachment_link.description
공개 키 인프라(PKI)는 암호화를 위한 공개 키를 생성하고 관리하는 데 사용되는 도구를 의미합니다. PKI가 무엇인지, 통신을 암호화하는 방법, PKI가 해결하는 문제를 알아보세요.

# data[].attributes.headline
4. 전국 확대 및 사후 점검

# data[].attributes.body
4. 전국 확대 및 사후 점검

- 단계적 확대 도입

• 시범 결과 기반 전국 보건소로 단계적 확산

• 지역 보건소 특성 고려한 맞춤 적용

- 모니터링 및 성능 개선

• 이상 징후 자동 감지 및 알림 시스템 운영

• 사용자 피드백 수렴 및 기능 개선 정례화

- 정기 점검 및 감사 체계 수립

• 연 1회 개인정보보호 실태 점검

• 자동화 시스템 로그 기반 감사 체계 마련

# data[].attributes.attachment_link.description
디자인 고민 끝! 템플릿으로 바로 해결하는 웹 디자인 플랫폼 ‘미리캔버스’

# data[].attributes.headline
1. 정책 및 추진기반 마련

# data[].attributes.body
1. 정책 및 추진기반 마련

- 목표 정의: 비정상 행위 조기 탐지 및 정보유출 차단을 통한 선제적 개인정보 보호체계 구축

- 관계 지침 연계: 개인정보보호법, 행정안전부 정보보안 지침, 국가사이버안보 전략 등과 정합성 확보

- 실행 주체 선정: 각 보건소 및 중앙 컨트롤타워 역할을 수행할 시·도 정보보안 책임관 지정

⸻

3. 시범 운영 및 정책 정착

- 시범 적용 대상 선정: 정보 접근이 많은 대형 보건소 및 광역지자체 우선 도입

- 기술 테스트 및 오류 대응 계획 수립

- 운영 성과 측정:

• 탐지된 이상행위 건수, 외부 전송 차단 건수, 인증 실패 시도 수 등 정량지표 수립

⸻

4. 교육 및 조직 정비

- 보건소 대상 실무자 교육

• UEBA/CASB 개념과 실사용 교육

• 인증 시스템 사용법 안내 및 오류 대응

- 내부 정보보호위원회 구성

• 이상행위 확인 시 조치 절차 및 경고 시스템 운영

⸻

5. 전국 확대 및 지속적 고도화

- 1단계: 광역시도 보건소 적용

- 2단계: 기초지자체 보건소 확대

- 3단계: 타 정부기관과 연계(질병청, 복지부)

- 고도화 방향

• 머신러닝 기반 이상행위 분석 정밀도 개선

• 보건소 간 위험정보 공유 체계 수립

⸻

이러한 실천계획은 중앙 정부(복지부 또는 질병관리청)가 총괄하며, 행안부, KISA, 한국지능정보사회진흥원(NIA) 등과 협력해 추진할 수 있습니다.

# data[].attributes.body
> ChatGPT4(2025.04.07.) "보건의 날을 기념하여 포스터 만들어줘" OpenAI 중 ChatGPT4를 이용하여 생성 또는 작성함. http:s//chat.openai.com/"

# data[].attributes.headline
개인정보보호 교육 참고

# data[].attributes.subject
개인정보보호 교육 참고

# data[].attributes.body
https://www.proofpoint.com/kr/threat-reference/security-awareness-training

# data[].attributes.headline
(각주/미주 추후 추가 예정)

# data[].attributes.body
(각주/미주 추후 추가 예정)

# data[].attributes.body
읽어보시고 피드백 주세요!

# data[].attributes.body
1. A시 보건소 – 코로나19 확진자 정보 유출 (2020년)

사례 요약:

코로나19 확진자 정보를 내부 문서로 정리해 공유하는 과정에서, 확진자의 이름, 주소, 직장 등 개인정보가 포함된 문서가 외부로 유출됨.

문제점:

보건소 내부 보고 문서에 과도한 개인정보 포함

비암호화된 엑셀 파일을 이메일로 전달

기술적 대응:

개인정보 자동 마스킹 기능 적용

민감 정보 포함 문서 자동 암호화 시스템 도입

관리적 대응:

공문·보고서 작성 시 개인정보 최소 수집 원칙 강화

문서 유통 시 보안 가이드라인 재정비 및 직원 교육

2. B도립의료원 – 퇴직자 계정 미회수로 인한 보안 위협 (2021년)

사례 요약:

퇴직한 의료진의 계정이 수개월 동안 비활성화되지 않아 시스템 접근이 가능한 상태로 방치됨. 실제 접속 흔적은 없었지만, 감사 과정에서 적발됨.

문제점:

인사 시스템과 정보보호 시스템 연동 미흡

퇴직 시 계정 정리 매뉴얼 미비

기술적 대응:

계정 자동 비활성화 시스템 구축 (HR 연동)

정기적인 계정 사용 이력 점검

관리적 대응:

퇴직자 보안정리 체크리스트 도입

인사팀과 IT팀 간 협업 프로세스 정비

3. C군 보건소 – 의료폐기물 사진 SNS 유출 (2019년)

사례 요약:

직원이 의료폐기물 보관 상태를 내부 보고용으로 촬영했는데, 이를 실수로 개인 SNS에 게시해 주민 개인정보 일부가 노출됨.

문제점:

사진에 환자의 이름이 적힌 약 봉투가 그대로 노출됨

보안의식 부족

기술적 대응:

내부 촬영 장비 접근 제한

이미지 자동 마스킹 프로그램 도입 검토

관리적 대응:

보건소 내 ‘업무용 사진 촬영 가이드라인’ 제정

SNS 사용에 대한 보안 교육 강화

https://chatgpt.com/share/6805eadb-81ac-8005-a4fb-0d7d306d0ecd

# data[].attributes.attachment_link.title
[최종]문제분석지__C반_D조(D게더)

# data[].attributes.attachment_link.description
조직 내의 복잡하고 일상적인 업무를 신뢰성 있고 일관성 있게 수행하자면 관련 활동들을 조정ㆍ통제하는 수단이 필요하다. 표준운영절차(Standard Operating Procedure: SOP)란 '조직이 과거 적응과정에서의 경험에 기초하여 유형화한 업무추진 절차' 또는 '업무수행의 기준이 되는 표준적인 규칙 또는 절차'를 의미한다. 표준운영절차는 조직이 장기적인 적응과정에서 학습한 결과이므로 조직구성원을 통제하고, 단기적 의사결정을 좌우하는 수단이 된다.

# data[].attributes.headline
📌 시범 운영 보건소 추천

# data[].attributes.body
📌 시범 운영 보건소 추천 (CDLP·수신자 검증 로직 도입 시)

1.서울특별시 성북구 보건소

근거:

대도시 지역으로, 보건소 이용객 수가 많아 단체 문자 발송·격리통지서 발송 등 대량 개인정보 처리 업무 비중이 높음.

과거 코로나19 확진자 개인정보 유출(모바일 메신저로 외부 전송) 사고가 발생한 경험이 있어, CDLP 같은 발송 전 검증 시스템이 절실히 필요한 곳.

특징: 기존 사고 경험이 있어 시범 도입의 긴박성과 현실성이 높음.

2.경기도 수원시 권선구 보건소

근거:

경기도 최대 규모 기초지자체인 수원의 권선구 지역은 인구가 많고, 민원·진료·접종 등 다양한 분야에서 개인정보 대량 처리 업무가 활발함.

IT 인프라가 비교적 잘 갖춰져 있어 새로운 자동화 기술을 비교적 수월하게 적용할 수 있음.

특징: 대규모 데이터 처리 환경에서 CDLP/검증 로직 효과를 실질적으로 검증할 수 있음.

3.부산광역시 해운대구 보건소

근거:

국내 대표적 관광지인 해운대 특성상, 거주민 + 관광객 대상 개인정보 수집·처리 빈도가 높아 다양한 데이터가 다뤄짐.

민감정보(외국인, 단기거주자 건강정보 등) 처리 경험이 많아, 수신자 검증 로직의 중요성이 부각되는 곳.

특징: 복잡한 대상자 관리에 CDLP·수신자 검증 로직 도입 효과를 실질적으로 검증할 수 있음.

4.전라북도 전주시 덕진구 보건소

근거:

중소도시 대표 보건소로, 중간 규모 보건기관 환경에서의 시스템 적용 가능성을 시험할 수 있음.

지역 특성상, 수기 업무 비중이 아직도 높은 편이라 자동화 기술 도입 전후의 변화 폭이 뚜렷할 것으로 기대됨.

특징: 대도시가 아닌 지역에서도 시스템 효과성을 입증할 수 있음.

5.강원도 강릉시 보건소

근거:

지방 대도시 수준의 보건소지만, 상대적으로 정보화 수준이 수도권보다 낮은 편이라 시스템 도입 시 현장 적용성을 현실적으로 테스트할 수 있음.

다양한 연령층 대상 업무(노인, 관광객, 청소년)로 개인정보 다양성이 높아 실질 검증 가능.

특징: 지방권 보건소의 도입 가능성과 필요성을 함께 입증할 수 있음.

# data[].attributes.attachment_caption
ChatGPT4(2025.04.07.) "보건의 날을 맞이하여 포스터 만들어줘" OpenAI 중 ChatGPT4를 이용하여 생성 또는 작성함. https://chat.openai.com/

# data[].attributes.attachment_caption
ChatGPT4(2025.04.07.) "보건의 날을 맞이하여 포스터 만들어줘" OpenAI 중 ChatGPT4를 이용하여 생성 또는 작성함.

# data[].attributes.body
> ChatGPT4(2025.04.07.) "보건의 날을 맞이하여 포스터 만들어줘" ChatGPT4를 이용하여 생성 또는 작성함. http:s//chat.openai.com/"

# data[].attributes.attachment_caption
> ChatGPT4(2025.04.07.) "보건의 날을 맞이하여 포스터 만들어줘" OpenAI 중 ChatGPT4를 이용하여 생성 또는 작성함. http:s//chat.openai.com/"

# data[].attributes.body
1980년에 경제협력개발기구(OECD)가 채택한 국제적인 개인정보 보호 원칙이에요. 디지털 시대에 국가 간 데이터 이동이 활발해지면서, 서로 다른 나라의 프라이버시 보호 수준을 맞추고 공통적인 기준을 만들기 위해 만들어졌죠. 이후 2013년에 한 번 개정됐습니다.

핵심 8가지 원칙은 다음과 같아요:

1. 수집 제한 원칙 (Collection Limitation Principle)

: 개인정보 수집은 적법하고 공정한 방법으로, 정보주체의 동의 하에 수집해야 함.

2. 데이터 정확성 원칙 (Data Quality Principle)

: 수집한 개인정보는 사용 목적에 맞게 정확하고, 최신 상태로 유지해야 함.

3. 목적 명확화 원칙 (Purpose Specification Principle)

: 개인정보 수집 시 목적을 명확히 하고, 이후 그 목적에 맞게만 활용해야 함.

4. 이용 제한 원칙 (Use Limitation Principle)

: 정보주체의 동의나 법적 근거 없이는 제3자 제공이나 목적 외 이용을 제한.

5. 안전 보호 원칙 (Security Safeguards Principle)

: 개인정보를 보호하기 위해 합리적인 보안 조치를 취해야 함.

6. 개인 참여 원칙 (Openness Principle)

: 정보주체가 자신의 개인정보에 접근하고 수정할 수 있는 권리를 가져야 함.

7. 개방성 원칙 (Openness Principle)

: 개인정보 보호 정책과 데이터 처리 방식 등을 투명하게 공개해야 함.

8. 책임 원칙 (Accountability Principle)

: 개인정보를 다루는 조직은 위 원칙들을 준수하고, 책임을 져야 함.

ChatGPT4(2025.04.14.) "OECD 프라이버시 가이드라인에 대해 알려줘" OpenAI 중 ChatGPT4를 이용하여 생성 또는 작성함.

https://chatgpt.com/share/67fca6fe-49e8-8003-92b9-8cd91808567a

# data[].attributes.body
OECD 프라이버시 가이드라인

(OECD Privacy Guidelines)

→ 1980년에 OECD(경제협력개발기구)가 제정한,

개인정보 보호의 8가지 원칙을 담은 국제적인 가이드라인이야!

왜 만들어졌어?

개인정보는 국경을 넘나들지만, 각국의 보호 기준은 달랐음

이걸 통일된 기준으로 보호하자는 취지

의료정보, 신용정보 등 민감한 정보 보호에 특히 중요

8원칙

1. 수집 제한 원칙

정보는 적절한 방법으로만, 필요한 최소한만 수집해야 함

2. 정보 정확성 원칙

개인정보는 정확하고, 최신 상태로 유지되어야 함

3. 목적 명시 원칙

정보를 수집할 때 그 목적을 명확히 알려야 함

4. 이용 제한 원칙

정해진 목적 외에는 정보 사용 금지 (동의 없는 활용 X)

5. 보안 보호 원칙

개인정보는 안전하게 보호해야 함 (유출 방지 등)

6. 공개 원칙

개인정보 보호 정책, 시스템을 투명하게 공개해야 함

7. 개인 참여 원칙

개인은 자신의 정보를 열람, 수정 요청할 수 있어야 함

8. 책임 원칙

정보를 다루는 사람/기관은 보호에 책임을 져야 함

ChatGPT4(2025.04.14.) "OECD 프라이버시 가이드라인에 대해 알려줘" OpenAI 중 ChatGPT4를 이용하여 생성 또는 작성함. https://chat.openai.com/

# data[].attributes.body
OECD(경제협력개발기구)는 1980년 ‘프라이버시 보호 및 개인정보의 국가 간 이전에 관한 가이드라인’을 제정하였으며, 이는 2013년에 기술 발전과 글로벌 환경 변화를 반영하여 개정되었습니다 .

OECD 프라이버시 보호 8원칙

1. 수집 제한의 원칙 (Collection Limitation Principle)
개인정보는 합법적이고 공정한 수단으로 수집되어야 하며, 가능한 경우 정보주체의 동의를 얻어야 합니다.

2. 정보 정확성의 원칙 (Data Quality Principle)
개인정보는 수집 목적에 부합하며, 정확하고 완전하며 최신 상태로 유지되어야 합니다.

3. 목적 명확화의 원칙 (Purpose Specification Principle)
개인정보 수집 목적은 수집 시점까지 명확히 해야 하며, 이후 사용은 그 목적과 일치하거나 양립 가능해야 합니다.

4. 이용 제한의 원칙 (Use Limitation Principle)
개인정보는 정보주체의 동의나 법률에 의한 경우를 제외하고는 수집 목적 외의 용도로 사용되어서는 안 됩니다.

5. 보안 보호의 원칙 (Security Safeguards Principle)
개인정보는 분실, 무단 접근, 파괴, 사용, 수정, 공개 등의 위험으로부터 합리적인 보안 조치를 통해 보호되어야 합니다.

6. 개방성의 원칙 (Openness Principle)
개인정보 보호 정책과 관행에 대한 일반적인 정보는 공개되어야 하며, 정보주체는 개인정보의 존재, 성격, 주요 이용 목적 등을 알 수 있어야 합니다.

7. 개인 참여의 원칙 (Individual Participation Principle)
정보주체는 자신의 개인정보에 접근하고, 오류가 있을 경우 이를 수정하거나 삭제할 권리를 가져야 합니다.

8. 책임의 원칙 (Accountability Principle)
개인정보를 관리하는 자는 위의 원칙들을 준수하고 이를 입증할 책임이 있습니다.

이러한 원칙들은 전 세계적으로 개인정보 보호의 기본 틀로 활용되며, 대한민국의 개인정보 보호법 제3조에도 반영되어 있습니다 .

OECD 프라이버시 가이드라인은 국제적인 데이터 이동과 디지털 환경에서의 개인정보 보호를 조화롭게 관리하기 위한 기준으로, 각국의 법률과 정책에 큰 영향을 미치고 있습니다 .

> ChatGPT4.5(2025.4.14.) "OECD 프라이버시 가이드라인 알려줘“ OpenAI 중 ChatGPT4.5를 이용하여 생성 또는 작성함.

# data[].attributes.headline
OECD 프라이버시 가이드라인 (8대 원

# data[].attributes.body
OECD 프라이버시 가이드라인 (8대 원칙 요약)

1. 수집 제한: 개인정보는 최소한으로, 정당한 방법으로 수집해야 함.

2. 데이터 정확성: 개인정보는 정확하고, 최신 상태로 유지해야 함.

3. 목적 명확화: 수집 목적을 명확히 하고, 그 목적 내에서만 사용해야 함.

4. 이용 제한: 동의 없이 목적 외 사용이나 제3자 제공은 제한해야 함.

5. 보안 보호: 개인정보는 적절한 보안 조치로 보호되어야 함.

6. 개방성: 개인정보 처리 정책과 관행은 공개되어야 함.

7. 개인 참여: 정보주체는 자신의 정보를 열람하고 수정할 수 있어야 함.

8. 책임: 개인정보 처리자는 원칙 준수를 책임져야 함.

# data[].attributes.body
[1] 고도화된 IT 기반 보안 주제

AI 기반 진료지원시스템 도입에 따른 환자정보 유출 방지 계획

상급병원 내 빅데이터 분석 및 연구 목적의 건강정보 비식별화 강화 방안

EMR 및 PACS 시스템 간 연동 시 정보보호 취약점 분석 및 대응책

모바일 EMR 사용 확대에 따른 보안 위협 대응 전략 수립

[2] 다수의 인력 및 부서 간 정보 공유 이슈

상급종합병원 다직종 협업 환경에서 환자정보 최소 공유 원칙 실현 방안

진료지원부서(검사실, 영상의학과 등)와의 데이터 흐름 보안 강화 방안

전공의, 수련의 등 임시 사용자들의 정보 접근 관리 시스템 개선

[3] 외부 연계 및 연구 중심 주제

협력 병의원 및 연구기관과의 환자정보 공유 시 보안 기준 수립

다기관 공동 연구 프로젝트에서 환자정보 보호 위한 가이드라인 제안

의료정보 마이데이터 연계에 따른 보안 리스크 평가 및 대응 전략

[4] 환자·보호자 관련 이슈 중심 주제

상급병원 내 환자 보호자의 정보 접근 범위 설정 및 확인 절차 개선

중증질환 환자의 대리 동의서 위조 방지를 위한 검증 시스템 제안

진료 후 설문조사·앱 연계에서 발생할 수 있는 개인 정보 노출 문제 해결안

[5] 사고 예방 및 대응 시스템 주제

상급병원 내 개인정보 유출 모의 대응 훈련 시나리오 및 대응 체계 수립

보안사고 발생 시 내부보고 시스템 개선 및 책임 부서 재정비

의료기관 내부 정보 유출자 추적 시스템 및 징계 프로토콜 설계

[6] 환자 중심 정보 보호 혁신

환자의 자기 정보 열람 및 활용 시 보안 인증 절차 강화 방안

환자용 모바일 앱/웹포털에서 정보 접근 시 멀티팩터 인증 도입 전략

국제 환자 대상 다국어 정보보호 동의 프로세스 설계

# data[].attributes.attachment_link.title
약정원 개인정보 유출사건, 재판 재개

# data[].attributes.attachment_link.description
[의학신문·일간보사=이종태 기자] 대한약사회 김대업 회장과 양덕숙 전 약정원장이 피고인으로 있는 약학정보원 개인정보 유출사건에 대한 공판에서, 복잡한 쟁점을 정리하기 위한 프리젠테이션이 진행됐다. 서울중앙지방법원 형사 제 22부는 약학정보원 개인정보 유출사건과 관련 22일 오전 검찰측을 시작으로 프레젠테이션을 진행했다.이날 프레젠테이션은 지난 달 진행된 재판에서 김대업, 양덕숙 전 약정원장 등 피고인들이 공소사실을 전면 부인함에 따라 쟁점을 정리하기 위해 마련됐다.프레젠테이션에서 검찰측은 우선 유출된 정보

# data[].attributes.body
OECD 프라이버시 보호 8원칙

1. 수집 제한 원칙 (Collection Limitation Principle)
개인정보는 적법하고 정당하며 정보주체의 동의 하에 수집되어야 하고, 수집 방법은 공정해야 해.

2. 자료 정확성 원칙 (Data Quality Principle)
개인정보는 수집 목적에 부합하도록 정확하고, 완전하며 최신 상태로 유지되어야 해.

3. 목적 명확화 원칙 (Purpose Specification Principle)
개인정보 수집 목적은 수집 시점이나 그 이후 빠른 시점에 명확히 정해져야 하고, 이후 이용도 그 목적 범위 내에서 이루어져야 해.

4. 이용 제한 원칙 (Use Limitation Principle)
정보주체의 동의가 있거나 법률에 의해 허용된 경우를 제외하고는, 수집된 개인정보는 명시된 목적 외로 사용되거나 제3자에게 제공되어선 안 돼.

5. 보안 보호 원칙 (Security Safeguards Principle)
개인정보는 분실, 무단 접근, 파기, 변경, 공개 등의 위험으로부터 적절한 보안조치를 통해 보호되어야 해.

6. 개인 참여 원칙 (Openness Principle)
개인정보 처리에 관한 정책과 관행은 공개되어야 하고, 정보주체는 자신의 데이터 존재 여부를 알 권리, 접근권, 정정 요청권 등을 가져야 해.

7. 개방성 원칙 (Openness Principle)
개인정보 처리에 대한 정책, 절차, 기술은 누구나 쉽게 접근할 수 있어야 해. (이 원칙은 6번과 유사하게 들리지만, 6번은 주로 개인의 권리에 집중되어 있고, 7번은 조직의 정책 공개에 중점을 둔 원칙이야.)

8. 책임 원칙 (Accountability Principle)
개인정보를 처리하는 주체는 위 원칙들을 준수할 책임이 있으며, 이를 입증할 수 있어야 해.

# data[].attributes.body
2018년부터 2025년까지 국내외 병원에서 발생한 환자 건강정보 관련 사건을 병원별로 정리하면 다음과 같습니다.

| 병원명 | 사건 개요 | 발생 시기 | 피해 규모 및 특이점 | 출처 |

| 세브란스병원 | 병원 직원이 제약사 직원에게 환자정보(이름, 주민번호, 처방내역 등)를 이메일로 송부해 유출됨 | 2018~2020년 | 약 5만7,912명 환자정보 유출, 제약사 직원과 공모, 개인정보위 과태료 부과(720만원) |[1][5][6] |

| 강동성심병원 | 제약사 영업직원이 스마트폰으로 PC 화면 촬영하여 환자 개인정보 유출 (이름, 성별, 나이, 처방정보 등) | 2018년 4~10월 | 해킹 아닌 내부자 행위, 7개월간 지속된 유출, 병원 홈페이지를 통한 늦은 공지 |[2] |

| 서울대병원 | 북한 해킹 조직 '김수키'가 병원 서버 침투, 약 83만 명 환자 및 직원 개인정보 유출 | 2021년 5~6월 | 대규모 비인가 접근, 진단명, 검사결과 등 민감정보 포함, 국가 주도 해킹 추정 |[3][7] |

| 충남대병원 | 9차례 사이버 침해 시도 중 5차례 성공, 진료정보 등 개인정보 유출 | 2020년 이후 | 반복적 해킹 침해사고 발생, 보안 취약점 노출 |[7] |

| 제주대병원, 충북대병원, 경북대치과병원 등 국립대병원 | 다수의 사이버 침해사고 발생 (해킹, 바이러스 등) | 2020년 이후 | 제주대 1건, 충북대 2건, 경북대치과병원 6건 등, 경북대치과병원은 6번 침해 시도 모두 성공 |[7] |

| 17개 대학병원 (가톨릭의대, 고려의대, 연세의대 등 포함) | 병원 직원 및 제약사 직원이 환자정보를 촬영·다운로드 후 이메일, USB 등으로 외부 유출 | 2018~2020년 | 총 18만5,271명 환자정보 유출, 개인정보위 과태료 부과 총 6,480만원, 일부 병원은 과태료가 매우 낮은 수준임 |[1][3][5][6] |

| 안나 자크 병원 (미국) | 랜섬웨어 공격으로 약 31만6천여 명 환자정보 유출 (이름, 진단, 보험번호, 사회보장번호 등 포함) | 2023년 12월 | 랜섬웨어 그룹 '머니 메시지'가 데이터 탈취 후 협박, 병원은 금전 요구 거부, 결국 데이터 인터넷 공개됨 |[8] |

---

### 주요 특징 및 이슈

- 내부자에 의한 유출: 국내 대학병원 17곳에서 병원 직원과 제약사 직원 간 공모, 이메일·USB 등으로 환자정보 대량 유출 사례가 다수 발생(세브란스병원 포함).

- 외부 해킹 및 사이버 공격: 서울대병원 등 국립대병원에서 대규모 해킹으로 수십만 명 개인정보 유출, 반복적 사이버 침해사고 발생.

- 사이버 보안 취약점: 의료법상 보안 조치 미흡, 병원 내 보안 인력 부족, USB 등 보조기기 통제 미흡, 시스템 접근 권한 관리 허술.

- 사건 공지 지연 및 관리 미흡: 강동성심병원은 2018년 유출 사실을 2024년에야 공식 공지하는 등 투명성 부족.

- 법적·행정적 대응 한계: 개인정보위가 과태료 부과했으나 보건복지부 등 관련 부처는 통보받지 못해 실질적 행정 조치 미흡.

- 국내외 차원에서 랜섬웨어 등 신종 공격 증가: 미국 병원에서 발생한 랜섬웨어 공격 사례처럼 병원 시스템은 사이버 범죄의 주요 표적.

> Perplexity(2025.04.21.) "병원에서 환자의 건강 정보 관련해서 일어나는 사건 2018~2025년도 기사, 논문 분석해서 병원별로 정리해줘." OpenAI 중 Perplexity pro를 이용하여 생성 또는 작성함.

# data[].attributes.attachment_link.title
[최종]문제분석지__C반_D조(D게더)

# data[].attributes.body
김도윤(2021.11.04) 남양주보건소, 백신 대상 명단 일괄 발송 '개인정보 유출' 논란_연합뉴스

https://www.yna.co.kr/view/AKR20211104084000060

# data[].attributes.attachment_link.title
남양주보건소, 백신 대상 명단 일괄 발송 ‘개인정보 유출’ 논란 | 연합뉴스

# data[].attributes.attachment_link.description
(남양주=연합뉴스) 김도윤 기자 = 경기도의 한 보건소가 요양시설의 신종 코로나바이러스 감염증(코로나19) 예방 백신 3차 접종에 앞서 주민등록…

# data[].attributes.body
신심범(2022.03.11) 격리통지서 엉뚱한데 보낸 보건소…1800명 개인정보 유출_국제신문

https://www.kookje.co.kr/news2011/asp/newsbody.asp?code=0300&key=20220311.99099002900

# data[].attributes.attachment_link.title
격리통지서 엉뚱한데 보낸 보건소…1800명 개인정보 유출

# data[].attributes.attachment_link.description
부산 사상구보건소가 코로나19 확진자 1800명에게 보내는 격리통지서를 당사자가 아니라 다른 확진자에게 보낸 것으로 밝혀졌다. 11일 국제신문 취재를 종합하…

# data[].attributes.attachment_link.title
건강검진 결과서로 만든 '군밤봉투'...유출 병원은 "처벌 불가" / YTN

# data[].attributes.body
[사례 1] 코로나19 확진자 정보 과잉 공개 – 사생활 침해 (2020년)

•발생 배경: 보건소는 코로나19 확진자 발생 시, 지역 주민의 감염 예방을 위해 확진자의 동선을 공개했음.

•문제 상황: 확진자의 거주 지역, 직장, 자주 가는 장소까지 상세히 공개함. 예를 들어, “30대 남성, ○○아파트 거주, ○○기업 근무, ○월 ○일 ○○식당 방문” 등의 정보가 공개됨.

이로 인해 지역 커뮤니티에서는 특정인의 신원이 쉽게 추정되고, 온라인상에서 해당 인물에 대한 루머와 비난이 확산됨.

•피해:확진자 및 가족이 정신적 스트레스, 혐오 발언, 명예훼손 등 2차 피해를 겪음.

•원인 분석:감염병예방법에 따라 동선 공개는 의무이나, 개인 식별이 가능한 수준까지 공개한 것은 과잉 대응이었음.

•대응 조치:질병관리청은 동선 공개 지침을 수정하여, 이름·주소·직장 등 식별 가능 정보는 삭제하거나 추상화하도록 조치.

⸻

[사례 2] 에이즈 감염인 명단 유출 – 내부 직원의 고의 유출 (2016년, 익산시 보건소)

•사건 개요: 보건소 내부 직원이 HIV 감염인 70여 명의 이름, 나이, 주소, 전화번호가 포함된 문서를 유출함. 해당 문서는 복지기관 담당자에게 전달되었고, 이후 외부로 확산됨.

•문제:HIV 감염인의 정보는 ‘민감정보 중에서도 가장 보호가 필요한 정보’로 분류됨. 유출로 인해 대상자들이 병원 방문이나 상담 자체를 꺼리게 되어 공중보건에도 악영향 발생.

•피해: 일부 감염인은 직장 해고, 가족 갈등, 우울증 등을 호소.

•대응 조치: 관련 직원은 형사 처벌 대상이 되었고, 보건소는 민감정보 처리 규정 및 교육을 강화함.

⸻

[사례 3] 건강검진 결과 이메일 유출 (2019년, ○○보건소)

•내용: 보건소 직원이 건강검진 결과를 다수의 대상자에게 이메일로 발송. 이 과정에서 수신자 이메일 주소를 ‘참조(CC)’에 넣는 실수를 범함. 이로 인해 모든 수신자가 다른 사람의 이메일 주소를 확인할 수 있게 됨.

•문제점: 이메일 주소 자체도 개인정보이며, 해당 메일에는 건강검진 결과 요약이 포함되어 있었음. 정보 보호 교육 부족과 발송 전 확인 절차 부재가 원인.

•후속 조치: 보건소는 BCC(숨은 참조) 사용 지침을 마련하고, 관련자 징계 및 재교육 실시.

⸻

[사례 4] 결핵환자 명단이 잘못된 팩스로 전송됨 (2021년, 경기 ○○보건소)

•사건 개요: 결핵 환자의 진단명, 이름, 생년월일, 주소가 포함된 문서가 잘못된 병원으로 팩스 전송됨.

•문제: 팩스 번호를 수기로 입력하면서 한 자리를 잘못 입력한 단순 실수였음. 개인정보 유출 사실을 환자에게도 알리지 않아 신뢰 문제 발생.

•원인 분석: 팩스 번호 확인 절차 없음, 전자문서 시스템 부족.

•대응 조치: 이후 보건소는 민감정보 전송 시 이중 확인 절차를 도입하고, 팩스 대신 보안 전자문서 시스템 전환을 추진함.

⸻

[사례 1] 코로나19 확진자 동선 과잉 공개 (2020년)

• 발생 지역: 전국 다수 보건소 (특정 보건소가 아닌 전국적 현상)

• 사례 출처: 언론 보도 및 질병관리청 지침 변경 배경

• 비고: 서울, 대구, 경기도 지역 등지에서 특히 동선 공개로 인한 개인 추정 사례 다수 발생

⸻

[사례 2] HIV 감염인 명단 유출 (2016년)

•보건소 명: 익산시 보건소 (전라북도)

•출처: 다수의 공식 보도자료와 뉴스 기사

•비고: 내부 직원이 감염인 명단을 외부에 유출하여 파장이 컸음

⸻

[사례 3] 건강검진 결과 이메일 유출 (2019년)

•보건소 명: 구체적인 보건소 비공개

•출처: 개인정보보호위원회 및 언론 요약 보도

•비고: 공공기관의 개인정보 처리 위반 사례로 통계 보고서에 포함됨

⸻

[사례 4] 결핵환자 정보 팩스 오발송 (2021년)

•보건소 명: 경기도 소재 보건소 (정확한 시·군 비공개)

•출처: 개인정보보호위 감사 자료 및 언론 보도

•비고: 감염병 정보 팩스 전송 실수는 여러 보건소에서 반복 발생 중

https://chatgpt.com/share/681bf82f-2088-8005-8f46-3669e4d7114b

https://news.kbs.co.kr/news/view.do?ncd=4527839

# data[].attributes.attachment_link.title
″스토커 피해 이사했는데 보건소 직원이 주소 알려줘” 경찰 내사 중 | 한국일보

# data[].attributes.attachment_link.description
청와대 국민청원 게시판에 인천의 한 보건소 직원이 스토킹 피해자의 집 주소를 가해자에게 유출했다는 내용의 글이 올라왔다. 경찰은 사건이 공식적으로 접수되지 않았지만 사실관계 파악을 위해 내사에 착수했다. 12일 청와대 국민청원 게시판에는 ‘인천 ○○보건소의 개인정보 유출’이라는 제목의 글이 올라왔다. 청원인 A씨는 “인천 OO보건소 직원으로 인해 집주소

# data[].attributes.body
https://wonkwang.dcollection.net/public_resource/pdf/000001990092_20250508084104.pdf

# data[].attributes.attachment_link.title
보건소가 빌려준 휴대전화에 수십 명 주민번호·연락처 노출 / KBS  2022.01.28.

# data[].attributes.body
https://zdnet.co.kr/view/?no=20241230090355

# data[].attributes.headline
문제분석지 작성 전 전반적인 자료조사

# data[].attributes.subject
문제분석지 작성 전 전반적인 자료조사

# data[].attributes.body
http://www.wikileaks-kr.org/news/articleView.html?idxno=119685#google_vignette

https://www.imaeil.com/page/view/2021070115054197801

# data[].attributes.body
(자료조사 참고용)

보건소에서 발생한 개인정보 유출 사건들은 대부분 업무 처리 방식의 부주의, 보안 시스템의 미비, 또는 개인 책임 의식 부족에서 비롯됩니다. 이러한 사건들은 다음과 같은 방법들을 통해 예방하거나 해결할 수 있습니다.

🔒 1. 기술적 조치 강화

이메일 오발송, 팩스 오발송

✅ DLP(Data Loss Prevention) 시스템 도입
✅ 첨부파일 자동 암호화 및 발송 전 확인 알림 시스템 구축

백신 명단 일괄 발송 중 유출

✅ 수신자 자동 검증 기능
✅ BCC 제한 설정 및 발송 시 내부 결재 절차 강화

휴대전화 반납 시 개인정보 미삭제

✅ 모바일 장비 MDM(Mobile Device Management) 시스템 도입
✅ 디지털 포맷 전 자동 삭제 프로그램 사용

👩‍🏫 2. 직원 교육 및 인식 개선

스토커에게 피해자 주소 제공

✅ 개인정보 취급자 정기 교육 의무화
✅ 정보 요청 시 신원 확인 및 기록 의무화
✅ 민감 요청은 반드시 관리자 결재

일반 업무 중 개인정보 오용

✅ 보건소 내 ‘민감정보 우선주의’ 캠페인
✅ 업무별 개인정보 최소 수집 및 활용 원칙 강조

🏛️ 3. 행정적·제도적 장치 마련

건강검진 결과 이메일 유출

✅ 외부 기관과 정보 연계 시 보안 협약 체결 필수
✅ 업무 처리 표준 프로토콜 제정 및 문서화

격리 안내 오발송

✅ 메시지 발송 시스템 로그 기록 및 사전 검토 절차 강화
✅ 수신 대상자 자동 필터링 도구 도입

🔁 4. 사후 조치 및 피해자 보호

유출 확인 시

✅ 즉시 개인정보보호위원회 신고
✅ 유출 경로 파악 및 재발 방지 계획 수립

피해자 보호

✅ 피해 사실 통보 및 피해 구제 절차 안내
✅ 무료 신용 모니터링 서비스 제공 (필요 시)조직 책임

✅ 내부 징계 및 제도 보완
✅ 대외 사과 및 신뢰 회복 방안 시행

✅ 요약

기술적 - DLP, MDM, 자동 암호화, 수신자 검증

교육 - 개인정보 교육 강화, 민감 요청 시 이중 확인

제도 - 업무 매뉴얼 표준화, 사전 검토 절차 도입

사후조치 - 유출 신고, 피해자 지원, 조직 차원의 개선 대책

# data[].attributes.headline
(해외 클리닉 이메일 유출 사건-2015

# data[].attributes.body
(해외 클리닉 이메일 유출 사건-2015

학습과제 및 실천계획 참고용)

2015년 9월, 런던 소호에 위치한 성 건강 클리닉인 56 Dean Street에서 발생한 개인정보 유출 사건은 민감한 건강 정보를 다루는 기관에서의 보안 실수의 심각성을 보여주는 대표적인 사례입니다.

📌 사건 개요

발생 시점: 2015년 9월 1일

피해 규모: 781명의 환자 이메일 주소 유출, 이 중 730명은 전체 이름이 포함되어 있었음

발생 원인: 클리닉에서 HIV 치료를 받는 환자들에게 발송한 'Option E' 뉴스레터를 보낼 때, 수신자 이메일 주소를 '숨은 참조(Bcc)'가 아닌 '참조(To)' 칸에 입력하여 모든 수신자에게 다른 수신자의 이메일 주소가 노출됨

🛠️ 대응 조치 및 후속 조치

즉각적인 대응:

오류 인지 후, 클리닉은 이메일 회수 기능을 사용하여 발송된 이메일을 회수하려 했으나, 이 과정에서 동일한 오류가 반복되어 문제를 악화시킴

이후, 클리닉은 사과 이메일을 세 차례에 걸쳐 발송하고, 피해자들을 위한 헬프라인을 개설함

법적 제재:

영국 정보위원회(ICO)는 이 사건을 "심각한 개인정보 보호 규정 위반"으로 판단하고, 클리닉을 운영하는 Chelsea and Westminster Hospital NHS Foundation Trust에 £180,000의 벌금을 부과함

재발 방지 조치:

기존 이메일 배포 목록 삭제

그룹 이메일 발송 기능 제한

뉴스레터를 웹사이트를 통해만 제공

그룹 이메일 발송 시 2시간 지연 기능 도입

# data[].attributes.body
✅ 기술적 보호 조치

> 접근통제 및 인증

사용자별 계정 부여 및 권한 최소화 (예: 진료기록은 의료인만 열람 가능).

2단계 인증 또는 OTP, 공인인증서 등 사용.

> 암호화

개인정보 및 민감정보는 저장 시 DB 암호화 또는 파일 단위 암호화.

전송 시 SSL/TLS 기반 통신 암호화 적용.

> 로그 및 모니터링

정보 조회, 수정, 삭제 등의 접속 기록 저장 (최소 1년 이상).

SIEM 도입을 통한 실시간 이상 행위 탐지.

✅ 관리적 보호 조치

> 내부 직원 보안 교육

정기적인 개인정보 보호 교육 및 보안 인식 제고.

> 보안 정책 및 지침 수립

개인정보 처리 및 열람에 관한 내부관리계획 수립.

퇴직자 계정 즉시 삭제 등 계정/권한 관리 절차 마련.

> 개인정보 영향평가 (PIA)

개인정보를 대규모로 처리하거나 신규 시스템 도입 시 영향평가 실시 (관련 법령 의무).

✅ 물리적 보호 조치

> 출입 통제

서버실, 문서보관실 등은 카드키, 지문 등으로 접근 통제.

출입 기록 보관 및 비인가자 출입 차단.

> CCTV 및 보안 장비

민감정보가 보관된 공간에 CCTV 설치.

화재 및 침수 방지 장비 설치 (서버실, 문서 보관소 등).

> 문서 보안

민감한 문서(종이 기록)는 잠금 가능한 캐비닛 보관.

폐기 시 완전 파쇄 또는 전자기록 삭제 도구 사용.

< 보안 강화 방안 >

> 네트워크 보안

IDS/IPS: 비인가 접근 차단 및 침입 탐지/방지.

NAC(Network Access Control): 인증된 장비만 네트워크 접근 허용.

> 로그 및 이상행위 분석 (SIEM, UEBA)

SIEM(Security Information and Event Management): 보안 로그를 수집/분석해 이상 행위 탐지.

UEBA(User and Entity Behavior Analytics): 사용자 행동 분석을 통해 내부자 위협 탐지.

> 암호화 및 키 관리

파일/디스크 암호화: 데이터 자체를 보호.

PKI 기반 인증: 강력한 사용자 및 기기 인증 체계.

> 클라우드 보안

CASB(Cloud Access Security Broker): 클라우드 애플리케이션 사용 감시 및 제어.

CSPM(Cloud Security Posture Management): 클라우드 설정 오류 탐지 및 수정.

# data[].attributes.headline
보건소에서의 PKI 사용의 예

# data[].attributes.subject
보건소에서의 PKI 사용의 예

# data[].attributes.attachment_link.description
CASB는 클라우드 리소스 및 응용 프로그램에 대한 액세스 정책을 실행하여 가시성, 데이터 제어 및 분석을 제공하는 보안 솔루션입니다.

# data[].attributes.attachment_link.description
UEBA는 행동 분석 및 머신 러닝을 사용하여 비정상적이고 잠재적으로 위험한 사용자 및 디바이스 행동을 식별하는 보안 소프트웨어입니다.

# data[].attributes.attachment_link.description
Security information and event management (SIEM) is a security solution that collects data and analyzes activity to support threat protection for organizations.

# data[].attributes.body
DLP(Data Loss Prevention)

데이터 유출을 사전에 차단하는 보안 시스템

CDLP(Contextual Data Loss Prevention)

상황을 분석해서 더 정밀하게 유출을 막는 보안 시스템

MDM(Mobile Device Management)

모바일 기기(스마트폰, 태블릿 등)의 보안을 관리하는 기술

VDI(Virtual Desktop Infrastructure)

가상 데스크톱 환경을 제공해 보안을 강화하는 기술

UEBA(User and Entity Behavior Analytics)

사용자와 기기의 행동을 분석해서 이상행동을 감지하는 시스템

CASB(Cloud Access Security Broker)

클라우드 서비스에 대한 접근을 제어하고 보안을 유지하는 기술

PKI(Public Key Infrastructure)

전자 서명·암호화 등에 사용되는 공개키 기반의 보안 체계

# data[].attributes.body
인영님 피드백 반영 수정

# data[].attributes.headline
개인정보 교육 대상 선정

# data[].attributes.subject
개인정보 교육 대상 선정

# data[].attributes.headline
물론입니다. "4. 교육 및 조직 정비"

# data[].attributes.body
물론입니다. "4. 교육 및 조직 정비" 항목은 새로운 보안 체계를 현장에 안정적으로 정착시키기 위한 핵심 단계입니다. 아래는 이를 보다 구체화한 내용입니다:

4. 교육 및 조직 정비: 상세 실행 방안

1) 교육 계획

① 대상자 분류 및 맞춤형 교육

대상교육 내용주기업무 담당자(보건소 실무자)

UEBA 기반 이상행위 탐지 원리

CASB를 통한 외부 전송 통제 사례

민감정보 전송 시 인증 절차 (PKI, 전자서명 등)
| 분기별 또는 시스템 변경 시 |
| 정보보안 관리자/책임자 |

로그 분석 및 이상행위 대응 프로토콜

경고 알림 발생 시 조치 절차

정책 설정 및 예외 관리 방안
| 반기별 또는 정책 개정 시 |
| 전 직원(사용자) |

단체발송 시 개인정보 보호 주의사항

수신자 검증 방법

본인 인증 방법 및 보안수칙
| 연 1회 정기 교육 + 신규자 필수 이수 |

② 교육 방식

온·오프라인 병행: 보건소 특성을 고려해 LMS 기반 온라인 과정 + 집합 워크숍

실습 중심 교육: 단순 이론보다 실제 시스템 사용 경험 강조

퀴즈 및 실천평가: 교육 후 10문항 이상 평가로 이해도 점검

인증서 발급: 이수증 발급 → 인사·성과 연계 고려

2) 조직 정비

① 정보보호 전담 조직 구성

보건소 단위: 정보보안담당자 1인 지정 (기존 전산 담당자 겸임 가능)

광역/시도: 지역별 ‘정보보안 관리자 협의체’ 구성 → 정책 현장 피드백 채널

② 이상행위 대응 매뉴얼 제정

UEBA 탐지 시나리오별 대응 가이드 작성

예: 업무시간 외 대량 출력 시 → 관리자 확인 후 일시 차단

예: 외부 메일 발송 시 민감 키워드 탐지 → CASB 경고 및 로그 저장

로그 분석 및 감사 프로세스 마련

주기적(예: 월간) 로그 검토 회의 → 문제 발생 시 후속 조치 기록

③ 운영 위원회 및 자문체계 마련

정보보호 운영위원회 구성 (복지부, 질병청, 지자체 포함)

자문단 운영: 외부 전문가(KISA, NIA 등)를 정기 자문단으로 활용

3) 직원 인식 제고 활동

‘정보보호 주간’ 운영: 캠페인, 포스터, 퀴즈 이벤트 등

실수 방지를 위한 현장 도구 보급

발송 전 확인 체크리스트

“주의: 민감정보 포함 여부 확인!” 팝업 삽입

이러한 계획은 단순 교육을 넘어 '정보보호 문화'를 정착시키는 데 목적이 있습니다.

# data[].attributes.attachment_link.title
온라인, 오프라인 다 하는 미래 교육 방식이 있다고?

# data[].attributes.attachment_link.description
코로나19 이후로 수업에도 많은 변화가 찾아왔죠! 그중에서 가장 큰 변화는 바로 온라인 수업이 아닐까 싶은데요. 앞으로 대면 수업과 비대면 수업을 병행하는 수업이 많아질 것이라는 예측 속에서 미래 교육 방식으로 떠오르고 있는 바로 이 방법! 이름은 들어봤지만, 정확히 어떤 방식인지 몰랐던 교육 가족 여러분들은 주목해주세요! 교육부 국민 서포터즈 ‘누리울림’이 국내외 사례와 함께 쉽게 설명해준다고 하니 영상으로 자세한 내용 만나 볼까요? #미래교육 #현장강의 #온라인강의 #블렌디드러닝 #원격수업 #비대면수업 #천안불당중학교 #잼보드 #패들렛 #줌 #경북선산초등학교 #파브르되어보기 #라이브톡 #이노베이션 #얼리칼리지 #고등학교 #스마트러닝 #건축 #교육방식 #교육부 #2021년 #국민서포터즈 블렌디드 러닝…

# data[].attributes.body
보안 시스템 및 4eyes 원칙 관련 출처 : KISA(한국인터넷진흥원). (2022). 의료기관 개인정보보호 가이드라인. https://www.kisa.or.kr

# data[].attributes.body
https://www.sen.go.kr/resources/www/data/infoprotect_3_01.pdf?utm_source=chatgpt.com

# data[].attributes.attachment_link.title
개인정보 노출예방 자가진단 체크리스트(공지사항 게시)

# data[].attributes.attachment_link.title
개인정보보호 이해도 자가진단 체크리스트 예시001001001

# data[].attributes.headline
미리캔버스의 AI도구 활용하여 만든 피피

# data[].attributes.body
미리캔버스의 AI도구 활용하여 만든 피피티 내용 참고

# data[].attributes.headline
미리캔버스의 AI 피피티 생성 활용(2)

# data[].attributes.body
미리캔버스의 AI 피피티 생성 활용(2)

# data[].attributes.body
매 수업 시간마다 피드백을 받고 수정해 나가는 과정이 쉽지만은 않았지만, 팀원 모두가 각자의 역할에 최선을 다하고 서로를 잘 보완해 준 덕분에 좋은 결과물을 만들 수 있었습니다. 함께 열심히 참여해 주셔서 감사했습니다!