 |
| ▲ 개인정보보호위원회 |
[뉴스서울] 개인정보보호위원회는 웹·앱 서비스 고도화, 플랫폼 연계, 제휴사 서비스 연동 등에서 응용프로그램 인터페이스(Application Programming Interface, 'API')를 통한 데이터 처리가 확대됨에 따라, 이를 통한 개인정보 처리시 권한 관리와 개인정보 최소 전송 등 보호조치를 강화할 것을 사업자에게 당부했다.
최근 국내외에서 권한 관리가 미흡한 API를 통한 개인정보 유출 사고가 잇따라 발생하고 있다. 로그인 여부만 확인하고 개인정보 조회 권한을 확인하지 않거나, 서비스 제공에 필요하지 않은 개인정보까지 API 응답 데이터에 포함하는 경우, 비정상적인 API 호출만으로도 대규모 개인정보 유출로 이어질 수 있다. 따라서, 사업자는 현재 운영 중인 API를 지속적으로 식별, 관리하고 개인정보를 처리하는 API는 이용자, 취급자, 고객사 등 권한 범위에 따라 접근을 제한하는 등 API 운영 전반에 대한 점검이 필요하다.
이에 개인정보위는 API를 통해 개인정보를 처리하는 사업자에게 다음 사항을 중점적으로 점검하고 조치할 것을 권고했다.
첫째, 설계 단계부터 개인정보 최소화 원칙을 준수해야 한다.
둘째, 최소 권한 원칙에 부합하게 API 권한을 부여하고 관리해야 한다.
셋째, 운영 중인 API 목록을 식별, 현행화하고 점검해야 한다.
아울러 API를 제공받아 서비스를 운영하는 사업자도 응답 데이터에 서비스와 무관한 개인정보가 포함되어 있는지 확인하고 불필요한 개인정보는 즉시 제거해야 한다. API 키·토큰 등 자격증명은 담당자별로 발급하고 최소 권한 원칙에 따라 API로 조회·전송받는 데이터 범위를 제한하거나, 업무 절차나 시기에 따라 조회할 수 있는 개인정보를 제한하는 등 안전하게 관리하는 것이 바람직하다.
양청삼 개인정보위 사무처장은 “API는 서비스 화면에 표시되지 않는 개인정보도 함께 전송할 수 있으므로 서비스 제공에 필요한 최소한의 개인정보만 처리되도록 설계하고 운영해야 한다”라고 말했다.
[저작권자ⓒ 뉴스서울. 무단전재-재배포 금지]
