Cyber Security Academy · 강의

침해 통지와 DPIA

프라이버시 위험에 대응하고 이를 평가합니다.

침해 통지와 DPIA은(는) CoddyKit의 무료 Cyber Security Academy 강의입니다. 이것은 4개 중 4번째 강의입니다. 아래에서 전체 강의를 무료로 읽을 수 있으며, 내장 코드 에디터와 24/7 AI 튜터와 함께 브라우저에서 직접 실습할 수 있습니다. 이 강의는 Cyber Security Academy 학습 경로의 일부이며, 진행 상황이 웹과 CoddyKit 앱에 동기화됩니다. Cyber Security Academy 강의에는 총 4개의 강의가 포함되어 있습니다.

침해로 간주되는 경우

개인 데이터 침해란 개인 데이터의 우발적 또는 불법적인 파괴, 손실, 변경, 공개 또는 무단 접근으로 이어지는 보안 사고입니다.

해킹보다 범위가 넓습니다. 분실한 노트북, 잘못 입력한 이메일 주소로 보낸 이메일, 개인 데이터의 가용성을 잃게 만드는 암호화 랜섬웨어, 노출된 S3 버킷은 모두 여기에 해당합니다.

CIA 관점

침해는 세 가지 보안 기둥과 연결됩니다:

기밀성 침해: 무단 공개 또는 접근
무결성 침해: 무단 변경
가용성 침해: 손실 또는 파괴(예: 랜섬웨어)

가용성 손실도 신고 대상 침해라는 점을 인식하지 못하는 것이 흔한 사각지대입니다.

72시간 규칙

GDPR에 따라 개인정보처리자는 신고 대상 침해를 인지한 경우, 가능한 때에는 부당한 지체 없이 72시간 이내에 감독 기관에 통지해야 합니다.

KVKK는 KVKK 위원회에 가능한 한 빨리 통지하도록 요구합니다(위원회가 짧은 기한을 정해 두었습니다). 기한 계산은 인지 시점부터 시작되므로, 탐지와 초기 평가의 속도가 중요합니다.

통지가 필요한 경우

모든 침해를 규제 기관에 보고해야 하는 것은 아닙니다. GDPR은 이를 개인에 대한 위험과 연계합니다:

침해가 권리와 자유에 위험을 초래할 가능성이 없다면 감독 기관에 통지하십시오
침해가 높은 위험을 초래할 가능성이 있으면 데이터 주체에게 통지하십시오

노출된 데이터를 강력하게 암호화하면 위험이 낮아져 개인에게 통지할 의무가 사라질 수 있습니다.

통지에 포함되는 내용

규제 기관에 보내는 침해 통지에는 다음 내용을 설명해야 합니다:

침해의 성격과 영향을 받은 사람 및 기록의 범주와 대략적인 수
예상되는 결과
침해를 해결하고 피해를 완화하기 위해 취했거나 제안한 조치
연락 창구(DPO 또는 이에 상응하는 담당자)

아직 전체 내용을 파악하지 못했더라도 기한을 놓치지 말고 단계적으로 제공하십시오.

Breach Notification (skeleton)
------------------------------
Detected:      2024-06-04 08:10 UTC
Nature:        Confidentiality - exposed backup bucket
Data:          Names, emails (approx. 12,000 records)
Likely impact: Phishing, account targeting
Mitigation:    Bucket closed, keys rotated, users notified
Contact:       dpo@example.com

내부 대응 절차

효과적인 침해 대응 절차는 사전에 연습해 두어야 합니다:

탐지하고 확산을 막기
개인에 대한 범위와 위험을 평가하기
규제 기관에 통지하고, 위험이 높다면 데이터 주체에게 통지하기
근본 원인을 시정하기
침해 등록부에 모든 내용을 기록하기

통지 대상이 아닌 침해도 GDPR의 책무성 원칙에 따라 내부에 기록해야 합니다.

데이터 주체에게 통지하기

개인에게 알려야 할 때는 명확하고 쉬운 언어로 소통해야 합니다. 무슨 일이 있었는지, 어떤 데이터가 영향을 받았는지, 예상되는 결과, 현재 취하고 있는 조치, 당사자가 해야 할 일(예: 비밀번호 재설정, 피싱 주의)을 설명해야 합니다.

사고를 축소해서 표현하지 마십시오. 투명하고 신속하게 통지하면 신뢰를 유지할 수 있지만, 은폐하면 규제 및 평판상의 피해가 커집니다.

DPIA란 무엇인가

데이터 보호 영향 평가(DPIA)란 고위험 처리를 시작하기 전에 개인정보 보호 위험을 식별하고 줄이기 위한 체계적인 절차입니다.

이는 개인정보 보호를 설계 초기 단계로 앞당깁니다. 침해에 대응하는 대신 설계 단계에서 위험을 평가하고 완화하는 방식입니다. KVKK에도 이에 상응하는 위험 평가 요건이 있습니다.

DPIA가 필요한 경우

GDPR은 처리가 고위험일 가능성이 있을 때 DPIA를 의무화합니다. 특히 다음과 같은 경우가 해당합니다:

중대한 영향을 미치는 체계적이고 광범위한 프로파일링
특수 범주 데이터의 대규모 처리
공개된 장소의 체계적 모니터링
영향이 불확실한 신기술(예: 인공지능, 생체 인식)

DPIA 수행하기

DPIA에는 일반적으로 다음 내용이 포함됩니다:

처리와 그 목적을 설명합니다
필요성과 비례성을 평가합니다
개인에게 발생할 위험을 식별합니다
위험 완화 조치를 정의합니다(최소화, 암호화, 접근 제어)

완화 조치를 적용한 후에도 높은 잔여 위험이 남는다면, 개인정보처리자는 진행하기 전에 감독 기관과 협의해야 합니다.

프로세서-컨트롤러 보고

프로세서에 침해가 발생하면 부당한 지체 없이 컨트롤러에게 알려야 합니다. 규제 기관에 보고하고 72시간 기한을 관리하는 주체는 컨트롤러뿐이기 때문입니다.

계약(DPA)에는 프로세서의 신속한 침해 보고를 명시해야 합니다. 느린 공급업체는 컨트롤러의 전체 통지 기간을 소진시킬 수 있으므로, 모니터링과 계약상 서비스 수준 계약이 중요합니다.

빠른 확인

침해 통지 기한에 대한 이해도를 확인해 보십시오.

요약

침해 대응 및 위험 평가를 완료했습니다:

침해는 기밀성, 무결성 또는 가용성의 손실을 포함합니다
GDPR의 72시간 통지 기한은 인지한 시점부터 시작됩니다
위험이 높은 경우 개인에게 통지하며, 암호화를 적용하면 의무를 줄일 수 있습니다
연습해 둔 탐지-차단-평가-통지-개선-문서화 절차를 실행합니다
데이터 보호 영향 평가를 통해 고위험 처리를 시작하기 전에 평가하고 완화합니다

이제 사고에 대응하고 개인정보 보호 위험을 사전에 관리할 수 있습니다.

자주 묻는 질문

“침해 통지와 DPIA” 강의는 무료인가요?

네 — “침해 통지와 DPIA” 전체 내용을 이 웹사이트에서 무료로 읽을 수 있습니다. 인터랙티브하게 실습하려면(내장 코드 에디터와 24/7 AI 튜터), CoddyKit PRO로 업그레이드하면 Cyber Security Academy 강의 전체를 잠금 해제할 수 있습니다. Cyber Security Academy 강의에는 총 4개의 강의가 포함되어 있습니다.

“침해 통지와 DPIA”에서 뭘 배우나요?

프라이버시 위험에 대응하고 이를 평가합니다. 브라우저에서 직접 실행하는 실습 코드로 Cyber Security Academy을(를) 배우며, 24/7 AI 튜터가 강의를 진행하면서 질문에 답변해줍니다.

Cyber Security Academy을(를) 시작하는 데 경험이 필요한가요?

사전 경험은 필요하지 않습니다. CoddyKit의 Cyber Security Academy은(는) 초급자부터 고급 학습자까지를 위해 구성되어 있으므로, 여기서 시작하거나 처음부터 시작할 수 있으며 자신의 속도대로 진행할 수 있습니다. 이것은 4개 중 4번째 강의입니다.

“침해 통지와 DPIA” 강의는 얼마나 걸리나요?

대부분의 CoddyKit 강의는 약 5~10분이 소요됩니다. 각 강의는 간결하고 인터랙티브하여 꾸준한 진행이 가능하며, 웹과 앱에서 중단한 부분부터 바로 시작할 수 있습니다.

이 Cyber Security Academy 강의에서 코드를 작성하고 실행할 수 있나요?

네. 모든 Cyber Security Academy 강의에는 내장 코드 에디터가 포함되어 있으므로, 브라우저에서 바로 실제 코드를 작성하고 실행한 후 즉시 AI 피드백을 받을 수 있습니다 — 로컬 설정이 필요 없습니다.

이 강의의 모든 강의

← Cyber Security Academy(으)로 돌아가기