3.1.3 주민등록번호 처리 제한
기준 판본: KISA ISMS-P 인증기준 안내서(2023.11.23). 관련 법령: 2026-07-26 기준. 내용 구분: §1은 KISA 안내서와 법령을 요약했다. §3~§4에는 작성자의 실무 경험을 반영했다.
1. ISMS-P 기준 요약
인증기준
주민등록번호는 법률·대통령령 등 명확한 근거가 있을 때만 처리해야 한다. 홈페이지에서 회원가입을 받을 때는 주민등록번호를 쓰지 않는 대체수단을 제공한다.
주요 확인사항 (KISA 안내서)
- 명확한 법적 근거가 있을 때만 처리하는가?
- 수집 근거 조문을 구체적으로 식별하는가?
- 홈페이지 회원가입에 주민등록번호 대체수단을 제공하는가?
결함사례 (KISA 안내서)
- 실명확인·단순 회원관리 목적으로 동의만 받아 수집함
- 시행규칙·조례만을 근거로 수집함
- 본인확인용으로 뒷자리 일부를 근거 없이 수집함
- 채용전형·콜센터 문의에서 법적 근거 없이 수집함
2. ITGC 매핑
| 항목 | 값 |
|---|---|
| 분류 | 기타 (3-other) |
| ITGC 영역 | 참고 |
| 부영역 | 3.1-collection |
| 보조 영역 | 암호화·접근통제 |
3. IT감사에서는 이렇게
3-A. 한국 비금융 ITGC 실무 적용
시스템과 인터페이스·보고서·로그 가운데 주민등록번호가 저장되는 위치를 찾고 각 처리의 법적 근거를 연결한다. 접근권한과 암호화·마스킹 통제도 확인할 수 있다.
| ISMS-P 요구사항 | IT감사 연계 절차 | 모집단 | 표본 |
|---|---|---|---|
| 처리현황 | DB·파일·인터페이스·로그의 번호 위치 식별 | 관련 데이터 | 전수 |
| 근거 연결 | 업무·필드별 법적 근거와 보유기간 대조 | 처리 목적 | 전수 |
| 시스템 제한 | 대체수단·입력차단·마스킹·암호화 설정 확인 | 관련 시스템 | 표본 |
3-B. ISMS-P 추가 요구사항 중 일반 ITGC 범위 밖
수집의 법적 근거가 충분한지는 개인정보보호·법무 조직이 최종 판단한다.
4. Q&A
Q1. 뒤 6자리만 받으면 주민등록번호가 아닌가?
A. 일부만 받더라도 다른 정보와 합쳐 개인을 식별하거나 전체 번호를 추론할 수 있다. 안내서도 법적 근거 없이 뒷자리를 수집한 경우를 결함사례로 제시한다. 먼저 처리 목적과 법적 근거를 확인해야 한다.
관련 인증기준
- 2.7.1 암호정책 적용
- 3.1.4 민감정보 및 고유식별정보의 처리 제한
관련 법규·기준·표준
- 개인정보 보호법 제24조의2