Hackster

CPPG 개인정보관리사 - 요약 정리
1. 개인정보의 개요 (1)

[1] 개인정보의 정의

개인정보란 : 개인의 신체, 재산, 사회적 지위, 신분 등에 관한 사실, 판단, 평가 등을 나타내는 일체의 모든 정보

• 과거 : 개인정보보호법 + 정보통신망법
• 현재(2020년 2월) : 개인정보보호법에서만 유일하게 정의하고 있음
• +) 개인정보보호법 제2조 (정의) 참고

개인정보 종류

• 신분관계 : 성명, 주민등록번호, 주소, 본적, 가족관계, 본관 등
• 내면의 비밀 : 사상, 신조, 종교, 가치관, 정치적 성향 등
• 심신의 상태 : 건강 상태, 신장, 체중 등 신체적 특징, 병력, 장애정도 등
• 사회 경력 : 학력, 직업, 자격, 전과 여부 등
• 경제 관계 : 소득규모, 재산보유상황, 거래내역, 신용정보, 채권체무관계 등
• 새로운 유형 : 생체인식정보 (지문, 홍채, DNA), 위치정보

개인정보 정의

• 살아있는 개인에 대한 정보 : 사망으로 간주하면 개인정보라 볼 수 없음
• 개인에 관한 정보 : 개인정보 주체는 자연인 → 법인 또는 단체, 개인사업자 정보 불가
• 정보의 내용 및 형태 등은 제한없음 : 디지털 형태, 수기, 자동 처리, 수동 처리 등 관계없이 모두 개인정보 해당 / 그 사람에 대한 제3자의 주관적 의견 모두 개인정보로 가능
• 개인을 알아볼 수 있는 정보 : ‘처리하는 자‘의 입장에서 개인을 알아볼 수 있다면 개인정보 (예정된 자 포함)
• 다른 정보와 쉽게 결합하여 개인을 알아볼 수 있는 정도 : 입수 가능성 (합법만 가능) / 결합 가능성 (기술 수준)
• 가명정보 : 원래의 상태로 복원하기 위한 추가 정보의 사용 없이는 특정 개인을 알아볼 수 없는 정보

개인정보 해당 여부

• 사망자의 정보로 유족과의 관계를 알 수 있는 정보
• 특정 건물 또는 아파트의 소유자가 자연인인 경우, 해당 주소
• SNS에 올린 단체사진
• 의사가 특정 아동의 심리치료를 위해 진료 기록을 작성하면서 아동의 부모 행태를 작성한 기록
• 공적 생활에서 형성되었거나 이미 공개된 개인정보
• 거래내역 등 개인의 상거래정보
• 대표자 포함 임원진 담당자 이름, 주민등록번호, 자택주소, 개인 연락처, 사진 (취급 가능성 O)

개인정보와 구별해야 하는 개념

• 개인정보 : 개인을 알아볼 수 있는 정보
• 가명정보 : 추가정보의 사용 및 결합 없이는 특정 개인을 알아볼 수 없는 정보
• 익명정보 : 특정 개인을 알아볼 수 없는 정보
• 추가정보 : 개인정보 복원할 수 있는 정보
• 결합정보 : 두 개 이상의 개인정보 결합
• 개인영상 정보
• 개인신용정보
• 개인위치정보

[2] 프라이버시와 개인정보

1997년 미국연방대법원 판례에 의해 사적인 사항이 공개되지 않는 이익에 대해서 개인정보보호 권리의 기원이 완성되었다.

정보주체의 권리 두가지 : 프라이버시 vs 개인정보 자기결정권

프라이버시 범주

[3] 개인정보의 유형 및 종류

개인정보보호 특성에 따른 유형

• 인적 사항
  • 일반 정보 : 성명, 주민등록번호, 주소, 연락처, 생년월일, 출생지, 성별 등
  • 가족 정보 : 가족관계 및 가족구성원 정보 등
• 신체적 정보
  • 신체 정보 : 얼굴, 홍채, 음성, 유전자 정보, 지문, 키, 몸무게 등
  • 의료 및 건강 정보 : 건강상태, 진료기록, 신체장애, 장애등급, 병력, 혈액형, IQ, 약물테스트 등의 신체검사 정보 등
• 정신적 정보
  • 기호 및 성향 정보 : 도서 및 비디오 대여기록, 잡지구독정보, 물품구매내역, 웹사이트 검색 내역 등
  • 내면의 비밀 정보 : 사상, 신조, 종교, 가치관, 정당 및 노조 가입여부 및 활동 내역 등
• 사회적 정보
  • 교육 정보 : 학력, 성적, 출석 상황, 기술 자격증 및 전문 면허증 보유내역, 상벌기록, 생활기록부, 건강기록부 등
  • 병역정보
  • 근로정보 : 직장, 고용주, 근무처, 근로경력, 상벌기록, 직무평가기록 등
  • 법적정보 : 전과 및 범죄 기록, 재판 기록, 과태료 납부내역 등
• 재산적 정보
  • 소득정보
  • 신용정보
  • 부동산정보
  • 기타수익정보
• 기타 정보
  • 통신정보 : E-Mail 주소,
  • 위치정보 : GPS 및 휴대폰에 의한 개인 위치정보
  • 습관 및 취미정보 : 흡연여부, 음주량, 선호하는 스포츠, 여가활동, 도박성향 등

개인정보 제공과 생성에 따른 유형

[4] 개인정보의 특성

식별성에 대한 평가기준

• Single Out : 보유하고 있는 개인정보 항목 중 특정 개인 1인만을 따로 분리할 수 있는 정보인지 여부
• Linkability : 하나의 개인 또는 동일한 속성을 공유하는 집단에 관한 2개 이상의 데이터를 연결할 수 있는지 여부
• Inference : 2개 이상의 정보가 서로 정확하게 연결되어 있지 않더라도, 추론에 의해서 연결 가능한지 여부
  • 회사 내 직급 서열 + 급여 → 2개를 합리적으로 추론하여 → 개인이 식별될 수 있음

식별성에 따른 개인정보 분류

• 개인식별정보 : 그 자체로 구분할 수 있는 정보 (성명, 주민등록번호)
• 개인식별정보와 결합되어 있는 상태의 개인식별가능정보 (온라인 쇼핑몰 전화번호, 주소, 이메일 주소, 결제 관련 정보, 구매 이력)
• 개인식별정보와 결합되어 있지 않은 상태의 개인식별가능정보 (뉴스레터 수신 희망 이메일 주소, 로그인하지 않은 상태에서 검색한 기록 등 행태정보)

수집출처 따른 개인정보 분류

1. 이용자로부터 수집한 정보 : 서비스 회원 가입 시 제공한 개인정보, 입력한 검색어 개인정보
2. 사업자가 생성한 정보
   1. 생성정보 : 쿠키정보, 로그정보, 고객위치정보
   2. 생산정보 : 근무평가, 신용평가, 인사기록, 진료차트, 고객성향
3. 공개된 정보를 수집한 정보 : 공개된 정보의 경우, 타인이 본인의 의사에 반하여 임의로 공개한 정보 제외하고 본인이 최초 목적과 범위를 적극적으로 인지한 상태에서 공개한 정보

[5] 개인정보 가치산정

개인정보는 이용자 관점에서 가치를 과평가하는 경향이 있는 반면, 활용하는 기업에서는 저평가하는 경향이 있다.

가치산정법으로는 델파이보다는 가상가치산정법(CVM)을 이용할 수 있다.

<개인의 가치산정 방식>

<손해배상액 산정>

• 개인정보가 유출된 상황을 가정하여, 유출 시 예측되는 손해배상액을 해당 개인정보의 가치로 간주
• 가치 산정이 간편하고 다양한 시나리오 개발을 통해 실제 상황에 대응 가능
• 산정된 손해배상액을 근거로 위험 전가 통제 구현 가능
• 상황별 유출 가능한 개인정보 항목을 식별할 수 있고, 항목별 중요도 및 개수 매트릭스화 가능
• 예상 손해배상액의 총합 산정 가능

<CVM의 가치산정 단계>

1단계 : 설문조사 대상 및 질의로 대상 식별

2단계 : 개인정보의 가치를 투영할 수 있는 대상 구별

3단계 : 1,2 단계를 통해 확인된 개별 개인정보 항목의 가치를 취합하여 평균값으로 계산

<개인정보 유출 배상 사례>

• 엔씨 소프트
• 국민은행
• LG 전자
• 하나로텔레콤

Microsoft May 2025 Patch Tuesday fixes 5 exploited zero-days, 72 flaws

https://www.bleepingcomputer.com/news/microsoft/microsoft-may-2025-patch-tuesday-fixes-5-exploited-zero-days-72-flaws/

- Microsoft released security updates fixing 72 vulnerabilities as part of the May 2025 Patch Tuesday. 마이크로소프트는 2025년 5월 패치 화요일 업데이트를 통해 72개의 보안 취약점을 수정했습니다.

- Among them, five are zero-day vulnerabilities that were actively exploited in the wild.
이 중 5개는 실제로 공격에 사용된 제로데이 취약점이었습니다.

- One critical flaw (CVE-2025-21400) is a privilege escalation bug in the Windows Kernel. 가장 중요한 취약점 중 하나인 CVE-2025-21400은 Windows 커널의 권한 상승 문제(공격자가 권한을 상승시켜 SYSTEM 권한을 획득할 수 있는 취약점)입니다.

- Another, CVE-2025-21915, is a remote code execution vulnerability in Microsoft Outlook exploited via malicious email. 또 다른 하나인 CVE-2025-21915는 Microsoft Outlook에서 악성 이메일로 원격 코드 실행이 가능한 취약점(Outlook 이메일 미리보기만으로 코드가 실행될 수 있는 위험한 RCE 취약점)입니다.

- Users are strongly advised to update their systems immediately to reduce the risk of compromise. 사용자들은 시스템을 즉시 업데이트하여 보안 위협을 줄여야 합니다.

[프롬프트북 #4] 사용자 공지문 자동 생성 프롬프트

보안 사고가 발생하면 시스템 복구도 중요하지만, 사용자에게 “지금 어떤 일이 있었는지” 설명하는 일도 반드시 필요하다.

하지만 실무 현장에선 공지문을 누가 써야 할지 정해지지 않았거나, 기술 부서는 기술에 집중하느라 소통문 초안 작성은 매번 미뤄지기 일쑤다. 그 사이 사용자는 불안해지고, CS팀에는 “이게 뭔 일이냐”는 문의가 쏟아진다.

이 프롬프트는 바로 그런 상황에서 GPT에게 아래와 같은 한 문장을 쓰기에 좋다. 

"사용자에게 보낼 사고 알림 공지문을 작성해줘."

이렇게만 말하면 비기술자도 이해할 수 있는 톤, 책임회피 없이 신뢰를 줄 수 있는 구조, 너무 겁먹지 않게 설명하는 어휘로 된 공지문이 자동 생성된다. 하지만 추가적으로 필요한 옵션등이 있기 때문에 추가적으로 서술해보려고 한다.

프롬프트 본문

당신은 보안 사고 발생 시 사용자 대상 커뮤니케이션을 담당하는 커뮤니케이션 매니저입니다.  
아래 사고 개요를 바탕으로, 사용자에게 보낼 안내문을 작성해 주세요.

공지문은 다음 요소를 포함해야 합니다:  
- 사고 발생 시점  
- 원인 요약  
- 현재까지의 영향  
- 대응 현황  
- 사용자 안내 사항  
- 중립적이고 신뢰를 주는 어조  
- 불필요한 공포 유발 표현은 지양

예시 1. 웹 포털 SQL Injection 탐지에 따른 사용자 안내 공지문

입력 예시

출력 예시

예시 2. 랜섬웨어 감염 후 사용자 대상 알림 메일

입력 예시

출력 예시

예시 3. 이메일 계정 유출 사고 발생 시 고객 대상 긴급 알림

입력 예시

출력 예시

예시 4. 서비스 장애 안내 (기술 이슈로 인한)

입력 예시

출력 예시

실무 활용 팁

• B2C 스타트업 커뮤니케이션용으로 원한다면 "공식 블로그 공지문 톤"으로 요청
• "고객센터 대응용 요약"을 덧붙여 CS 매뉴얼용으로 활용
• "이메일 발송용 제목도 같이"라는 옵션을 넣어 HTML 템플릿으로 활용하자
• "법률 리스크 줄이는 표현 포함"을 넣어 준법감시팀 협업에 대응하기
• "영문 고객 공지 버전"으로 해외 사용자 대응할 수 있다!

+) COMMENT : 공지문은 대부분 “누가 써야 하는지”도 안 정해져 있다. 사고 대응 중에는 기술팀이 바쁘고, CS팀은 내용이 부족하며,
커뮤니케이션팀은 매번 처음부터 문구를 고민한다. 그 사이 사용자 문의는 쌓이고, 내부 대응은 점점 늦어진다. 이 프롬프트는 그런 현실적인 커뮤니케이션 공백을 줄이기 위한 도구다.

기술팀이 로그 분석에 집중하면서도, 커뮤니케이션팀은 GPT로 메시지 초안을 빠르게 뽑아 수정만 거쳐서 바로 배포할 수 있게 된다.

특히 중소팀이나 스타트업은 CS 리소스가 부족해서 공지문을 누가 쓰냐부터 매번 싸움 나듯 정한다. 이런 조직일수록, “프롬프트 하나로 바로 초안 나오는 구조”를 세팅해두면 사고 대응 속도가 진짜 체감될 만큼 빨라진다. 결국 사고 대응은 기술적 차단 + 커뮤니케이션 전달이 동시에 돼야 한다. 그 사이를 메워주는 프롬프트를 잘 사용하는게 필요해보인다.

[프롬프트북 #3] IOC 침해지표 자동 정리 프롬프트

보안 사고 후 리포트를 작성할 때, 가장 머리 아픈 작업 중 하나는 바로 IOC(침해지표) 정리다. 이상행위가 발생한 로그를 분석하고
그 안에서 수상한 IP, 도메인, URL, 해시 값을 일일이 추려내 보고서에 표로 정리하거나 부록으로 첨부한다.
근데 이게, 귀찮고, 반복적이고, 실수도 잘 난다. 특히 예전에는 사고 건수가 많거나 로그 볼륨이 클수록 "알아서 자동화됐으면…"이라는 생각이 자주 들었다...

GPT에게 로그 데이터를 통째로 던지고, “IOC 항목별로 정리해줘” 한 마디만 하면 표 형태로 분류된 결과가 바로 출력된다.
심지어 표를 Markdown이나 CSV로 뽑을 수도 있고, GeoIP 정보나 TTP 힌트까지 덧붙이도록 확장할 수도 있다. 이건 단순히 "자동화했다"는 의미가 아니라, “보안 실무자의 반복 노동을 줄이면서, 정리 수준은 올리는 방식”이다. 그래서 실무자일수록 꼭 알아야 할 GPT 프롬프트라고 생각한다.

[프롬프트 본문]

다음은 사고 대응 과정에서 수집된 로그입니다.  
해당 로그에서 침해지표(IOC)를 추출하고  
[IP], [도메인], [파일 해시], [URL] 형식으로 분류하여 표 형태로 정리해 주세요.

[입력 예시]

Suspicious IP: 45.77.32.156  
URL Accessed: http://malicious-domain.com/login.php  
SHA256 Hash: 3f8d5e2a33a8894d1e98e5a632cb7c26f81a52b6d9c5a2356a9ff3c99b9e8f20  
Domain Contacted: malicious-domain.com

[출력 예시]

[추가 활용 팁]

- 보고서 부록에 삽입하기 위해서 "CSV로 정리해줘"라고 말해보자

- 노션, 위키 문서 삽입에 용이하기 위해서 "Markdown 표로 출력"을 사용해본다

- IOC 기반 탐지 범위를 판단하기 위해 "GeoIP 정보 포함" 옵션을 써본다.

- 인텔리전스 보고서 수준으로 확장시키기 위해 "IOC마다 설명을 달아줘"라고 요청해본다.

+ Comment : 보안 실무는 '탐지보다 정리'가 더 피곤한 순간이 많다.

IOC 추출은 반복 작업이지만, 보고서 품질을 좌우한다. 그런데 사람이 하면 빠뜨리는 게 생기고, 시스템으로 돌리자니 컨텍스트 없는 결과가 튀어나온다. 이 프롬프트는 GPT를 단순한 자동화 도구가 아닌 “보안 문서의 보조 저자”로 활용하는 방식이다.