A.8.33
시험 정보
기술적 통제확인사항 6증적 6사례 6
통제 목적
개발과 시험에 필요한 정보를 목적에 맞게 선정하고 보호하며 보존/삭제를 관리하는 통제입니다. 합성 또는 적절히 가공된 데이터를 우선 사용하고, 실제 운영 정보가 꼭 필요하면 적법한 근거, 최소 범위, 승인, 충분한 보호조치를 확인합니다. 마스킹이나 가명화를 적용했다고 해서 익명성이 저절로 보장되지는 않으므로 재식별과 원본 노출 위험을 평가해야 합니다. 정보 민감도에 맞는 보호와 신뢰할 수 있는 시험 결과를 함께 확보하는 것이 목적입니다.
주요 확인사항
- 시험 데이터의 선정, 사용, 보호, 파기에 관한 정책/절차가 수립되어 있으며, 개발/시험 조직에 공유되는가?
- 운영 데이터를 시험 목적으로 사용하는 것을 원칙적으로 제한하고, 불가피한 경우 책임자 승인 절차를 거치는가?
- 운영 데이터를 사용할 때 식별성을 필요한 수준으로 줄이고 재식별 위험을 검증하며, 변환이 불가능한 예외는 적법한 근거와 별도 승인/보호로 관리하는가?
- 시험 데이터의 실제 민감도에 맞는 접근통제와 저장/전송 보호를 적용하고, 운영 민감정보 사본은 운영에 준하는 수준으로 보호하는가?
- 운영 데이터를 시험 환경으로 복제/이관한 이력과 사용 현황이 기록되고 추적되는가?
- 시험 종료 후 불필요한 데이터는 안전하게 삭제하고, 보존이 필요한 기록은 근거, 기한과 접근 제한을 정하여 관리하는가?
이행 지침
- 시험 데이터의 선정/생성/사용/보호/파기에 대한 기준과 책임을 정책/절차로 문서화하고, 개발/시험 담당자에게 교육하고 공유합니다.
- 합성/가상 데이터를 우선 사용하되 생성 과정에서 원본 개인정보나 희귀한 기록이 재현되는지 확인합니다. 합성이라는 명칭만으로 안전한 공개 또는 제한 없는 사용을 허용하지 않습니다.
- 운영 데이터가 꼭 필요한 이유와 적법한 처리 근거를 확인하고 책임자 및 필요한 개인정보 담당자의 사전 승인을 받습니다. 변환을 적용할 수 없는 경우에는 별도 예외로 범위, 기간, 접근자와 보완통제를 제한하여 기록합니다.
- 마스킹, 가명화, 토큰화나 필드 제거로 불필요한 식별 정보를 줄이고 다른 자료와의 연결 가능성을 검증합니다. 가명정보는 추가 정보로 식별될 수 있으므로 키/매핑을 분리하고 필요한 개인정보 보호조치를 계속 적용합니다.
- 시험 데이터의 민감도와 위험에 맞춰 접근권한, 계정 관리, 필요한 암호화 및 로깅을 적용합니다. 민감한 운영 사본에는 운영에 준하는 보호를 적용하고, 시험 편의를 위해 보호 수준을 낮추지 않습니다.
- 운영 데이터를 시험 환경으로 복제/이관하는 행위는 승인/일시/대상/처리자/처리방식을 기록하여 추적 가능하도록 관리합니다.
- 시험 종료 후 불필요한 운영 사본과 잔여 데이터를 A.8.10에 따라 삭제하고 결과를 기록합니다. 법적 보존 또는 정당한 검증 기록이 필요하면 최소 범위, 보존 기한과 사용 제한을 정하며 백업의 만료/복구 절차도 함께 관리합니다.
증적자료
- 시험 데이터 관리 정책/절차 및 시험 데이터 선정/사용 기준
- 운영 데이터의 시험 사용 승인 요청/승인 기록(책임자/보호책임자 승인)
- 마스킹/가명화/변환 내역과 재식별 위험 검증 기록(민감한 전후 샘플은 최소화하고 접근 제한)
- 시험 환경 접근권한 부여 목록 및 접근/사용 로그
- 운영 데이터 시험 환경 복제/이관 이력(일시/대상/처리자)
- 시험 완료 후 시험 데이터 삭제/파기 확인서 및 파기 이력
부적합 사례
- 운영 데이터베이스를 변환 없이 시험에 복제하면서 필요한 적법한 근거, 예외 승인과 보호조치를 갖추지 않은 경우
- 시험 데이터 사용에 대한 승인 절차 없이 담당자가 임의로 운영 데이터를 반출하여 사용하는 경우
- 시험 환경의 접근통제/암호화 수준이 운영 환경보다 현저히 낮아 개인정보가 노출 위험에 방치된 경우
- 마스킹/가명화 후 재식별이 가능한데도 익명정보로 간주하여 필요한 접근 제한 없이 사용하는 경우
- 시험 종료 후 필요 없어진 운영 사본이 정당한 보존 근거와 삭제 계획 없이 시험 서버/개발자 PC/공유저장소에 남은 경우
- 운영 데이터의 시험 사용/복제 이력이 기록되지 않아 어떤 데이터가 어디에 사용되었는지 추적할 수 없는 경우