무엇이: 개인정보보호위원회가 「개인정보의 안전성 확보조치 기준」 고시의 안내서를 개정해 발간했습니다. 인증수단·API·암호키 관리 해설과 FAQ가 보강됐습니다.
언제부터: 보도자료는 2026년 11월 4일자입니다. 안내서는 개인정보위 누리집에 게시되어 있습니다.
누구에게: 고객 DB, 회원 정보, 광고 리드 데이터를 다루는 사업자와 마케팅 담당자가 참고 대상입니다. 공공시스템 운영기관에는 취약점 점검 해설이 추가됐습니다.

무엇이 바뀌나

개인정보위는 2026년 11월 4일 보도자료로 안전조치 기준 고시의 안내서 개정본을 발간했다고 밝혔습니다. 고시 자체를 새로 바꾼 것이 아니라, 최근 고시 개정 내용과 기술 환경 변화를 안내서에 반영한 것입니다. 보도자료가 밝힌 변경 내용은 크게 세 가지입니다.

1. 공공시스템 취약점 점검·침투테스트 해설 신설: 개인정보위는 7월 1일 고시를 개정해 공공시스템에 대해 취약점 점검과 침투테스트를 연 1회 이상 시행하도록 했습니다. 확인된 취약점은 지체 없이 보완·개선해야 합니다. 안내서에는 이 조항의 해설과 자주 묻는 질문(FAQ)이 추가됐습니다.
2. 최신 기술 반영: 인증수단 예시가 비밀번호·OTP·SMS 등 7종에서 패스키·QR코드·모바일앱 등 12종으로 늘었습니다. 양자내성암호 도입 내용이 추가됐고, 암호 키를 소스코드나 설정파일에 평문으로 저장하지 않도록 주의하라는 내용도 들어갔습니다.
3. FAQ 정비: 시스템 간 정보 연계에 쓰이는 API의 안전한 이용·관리 점검사항이 추가됐습니다. 시스템 업데이트가 지연될 때 고려할 안전조치 설명도 보완됐습니다. 비밀번호를 너무 자주 바꾸면 기억하기 쉬운 단순한 비밀번호를 쓰게 되는 부작용이 있을 수 있다는 답변도 실렸습니다.

안내서 위치는 개인정보위 누리집의 정책·법령, 법령정보, 안내서 메뉴 중 125번 게시물입니다.

누가 영향을 받나

안내서는 개인정보처리자가 안전조치를 적용할 때 참고하는 해설서입니다. 아래 표는 보도자료 내용을 마케팅 실무에 대입한 정리이며, 개별 사업자에게 어떤 의무가 생기는지는 고시와 법령 본문으로 확인해야 합니다.

실무 체크리스트

아래 항목은 공지 내용을 바탕으로 한 점검 제안입니다. 안내서가 요구하는 의무 목록이 아닙니다.

• 고객 DB, 리드 수집 폼, 광고 계정, 메시지 발송 도구 등 개인정보가 오가는 시스템을 한 장짜리 목록으로 정리합니다.
• 각 시스템의 관리자 로그인 방식을 확인하고, 안내서에 새로 예시된 패스키·QR코드·모바일앱 방식을 쓸 수 있는지 살펴봅니다.
• API 키, 토큰, 비밀번호가 소스코드, 설정파일, 공유 문서, 메신저 대화방에 평문으로 남아 있지 않은지 점검합니다.
• 시스템 간 연동(API)에 쓰는 계정과 권한이 필요한 범위로만 열려 있는지 확인합니다.
• 쇼핑몰 솔루션, 플러그인, 외부 도구의 업데이트가 밀려 있다면 사유를 기록하고 대응 방안을 정해 둡니다.
• 공공기관 사업을 수행한다면 계약서에 취약점 점검·침투테스트의 시행 주체와 시기가 적혀 있는지 확인합니다.
• 안내서 원문(125번 게시물)에서 자사 업무와 겹치는 FAQ 항목을 찾아 내부 담당자와 공유합니다.

아직 확실하지 않은 것

• 민간 사업자와 소상공인에게 새로 생기는 별도 의무나 시행일: 공지에 명시되지 않음.
• 안내서 내용을 기준으로 한 점검이나 제재 계획: 공지에 명시되지 않음.
• 광고 플랫폼, CRM, 문자 발송 도구 등 개별 마케팅 도구에 대한 적용 예시: 공지에 명시되지 않음.
• 인증수단 12종 전체 목록: 보도자료에는 패스키·QR코드·모바일앱 등 일부만 나와 있으며, 전체 목록은 안내서 원문에서 확인해야 합니다.

출처

• 개인정보보호위원회 보도자료, 기술환경 변화 등을 알기 쉽게 반영한 안전조치 안내서 개정 (2026-11-04)

주의할 점

첫째, 안내서는 고시의 해설서입니다. 안내서에 예시로 나온 방식을 쓰면 곧바로 법 준수가 완료된다고 단정할 수 없습니다. 자사 상황에 맞는 판단은 고시 본문과 개인정보위 안내를 함께 보고 하시기 바랍니다.

둘째, 취약점 점검과 침투테스트 의무는 보도자료상 공공시스템을 대상으로 한 내용입니다. 일반 민간 사이트에 같은 의무가 있다고 읽으면 안 됩니다.

셋째, 비밀번호 FAQ는 변경 주기를 없애라는 취지가 아니라, 지나치게 잦은 변경의 부작용을 짚은 답변입니다. 정책을 바꾸기 전에 안내서 원문의 맥락을 먼저 확인하세요.

넷째, 키 관리를 점검할 때는 담당자 개인의 메모나 공유 드라이브에 흩어진 API 키까지 함께 찾아야 합니다. 서버 설정만 확인하면 놓치는 곳이 생깁니다.

마케팅랩 에디터가 정리한 글입니다. 플랫폼 정책과 메뉴는 바뀔 수 있으니 실행 전 공식 도움말을 한 번 더 확인해 주세요. 틀린 내용이나 더 좋은 방법이 있으면 댓글로 알려 주세요.