A.8.11
데이터 마스킹
기술적 통제확인사항 6증적 6사례 6
통제 목적
개인정보 등 민감한 데이터가 접근권한, 업무 필요성, 법적 요구사항에 맞게 노출되도록 마스킹, 가명처리, 익명처리 등의 기법을 적용하여 불필요한 노출을 제한하기 위한 통제입니다. 데이터가 화면에 표시되거나 개발/시험 환경에서 사용되거나 외부와 공유/분석될 때 원본을 그대로 드러내지 않아 무단 열람 및 유출 위험을 낮추도록 요구합니다. 데이터의 유용성을 유지하면서도 재식별 가능성을 통제 가능한 수준으로 낮추도록 균형을 맞추는 것이 핵심입니다.
주요 확인사항
- 마스킹/가명처리/익명처리를 적용할 대상 데이터(주민등록번호, 카드번호, 연락처, 계좌 등)와 적용 기준이 정의되어 있는가?
- 접근권한 및 업무 필요성에 따라 표시 범위(전체/부분 노출, 마스킹 자릿수 등)를 차등 적용하고 있는가?
- 개발/시험/교육에는 목적에 맞는 가공/합성 데이터를 우선 사용하고, 실제 데이터가 필요한 예외는 적법한 근거, 승인과 보호조치로 통제하는가?
- 적용한 기법이 준식별자 조합 등에 의한 재식별 위험을 충분히 낮추도록 설계/검증되었는가?
- 마스킹/가명처리/익명처리 적용 시 개인정보 보호법 등 적용 법령의 요구사항(가명처리의 경우 처리 목적 제한, 추가정보 분리 보관, 재식별 목적 처리 금지 등)의 준수 여부를 검토하고 그 결과를 기록하고 있는가?
- 마스킹 해제(원본 열람) 및 예외 처리에 대한 승인/로깅 통제가 마련되어 있는가?
이행 지침
- 데이터 분류 결과에 근거해 마스킹 대상 필드를 식별하고, 필드별 적용 기법과 노출 범위를 표준으로 문서화합니다.
- 정적 마스킹은 시험용 사본 등의 값을 변환하는 데, 동적 마스킹은 조회 시 표시 범위를 제한하는 데 사용합니다. 동적 마스킹은 원본 저장소의 권한 검증을 대신하지 않으므로 직접 조회나 우회 경로도 통제합니다.
- 부분 마스킹, 대체, 섞기, 토큰화, 가명화 또는 합성 데이터 등을 목적과 위험에 맞게 선택합니다. 가명/마스킹 데이터가 자동으로 익명 정보가 되는 것은 아니며 합성 데이터도 원본 정보를 노출하는지 평가합니다.
- 역할 기반 접근통제(RBAC)와 연동하여 권한/직무별로 노출 수준을 차등화하고, 화면뿐 아니라 API/다운로드/로그 등 모든 출력 경로에 일관되게 적용합니다.
- 준식별자 조합, 다른 자료와의 연결, 추론 가능성 등을 포함하여 재식별 위험을 평가합니다. k-익명성 같은 지표 하나만으로 익명성을 보장한다고 보지 않으며, 데이터와 이용 환경이 바뀌면 다시 검증합니다.
- 마스킹 규칙과 가명처리에 사용한 키/매핑테이블(추가정보)을 안전하게 분리 보관하고 접근/변경 이력을 통제합니다.
증적자료
- 데이터 마스킹 정책/표준 및 대상 필드 목록
- 마스킹 규칙 정의서, 적용 화면/쿼리 결과 캡처(권한별 노출 차등 포함)
- 개발/시험 환경 데이터 생성 절차 및 가명/합성데이터 산출 기록
- 재식별 위험 평가 보고서
- 마스킹 해제(원본 열람) 승인 및 예외 처리 로그
- DBMS/보안솔루션의 동적 마스킹 정책 등 설정값
부적합 사례
- 필요성과 적법한 근거, 승인 및 보호조치 없이 운영 데이터를 그대로 개발/시험 환경에 복제하여 사용하는 경우
- 화면에는 마스킹이 적용되나 API 응답, 다운로드 파일, 로그에는 평문이 그대로 노출되는 경우
- 마스킹 적용 기준이 없어 담당자 임의 판단으로 필드별 적용이 일관되지 않은 경우
- 준식별자 조합으로 재식별이 가능한데도 익명화가 완료된 것으로 간주한 경우
- 마스킹 해제(원본 열람) 권한이 광범위하게 부여되고 열람 이력이 기록되지 않은 경우
- 가명정보와 재식별용 매핑/키에 대한 물리적 또는 논리적 접근 분리가 없어 일반 사용자가 두 정보에 함께 접근할 수 있는 경우