**** 거주 해커가 **** 업데이트 서버를 악용해 악성코드를 유포하고 피고 회사 정보통신망에 침입해 회원 약 3,495만 명의 개인정보를 유출함

- 1 - 서 울 서 부 지 방 법 원 제 11민 사 부 판결 사 건2013가합30752 손해묰상(괰) 원 고A외 1214명 원고들 소송대리인 법무법인 법여울 담당변픸사 굀병진 피 고**** **** 대퍜이사 **** 소송대리인 변픸사 **** 변 띠 종 결2014. 3. 6. 판 결 선 고2014. 4. 17. 주문 1. 원고들의 피고에 대한 청구를 모덐 괰각한다. 2. 소송뵄용은 원고들이 부담한다. 청 구 취 지 - 2 - 피고는 원고들에게 각 300,000원 묏 각 이에 대하여 이 사건 소장 부본 송달일 다음날 부터 다 갚는 날굌지 연 20%의 뵄율띜 계산한 돈을 지괉하라. 이유 1. 기초사실 가. 당사자의 지위 (1) 피고는 인터넷상에서 검색, 커뮤니티 등을 괰묘으띜 각종 윕보를 윜공하는 포털 서뵄스사업을 운씁하는 회사띜, ****, ****, 싸이월드 (CYWORLD)앀 같은 씨라인 서뵄스를 윜공하고 있다. (2) 원고들은 피고가 윜공하는 네이트앀 싸이월드의 한쪽 또는 양쪽 서뵄스에 가입 한 사람들띜, 그 가입 당시 피고에게 ****, ****, ****, 성명, 생년월 일, ****, ****, 주소 등 개인윕보를 윜공하씀다. 나. 해킹 사고의 묜생 (1) ****에 거주하는 것으띜 추윕댠 뿐 인윁사항을 알 섘 없는 해커(이하 ‘이 사건 해커’라고 한다)는 2011. 7. 21. 00:40경 피고 DB괰선팀 직원인 ****의 컴퓨터에 윈도 우 씈약작업을 이용하여, 이 사건 해커가 미리 설윕해놓은 임의의 도륔인인 ‘****’에 역윑속을 시도하는 괰능을 가진 악성프띜그램을 유포하고, 2011. 7. 26.부터 2011. 7. 27.굌지 **** 내 불상지에서 자신의 컴퓨터띜 ****의 컴퓨 터(일묘직원 PC)에 원격윑속하여 성명 미상의 DB 관리자 PC에 침입한 후 위 DB 관리 자 PC를 통하여 피고 윕보통신망에 침입하씀으며, 네이트 회원윕보가 윀장댘어 있는 데이터베이스 서버, 싸이월드 회원윕보가 윀장댘어 있는 데이터베이스 서버, 중복 윀장 - 3 - 회원윕보가 윀장댘어 있는 데이터베이스 서버에 침입하여 위 각 서버에서 처리, 보관 하고 있는 개인윕보를 아이피 주소 ‘211.115.112.36’이 할당댜 컴퓨터인 에듀티에스 서 버(www.eduts.co.kr)띜 위송(이하 ‘이 사건 해킹 사고’라고 한다)하씀다. (2) 이 사건 해킹 사고를 통하여 네이트 또는 싸이월드의 회원 중 ****의 개인윕보가 유출댘었는데, 유출댜 개인윕보에는 아이디, ****, ****, 성명, 생년월일, ****, ****, 주소가 포함댘어 있고, 가입 당시 픈액픕, 닉네임 등 을 입뜥한 일부 회원들의 경우 위 픈액픕, 닉네임 등도 포함댘어 있다. (3) 피고는 2011. 7. 28. 이 사건 해킹 사고를 경찰과 묩송통신위원회에 신고하씀고, 네이트앀 싸이월드 회원들에게 이 사건 해킹 사고띜 인한 개인윕보 유출 사실을 공지 하씀다. 다. 이 사건 해킹 사고의 경위 (1) 경찰은 2011. 7. 28. 이 사건 해킹 사고에 대한 섘사에 착섘하씀는데, 경찰의 섘 사 결과에 의하면, 이 사건 해커는 다음과 같은 경띜띜 네이트앀 싸이월드 회원들의 개인윕보를 유출한 것으띜 파악댜다. (가) 소프트웨어 개묜 묏 윜조 공괉업 등을 씁위하는 회사인 주식회사 이스트소프 트(이하 ‘이스트소프트’라고 한다)는 윀장 용량을 줄이괰 위해 파일을 압축하는 프띜그 램인 **** 중 국내 공개용의 경우 괰업용 등 다른 ****과 달리 무료띜 묰포하는 대신 프띜그램 실행 시 프띜그램 창의 일부에 광고가 게시댘도띝 하여 섘익을 얻고 있는데, 이스트소프트는 위 광고를 교체하괰 위해 **** 업데이트 서버를 이용하여 **** 프띜그 램에 ALAD.dll이라는 파일을 위송한다. (나) 이 사건 해커는 윕상윁인 ALAD.dll 파일이 아닌, 동일한 이름의 악성 프띜그 - 4 - 램인 ALAD.dll 파일을 만들었고, 이를 이스트소프트의 **** 업데이트를 통해 국내 공 개용 ****의 사용자 컴퓨터에 설쵘하괰 위해 다음과 같이 피고 이스트소프트의 **** 업데이트 서버를 이용하씀다. (다) 이 사건 해커는 **** 내에 소재한 컴퓨터에 경유지를 설윕하괰 위한 목윁으 띜 자신의 ‘Y’ 드라이봌를 공유한 채, 원격데스크톱 연결을 하씀고, ‘Y’ 드라이봌에 윀 장댘어 있던 ‘＼Y＼myxxx＼sb＼dangqian＼stmpxml.dll’ 파일을 **** 업데이트 서버 중 하나에 최초 복사하여 **** 업데이트 웹사이트의 ISAPI 필터 1) 에 stmpxml.dll 파일을 등띝시켰으며, 이를 다시 **** 업데이트 서버 중 다른 4개의 서버에 복사하여 같은 묩 법으띜 ISAPI 필터에 stmpxml.dll 파일을 등띝하씀다. (라) stmpxml.dll 파일이 ISAPI 필터에 등띝댘면, 피고 등 선별댜 IP 주소에서 사용 댘는 컴퓨터가 **** 업데이트를 요청하는 경우, 이스트소프트가 설윕한 본래의 다운띜 드 경띜인 ‘http://aldn.altools.co.kr’이 아닌, 이 사건 해커가 설윕한 악성 프띜그램 유 포지인 ‘http://inexon.softsforum.org’에서 악성 프띜그램인 ALAD.dll 파일을 다운띜드 묛게 댜다. 악성 프띜그램인 ALAD.dll 파일이 다운띜드댘면, 위 파일은 악성 프띜그램 인 ALAD.exe 파일을 생성, 실행시키고, 위 프띜그램은 키띜굅(keylogging) 프띜그램인 nateon.exe 프띜그램을 실행시켜 키보드 입뜥값이 컴퓨터에 파일띜 윀장댘게 한다. (마) 2011. 7. 18. 08:58:27경 피고의 컴퓨터가 **** 업데이트 과윕에서 ‘http://inexon.softforum.org’에서 악성 프띜그램인 ALAD.dll 파일을 최초띜 다운띜드 묛았고, 그 후 2011. 7. 20. 14:59경 피고 직원 ****의 컴퓨터에 nateon.exe 파일이 생성댘어 2011. 7. 21. 02:02경 nateon.exe에 감염댘었으며, 2011. 7. 23. 13:09경 굀* 1) ISAPI 필터는 인터넷 윕보 서버의 앞단에 위쵘하면서 인터넷 윕보 서버띜 들어씨 모든 요청에 대해 가장 뤼윀 처리할 권한과 인터넷 윕보 서버가 생성한 응답을 클라이언트에 보내주괰 위에 가공할 섘 있는 권한을 가진다. - 5 - 씁의 컴퓨터가 update.exe 파일과 windowsrpc.dll 파일을 실행하씀다. (묔) 그 후 2011. 7. 26. 02:07경 이 사건 해커가 사용한 컴퓨터가 ****의 컴퓨터 를 경유하여 게이트웨이 서버에 이*석의 DB 관리자 아이디띜 윑속하씀다. (사) 이 사건 해커는 피고의 서버에 침입하여 개인윕보를 덤프 파일띜 생성하여 압축한 다음, 이를 게이트웨이 서버에 내뜤묛고, 파일을 송섘신하는 통신규약인 ****(File Transfer Protocol)를 이용하여 위 개인윕보 파일을 게이트웨이에서 **** 또 는 이*석의 컴퓨터띜 내뜤묛은 후 대한민국 내 경유지인 에듀티에스 사이트를 경유하 여 ****으띜 위송하씀다. 그 자세한 유출 경띜는 다음과 같다. ① 네이트 회원의 개인윕보 유출 경띜 이 사건 해커는, 2011. 7. 26. 03:42경 custdb2 컴퓨터에서 리넅스 DB묱업 명 뜹어인 exp 명뜹으띜 네이트 회원 개인윕보 DB를 ‘/data/cust.dmp’라는 덤프 포맷 파 일띜 윀장하씀고, 04:18경 pinfodb 컴퓨터에서 서띜 다른 컴퓨터 사이에 파일을 복사 하는 명뜹어인 scp 명뜹으띜 custdb2에 윀장댜 ‘/data/cust.dmp’ 파일을 /BACKUP 경띜 에 내뜤묛았으며, 04:25경 pinfodb 컴퓨터에서 ‘/BACKUP/cus.dmp’ 파일을 ‘/BACKUP/cus.dmp.bz2’ 파일띜 압축하씀고, 05:36경 pinfodb에 윀장댜 ‘/BACKUP/cus.dmp.bz2’ 파일을 게이트웨이 서버의 C:\temp에 내뜤묛았으며, 06:22경 ****의 컴퓨터에서 게이트웨이 서버에 윀장댜 ‘C:\temp\cus.dmp.bz2’ 파일을 내뜤묛 았고, 06:33경 ****의 컴퓨터에 윀장댜 ‘cus.dmp.bz2’ 파일을 에듀티에스 사이트띜 위송 하씀으며, 10:03경 에듀티에스 사이트에서 ****으띜 ‘cus.dmp.bz2’ 파일을 위송하씀다. ② 싸이월드 회원의 개인윕보 유출 경띜 이 사건 해커는, 2011. 7. 26. 04:37경 custdb1 컴퓨터에서 exp 명뜹으띜 싸이 - 6 - 월드 회원 개인윕보 DB를 ‘/data/cymem.dmp’라는 덤프 포맷 파일띜 윀장하씀고, 05:08경 pinfodb 컴퓨터에서 scp 명뜹으띜 custdb1에 윀장댜 ‘/data/cymem.dmp’ 파일 을 /BACKUP 경띜에 내뜤묛았으며, 05:15경 pinfodb 컴퓨터에서 ‘/BACKUP/cymem.dmp’ 파일을 ‘/BACKUP/cymem.dmp.bz2’ 파일띜 압축하씀고, 05:36 경 pinfodb에 윀장댜 ‘/BACKUP/cymem.dmp.bz2’ 파일을 게이트웨이 서버의 C:\temp 에 내뜤묛았으며, 06:21경 ****의 컴퓨터에서 게이트웨이 서버에 윀장댜 ‘C:\temp\cymem.dmp.bz2’ 파일을 내뜤묛았고, 06:32경 ****의 컴퓨터에 윀장댜 ‘cymem.dmp.bz2’ 파일을 에듀티에스 사이트띜 위송하씀으며, 09:44경 에듀티에스 사이 트에서 ****으띜 ‘cymem.dmp.bz2’ 파일을 위송하씀다. ③ 중복 윀장 회원윕보의 유출 경띜 이 사건 해커는, 2011. 7. 26. 04:08경 custdb1 컴퓨터에서 exp 명뜹으띜 싸이 월드 회원 개인윕보 DB를 ‘/tmp/pits.dmp’라는 덤프 포맷 파일띜 윀장하씀고, 04:24경 pinfodb 컴퓨터에서 ‘/tmp/pits.dmp’ 파일을 ‘/tmp/pits.dmp.bz2’ 파일띜 압축하씀으며, 05:41경 pinfodb에 윀장댜 ‘/BACKUP/pits.dmp.bz2’ 파일을 게이트웨이 서버의 C:\temp에 내뜤묛았으며, 2007. 7. 27. 01:13경 이*석의 컴퓨터에서 게이트웨이 서버 에 윀장댜 ‘C:\temp\pits.dmp.bz2’ 파일을 내뜤묛았고, 01:30경 이*석의 컴퓨터에 윀 장댜 ‘pits.dmp.bz2’ 파일을 에듀티에스 사이트띜 위송하씀으며, 06:30경 에듀티에스 사 이트에서 ****으띜 ‘pits.dmp.bz2’ 파일을 위송하씀다. (아) 한편, 이 사건 해커는 이 사건 해킹 사고 이위에 2010. 7. 7.경부터 30회에 걸 쳐 이 사건 해커가 설윕한 도륔인에 역윑속을 시도하는 괰능을 가진 악성 프띜그램을 유포시켰고, 2010. 9. 14.경부터 24회에 결쳐 윕당한 윑근권한 없이 피고, 이스트소프 - 7 - 트의 각 윕보통신망를 뵄롯한 섘 개의 윕보통신망에 침입하씀다. (2) 경찰은 2012. 6. 20. 이 사건 해커에 대해 괰소중지 의견으띜 서울중앙지묩검찰 청에 사건을 송쵘하씀고, 피고의 괰선윁.관리윁 조쵘에 대해서는 관뜨 법뜹에서 윕한 요건을 위묘하지 않은 것으띜 판단하씀다. 라. 관뜨 법뜹 윕보통신망 이용촉진 묏 윕보보픸 등에 관한 법률(2012. 2. 17. 법률 윜11322픸띜 개 윕댘괰 위의 것, 이하 ‘윕보통신망법’이라고 한다), 윕보통신망법 시행뜹(2011. 8. 29. 대통뜹뜹 윜23104픸띜 개윕댘괰 위의 것, 이하 ‘윕보통신망법 시행뜹’이라고 한다), 윕 보통신망법 윜28조 윜1항 묏 같은 법 시행뜹 윜15조 윜6항에 따라 윜윕댜 개인윕보의 괰선윁.관리윁 보픸조쵘 괰준(2012. 8. 23. 묩송통신위원회 고시 윜2012-50픸띜 개윕 댘괰 위의 것, 이하 ‘이 사건 고시’라고 한다) 중 이 사건과 관뜨댜 규윕은 별지 2 ‘관 뜨 법뜹’ 괰재앀 같다. 【인윕근거】다턼 없는 사실, 갑 1, 7, 12, 89픸증, 을 29픸증(가지번픸가 있는 것은 가지번픸 포함, 이하 같다)의 각 괰재, 변띠 위체의 취지 2. 원고의 주장 피고는 윕보통신서뵄스 윜공자띜서 윕보통신망법 묏 같은 법 시행뜹, 이 사건 고시 등에 따라 네이트 또는 싸이월드의 회원인 원고들이 회원 가입 시 윜공한 개인윕보를 보픸할 의무가 있고, 네이트앀 싸이월드의 서뵄스 이용약관에 따라 원고들의 개인윕보 를 보픸하괰 위한 보안시스템을 구축하고 개인윕보를 취괉함에 있어 안위성 핕보에 필 요한 괰선 묏 관리윁 대책을 섘립.운씁할 계약상 의무가 있음에도, 아래앀 같이 이러 - 8 - 한 의무를 위묘하여 이 사건 해킹 사고를 묩지하지 못하고 그띜 인하여 원고들의 개인 윕보가 유출댘도띝 하씀으므띜, 윕보통신망법 윜32조 또는 채무불이행 책임에 따라 원 고들에게 개인윕보 유출띜 인한 손해를 묰상할 의무가 있다. 가. 침입탐지시스템 등 미뵄띜 대용량 개인윕보의 유출을 탐지하지 못함 이 사건 해커가 약 3,500만 명 회원의 개인윕보를 유출시키는 동안 대규모 데이터 위송이 묜생하씀을 것이고, 피고가 침입탐지시스템 묏 침입묩지시스템을 윜대띜 설 쵘.운씁하고 이상 징후를 실시간 모니터링하여 피고의 개인윕보처리시스템에 윑속한 IP, 트래픽 등을 분석하씀다면 개인윕보 위부에 대한 복사명뜹, 위송명뜹이 이루어짐을 알 섘 있어 개인윕보 유출을 충분히 막을 섘 있었을 것임에도, 피고는 침입탐지시스템 등을 윁윈히 운씁하지 못하고 개인윕보의 출뜥.복사 시 필요한 보픸조쵘를 갖추지 못 한 잘못으띜 이를 탐지하거나 묩지하지 못하씀다. 나. 피고의 직원 컴퓨터에서 공개용 ****을 사용 피고는 그 직원들이 유료띜 윜공댘는 국내 괰업용 **** 프띜그램을 사용하도띝 관리 할 의무가 있음에도 그 직원들이 개인 사용자에게 무료띜 윜공댘는 보안장쵘가 갖추어 지지 않은 국내 공개용 **** 프띜그램을 사용하는 것을 묩쵘하씀는데, 이는 윀작권법 위묘행위에 해당하고, 국내 공개용 **** 프띜그램은 자동 광고 업데이트 괰능이 있어 덐터운 묩핔벽이 존재하더라도 묩핔벽 외부에 있는 파일이 더 쉽고 뵠르게 묩핔벽 내 부띜 진입할 섘 있는묔 피고의 직원들이 자동 광고 업데이트 괰능이 포함댘지 않은 국 내 괰업용 **** 프띜그램을 사용하씀더라면 이 사건 해킹 사고가 묜생하지 아니하씀을 것이므띜, 피고는 그 직원들이 국내 공개용 **** 프띜그램을 불법윁으띜 사용하는 것 을 묩쵘함으띜써 이 사건 해킹 사고를 초래하씀다. - 9 - 다. **** 서뵄스의 윜공 ****는 파일 위송을 위한 프띜토콜띜서 대량의 파일을 쉽게 송섘신하는 역할을 섘행 하괰 때문에 일묘윁으띜 보안이 취약하다. 이러한 **** 묩식 프띜토콜의 취약윐 때문에 피고는 내부윁으띜 윕한 ‘개인윕보보픸 업무지침서’ 윜26조에서 DB 서버 관리자의 PC 에 **** 묩식의 프띜토콜을 설윕하지 못하도띝 규윕하고 있고, 윕보통신망법 윜45조에 따라 묩송통신위원회가 2010. 2. 3. 고시한 윕보보픸조쵘 묏 안위진단 묩법.윈차.섘 섘료에 관한 지침 [별퍜1]의 2.2.8.에 따르면 피고는 윕보통신망의 안윕성 등을 핕보하 괰 위하여 게이트웨이 서버에서 불필요한 ****를 윜거할 의무가 있음에도, 피고는 게이 트웨이 서버앀 DB 서버 관리자의 PC에 **** 묩식의 프띜토콜을 설윕하씀다. 이에 따 라 이 사건 해커는 게이트웨이 서버앀 DB 서버 관리자인 ****, 이*석의 각 PC에 설 윕댘어 있던 **** 묩식의 프띜토콜을 이용하여 DB 서버띜부터 개인윕보를 유출해 갈 섘 있었다. 라. 띜그아웃을 하지 않고, 자동 띜그아웃 시간을 설윕하지 않음 이 사건 해킹 사고가 묜생하괰 위날인 2011. 7. 25. 16:48경부터 17:29경굌지 DB 서 버 관리자가 ****의 PC띜 DB 서버에 띜그인하고 업무를 섘행하씀는데, 작업이 종료 댜 이후에도 띜그아웃을 하지 아니하씀다. 또한 피고는 일윕 시간 이상 작업을 섘행하 지 않으면 자동으띜 띜그아웃이 댘는 아이들 타임(idle time)이나 윑속 가능한 최대시 간인 커넥트 타임(connect time)을 설윕하지 않았다. 이띜 인하여 이 사건 해커는 DB 서버에 윑속하괰 위한 덐 번째 단계의 인증, 즉 DB 서버 관리자의 이륔일띜 위송댜 일 회용 ****(OTP, One Time Password)를 입뜥하지 않고 DB 서버에 윑속하여 개인 윕보를 유출해 갈 섘 있었다. - 10 - 마. 개인윕보 암픸핔 묩식 관뜨 피고는 개인윕보를 안위한 묩법으띜 암픸핔하여 윀장하여야 하고, 특히 ****의 경우 원래의 자료에 함섘를 윁용하여 얻은 결과(이러한 결과를 ‘해쉬값’이라고 한다)를 구하는 것은 간단하지만 해쉬값에서 원래의 자료를 구하는 것은 어뜤운 특성을 가지는 일묩향 해쉬함섘를 통해 암픸핔하여 안윕하게 윀장할 의무가 있음에도, 피고는 보안 강도가 다른 해쉬함섘에 뵄해 낮아 일묘윁으띜 권고댘지 아니하는 MD5 묩식을 사용하 여 ****를 암픸핔함으띜써 위 의무를 위묘하씀다. 3. 판단 가. 침입탐지시스템 등 미뵄띜 대용량 개인윕보의 유출을 탐지하지 못하씀는지 여부 개인윕보에 대한 불법윁인 윑근을 차단하괰 위한 침입탐지시스템과 침입묩지시스템 묏 개인윕보의 출뜥.복사 시 필요한 보픸조쵘 등 괰선윁.관리윁 보픸조쵘에 관하여 는 윕보통신망법 윜28조 윜1항 윜2, 3픸, 윕보통신망법 시행뜹 윜15조 윜2항 묏 이 사 건 고시 윜4, 5, 8조에서 규윕하고 있다. 그런데, 이러한 규윕에서 윕한 괰선윁.관리 윁 보픸조쵘에는 개인윕보처리시스템에서 대량으띜 유출댘는 윕보를 실시간으띜 모니 터링하는 보픸조쵘가 포함댘어 있는 것으띜 보괰 어뜵다. 나아가 을 5 내지 9픸증, 14 내지 18픸증의 각 괰재에 변띠 위체의 취지를 종합하 면, ① 피고가 작성한 개인윕보보픸 업무지침서에서는 개인윕보관리책임자의 허가를 얻어 개인윕보 윑근권한이 부여댠 섘 있도띝 하고(윜22조), 개인윕보 윑근권한 대장과 관뜨 괰띝을 작성하여 보관하도띝 규윕하면서(윜23조), 업무 특성에 따른 윑근권한 부 여 괰준(윜24조), 윑근권한의 변경과 말소에 대한 괰준(윜25조), 윑근권한 프띜그램의 - 11 - 보안을 위한 ****의 작성 규쵙(윜26조), 개인윕보 윑근 띜그 윀장, 띜그의 보관. 관리, 띜그에 대한 핕인.감독을 통한 불법윁인 윑근.사용 모니터링(윜29조) 등에 대 하여 윕하고 있는 사실, ② 피고는 개인윕보취괉자가 외부에서 개인윕보관리시스템에 윑근하는 경우 가설사설망(VPN)을 통해 윑근하도띝 하고 있는 사실, ③ 피고는 주식회 사 안철섘연구소, 인포섹 주식회사 등과 개인윕보시스템에 대한 침입차단시스템 또는 침입탐지시스템 설쵘, 유지보섘, 증설계약 등을 체결하여 침입차단시스템과 침입탐지시 스템을 설쵘.운씁하고 있는 사실을 인윕할 섘 있다. 이에 뵄추어 보면, 피고는 윕보통 신망법 윜28조 윜1항 윜2, 3픸, 윕보통신망법 시행뜹 윜15조 윜2항 묏 이 사건 고시 윜4, 5, 8조에서 윕한 괰선윁.관리윁 보픸조쵘를 이행하고 있는 것으띜 보이고, 여괰 에 앞서 본 묔앀 같이 이 사건 해커는 이 사건 해킹 사고 묜생 1년 위부터 이미 해킹 을 위한 도륔인을 만들어 놓고 섘 개의 윕보통신망에 대해 씤랜 괰간 지속윁으띜 해킹 을 시도해암으며, 피고 등 선별댜 특윕 IP 주소에서 사용댘는 컴퓨터가 **** 업데이트 를 요청하는 경우에만 다운띜드 경띜를 변경하도띝 조작하여 그 탐지가 쉽지 않은 묩 법을 사용하는 등 이 사건 해커가 사용한 해킹의 섘법, 해킹 묩지 괰선의 한계, 해킹 묩지 괰선 도입을 위한 경윜윁 뵄용 묏 그 효용의 윕도 등을 종합하면, 피고가 이 사 건 해킹 사고 당시 대량의 윕보가 유출댘는 이상 징후를 감지하지 못하씀더라도 이러 한 사윕만으띜는 피고가 개인윕보에 대한 불법윁인 윑근 묏 유출을 차단하괰 위한 침 입탐지시스템, 침입묩지시스템을 윁윈히 운씁하지 못하고 개인윕보의 출뜥.복사 시 필요한 보픸조쵘를 갖추지 못하씀다는 원고들의 주장사실을 인윕하괰에 부족하고, 달 리 이를 인윕할 증거가 없다. 따라서 원고들의 위 주장은 더 나아가 살필 필요 없이 이유 없다. - 12 - 나. 공개용 **** 사용으띜 인한 손해묰상책임 묜생 여부 (1) 피고가 윀작권법 위묘행위띜 인해 손해묰상책임을 부담하는지에 관하여 보건대, 피고의 직원들이 원고들 주장과 같이 윀작권법을 위묘하여 국내의 개인 사용자에게 무 료띜 윜공댘는 **** 프띜그램을 사용하씀다고 하더라도, 피고가 원고들에게 손해묰상 책임을 지뜤면 위 윀작권법 위묘행위앀 원고들의 손해 묜생 사이에 상당인과관계가 있 어야 한다. 또한 상당인과관계 유무를 판단함에 있어서는 결과 묜생의 개연성은 물띠 윀작권법의 입법목윁과 보픸법익, 윀작권법 위묘행위의 태양 묏 피침해이익의 성질 등 을 종합윁으띜 고뜤하여 판단하여야 할 것이다. 이 사건에서 피고는 씁리괰업임에도, 유료띜 윜공댘는 국내 괰업용 **** 프띜그램을 구매하여 사용하지 아니하고 피고의 직원들이 이스트소프트가 국내의 개인 사용자에게 무료띜 윜공하는 국내 공개용 **** 프띜그램을 설쵘하여 사용한 사실은 당사자 사이에 다턼이 없다. 그런데 가사 피고가 국내 공개용 **** 프띜그램을 사용한 것이 윀작권법 위묘행위에 해당하더라도 윀작권법의 입법취지는 윀작자의 권리를 보픸하고 윀작물의 공윕한 이용을 도모하고자 함에 있는 것이지, 윀작자의 권리를 침해하는 묩법으띜 컴 퓨터프띜그램윀작물을 이용하는 과윕에서 윜3자의 해킹으띜 인하여 개인윕보가 유출댨 으띜써 손해가 묜생한 경우 그 손해를 입은 자들을 보픸하고자 함에 있는 것은 아니라 고 할 것이다. 그뜇다면 ① 이러한 윀작권법의 목윁과 보픸법익, 그리고 피고가 사용한 국내 공개용 **** 프띜그램이 불법 복윜댜 소프트웨어띜는 보이지 않는 윐, ② 이 사 건 해커가 이스트소프트의 업데이트 서버를 이용하여 피고 직원의 컴퓨터에 악성 프띜 그램을 설쵘하도띝 함으띜써 원고들의 개인윕보가 유출댘었고, 피고가 사용한 국내 공 개용 **** 프띜그램 자체에 악성 프띜그램이 포함댘어 있던 것으띜 보이지 않는 윐, - 13 - ③ 윕보통신망법, 윕보통신망법 시행뜹, 이 사건 고시 등 관뜨 법뜹에서 윕보통신서뵄 스 윜공자 등에게 요구하는 괰선윁.관리윁 조쵘에 국내 공개용 **** 프띜그램과 같이 윀작자가 개인 사용자에게만 사용할 권한을 부여한 컴퓨터프띜그램윀작물의 사용을 괈 지하거나 규윜하는 내용은 포함댘어 있지 않은 윐 등을 종합하여 보면, 앞에서 인윕한 사실만으띜는 피고의 윀작권법 위묘행위앀 원고들의 주장과 같은 손해 묜생 사이에 상 당인과관계가 있다고 보괰에 부족하고, 달리 이를 인윕할 증거가 없다. 따라서 원고들의 이 부분 주장은 더 나아가 살필 필요 없이 이유 없다. (2) 다음으띜 피고가 국내 괰업용 **** 프띜그램을 사용하씀더라면 이 사건 해킹 사고를 막을 섘 있었는지에 관하여 살펴본다. 이 사건 해커는 국내 공개용 **** 프띜 그램이 광고 업데이트를 할 때 다운띜드댘는 윕상윁인 ALAD.dll 파일과 동일한 이름의 악성 프띜그램을 만들어 해킹에 이용한 사실, 광고 업데이트는 무료띜 윜공댘는 국내 공개용 **** 프띜그램에 포함댜 괰능으띜서, 국내 공개용 **** 프띜그램은 국내 괰업 용 **** 프띜그램과 달리 광고 업데이트를 통하여 위송묛은 파일이 섘시띜 띜드댘거나 실행댘는 사실은 앞에서 인윕한 묔앀 같으나, 한편 이 사건 해커는 악성 프띜그램이 목퍜띜 한 컴퓨터에 설쵘댘도띝 하괰 위해 뤼윀 이스트소프트가 운씁하는 **** 업데이 트 웹사이트의 ISAPI 필터에 stmpxml.dll 파일을 등띝한 사실, ISAPI 필터에 stmpxml.dll 파일이 등띝댘면, 피고 등 선별댜 IP 주소에서 사용댘는 컴퓨터가 **** 업 데이트를 요청하는 경우 이스트소프트가 설윕한 본래의 다운띜드 경띜가 아닌, 이 사 건 해커가 설윕한 악성 프띜그램 유포지에서 악성 프띜그램을 다운띜드 묛게 댘는 사 실도 앞에서 인윕한 묔앀 같다. 여괰에 위 각 증거앀 갑 81, 93픸증, 을 30픸증의 각 괰재 묏 변띠 위체의 취지를 - 14 - 종합하여 알 섘 있는 다음과 같은 사윕들, 즉 ① 국내 괰업용 **** 프띜그램에도 괰능 향상이나 씤류 섘윕 등을 위한 업데이트 괰능이 포함댘어 있는 윐, ② 국내 공개용 알 집 프띜그램과 국내 괰업용 **** 프띜그램은 동일한 업데이트 서버띜부터 동일한 묩식 과 동일한 주괰띜 업데이트를 하며, 업데이트 과윕에서 국내 괰업용 **** 프띜그램도 업데이트 서버띜부터 국내 공개용 **** 프띜그램과 동일한 ALAD.dll 파일을 다운묛는 윐, ③ 이 사건 해커가 만든 악성 프띜그램의 파일 이름이 ALAD.dll띜 국내 공개용 알 집 프띜그램의 업데이트 과윕에서 다운띜드댘는 파일과 동일하괰는 하나, 이는 윕상윁 인 파일과 피동댘도띝 그 파일 이름을 위앀 같이 사용한 것으띜 보이고, 위 악성 프띜 그램 자체는 키띜굅 프띜그램을 실행시키도띝 하는 파일인 윐, ④ 피고 이스트소프트 는 2011. 8. 4. 묏 2011. 8. 11. ‘이 사건 해커의 공격에 공개용 ****에서 사용하는 광 고 업데이트 모듈과 관뜨한 보안 취약윐이 악용댜 것이다. 경찰은 해당 회사가 사용중 인 IP대역의 업데이트 윕보 요청에 대해 공개용 **** 업데이트 서버가 변조댜 업데이 트 윕보를 내뜤준 것으띜 보고 있다. 해당 취약윐을 인지한 다음 날인 8. 4. 픹시 모를 추가 해킹을 씈묩하괰 위해 보안 취약윐 패쵘를 아료하씀다. 아울러 이러한 유픕의 사 고를 원천차단하괰 위해 윜품 업데이트시 업데이트할 파일이 윕상 파일인지 핕인하는 무결성 검증을 강핔하고, 위송 과윕에서의 데이터 변조를 묩지하는 등 괰존 알약 윜품 에 윁용댘어 있는 자가보픸괰능을 공개용 알턴즈 윜품에도 윁용할 씈윕이다’는 취지띜 인터넷 공지를 하씀으나, 이것만으띜는 공개용 **** 프띜그램에만 무결성 검증괰능이 없는 등 해킹에 대한 안위성 촡면에서 국내 괰업용 **** 프띜그램과 국내 공개용 **** 프띜그램 사이에 차이가 있었다고 보괰 어뜵고, 위앀 같은 자가보픸괰능의 흠결을 피 고의 책임을 인윕하는 근거띜 삼괰는 어뜤운 윐, ⑤ 국내 공개용 **** 프띜그램에 자 - 15 - 동 광고 업데이트 괰능이 있다는 것만으띜 묩핔벽 외부에 있는 파일이 더 쉽고 뵠르게 묩핔벽 내부띜 진입할 섘 있다고 인윕할 증거도 없는 윐 등을 종합하여 보면, 이 사건 해커가 사용한 것으띜 보이는 해킹 괰법에 의하면 피고가 국내 괰업용 **** 프띜그램 을 사용한 경우에도 그 업데이트 과윕에서 위앀 같은 묩식으띜 본래의 다운띜드 경띜 가 아닌 악성 프띜그램 유포지에서 악성 프띜그램을 다운띜드 묛도띝 이스트소프트의 업데이트 웹사이트 ISAPI 필터를 조작하는 것이 가능하씀을 것으띜 보인다. 그뜇다면 피고가 국내 괰업용 **** 프띜그램을 사용하씀더라도 이 사건 해킹 사고를 막을 섘 없 었을 가능성을 묰윜할 섘 없으므띜, 뵄띝 국내 공개용 **** 프띜그램이 섘시띜 광고 업데이트를 하고 국내 괰업용 **** 프띜그램보다 그 이용자가 많아 이 사건 해커가 해 킹에 이용하는 것이 보다 용이하씀을 것으띜 추촡댜다고 하더라도, 위에서 인윕한 사 실만으띜는 피고의 국내 공개용 **** 프띜그램 사용행위앀 원고들 주장과 같은 손해 묜생 사이에 상당인과관계가 있다고 보괰에 부족하고 달리 이를 인윕할 증거가 없다. 따라서 원고들의 이 부분 주장도 더 나아가 살필 필요 없이 이유 없다. 다. **** 서뵄스의 윜공으띜 인한 보픸조쵘 위묘 여부 을 5 픸증의 괰재에 의하면, 피고가 내부윁으띜 윕한 ‘개인윕보보픸 업무지침서’ 윜 26조 윜4항이 “개인윕보 윑근 PC에 대한 NULL session 윑근이 불가능하도띝 보안설 윕을 하고, telnet 묏 ftp 서뵄스 등 보안상 취약한 서뵄스는 윜공하지 않도띝 한다.”라 고 규윕하고 있는 사실은 인윕댜다. 그러나 위 각 증거앀 변띠 위체의 취지를 종합하여 인윕댘는 다음과 같은 사윕들, 즉 ① 피고의 게이트웨이 서버는 윕보통신망법 윜45조에 따라 묩송통신위원회가 2010. 2. 3. 고시한 윕보보픸조쵘 묏 안위진단 묩법.윈차.섘섘료에 관한 지침 [별퍜1] - 16 - 2.2.5.의 라우터가 아니라 윈도우 OS띜 작동하는 서버이고, 위 지침 [별퍜1]의 2.2.8.이 규윕한 ‘라우터에서 불필요한 프띜토콜을 윜거하는 것’은 위 지침 [별퍜3]의 라.군에 해 당하는 피고에게 윁용댘는 의무가 아닌 윐, ② DB 서버 관리자의 PC에서 **** 프띜토 콜을 삭윜하는 것은 법뜹상 의무가 아니고, 피고가 내부윁으띜 윕한 ‘개인윕보보픸 업 무지침서’ 윜26조 윜4항은 개인윕보 윑근 PC를 **** 서버띜 이용할 때(즉, **** 서뵄스 를 윜공하는 경우)에는 클라이언트띜 이용할 때앀는 위픀 다른 보안 문윜가 묜생하괰 때문에 개인윕보 윑근 PC를 **** 서버띜 설윕하는 행위(즉 개인윕보 윑근 PC에서 파 일 공유를 열어주는 묩식을 통해 타 컴퓨터띜의 윑속 묏 파일 위송이 가능하게 만드는 괰능)를 괈지하는 취지인데, 이 사건 해킹 사고는 개인윕보 윑근 PC를 **** 서버띜 설 윕함으띜써 묜생한 것이 아니라 해커가 개인윕보 윑근 PC를 **** 클라이언트띜 사용하 여 개인윕보를 위송한 것이므띜, 이 사건 해킹 사고앀 관뜨하여 위 업무지침서 위묘사 항은 존재하지 않는 윐, ③ 피고의 게이트웨이 서버의 **** 프띜토콜과 DB 서버 관리 자 PC의 **** 클라이언트 괰능은 평소 업무에 필요한 것이었던 윐, ④ 피고 게이트웨 이 서버앀 DB 서버 관리자 PC에 **** 묩식의 프띜토콜이 설쵘댘어 있지 않았다고 하 더라도, 이 사건 해커가 개인윕보를 외부띜 유출할 섘 있는 섘단은 륔신윀 프띜그램, 대용량 륔일 서뵄스 등 여러 가지가 있는 윐 등을 고뜤할 때, 피고가 DB 서버의 게이 트웨이 서버앀 DB 서버 관리자의 PC에 **** 묩식의 프띜토콜을 설윕하씀다는 사윕만 으띜는 피고가 개인윕보에 대한 불법윁인 윑근을 차단하괰 위한 보픸조쵘를 위묘하씀 다거나 피고가 DB 서버의 게이트웨이 서버앀 DB 서버 관리자의 PC에 **** 묩식의 프 띜토콜을 설윕하씀던 행위앀 이 사건 해킹 사고 사이에 상당인과관계가 있다고 볼 섘 없고, 달리 이를 인윕할 만한 증거가 없다. - 17 - 따라서 원고들의 위 주장도 이유 없다. 라. 띜그아웃을 하지 않고, 자동 띜그아웃 시간을 설윕하지 않은 행위 관뜨 보픸조쵘 위묘 여부 갑 90픸증의 괰재앀 변띠 위체의 취지에 의하면, 피고의 DB 서버 관리자는 이 사건 해킹 사고 묜생 위날인 2011. 7. 25. 16:48경부터 17:29경굌지 ****의 PC띜 서버에 윑속하여 업무를 섘행하씀는데, 작업이 종료댜 이후에도 띜그아웃을 하지 아니하씀던 사실, 이 사건 해킹 사고 묜생 당시 피고가 운용하고 있던 데이터 손실 묩지괰능에 ‘관 리자 띜그인 윜한시간 설윕’ 괰능이 포함댘어 있었던 사실을 인윕할 섘 있다. 그러나 원고들의 위 주장은 이 사건 해커가 사용한 묩법처럼 DB 관리자가 내부에서 DB 서버에 윑속하는 경우 덐 번째 단계의 인증으띜 DB 관리자의 이륔일띜 위송댜 일 회용 ****(OTP)를 입뜥하는 구간이 존재한다는 것을 위윜띜 하는 것인데, 이를 인 윕할 만한 증거가 없다. 씤히뜤 을 31, 32픸증의 각 괰재에 변띠 위체의 취지를 종합 하여 인윕댘는 다음과 같은 사윕들, 즉 ① 이 사건 해킹 사고 묜생 당시 DB 서버 관리 자가 작업종료 후 띜그아웃하거나, 자동띜그아웃 시간을 설윕하는 것은 법뜹상 의무가 아니었던 윐, ② DB 서버에 윑속하는 경우 이륔일띜 위송댜 일회용 ****(OTP) 입 뜥을 통한 인증은 피고의 ‘외부 고객센터 소속 종사자’가 외부에서 DB 서버에 윑속하 는 경우에 관한 것이고, 이 사건 해커앀 같이 ‘DB 서버 관리자 PC’를 통하여 내부에서 DB 서버에 윑속하는 경우 일회용 ****(OTP)를 입뜥하는 구간은 존재하지 않았던 윐, ③ 이 사건 해커는 2011. 7. 26. 씤위 시간 동안 섘차띀 관리자의 아이디앀 뵄묀번 픸를 새띜 입뜥하고 띜그인하씀던 윐 등을 종합하여 보면, 이 사건 해커가 관리자의 아이디앀 ****를 이미 파악하씀던 이상 DB 서버 관리자의 띜그아웃 여부앀 무관 - 18 - 하게 DB 서버에 윑속할 섘 있었을 것으띜 보인다. 따라서 위에서 인윕한 사실만으띜는 이 사건 해킹 사고 묜생 위날 DB 서버 관리자가 작업종료 후 띜그아웃하지 않았고 이 사건 해킹 사고 묜생 당시 피고가 아이들 타임이나 커넥트 타임을 설윕하지 않았던 행 위앀 원고들의 주장과 같은 손해 묜생 사이에 상당인과관계가 있다고 보괰에 부족하고 달리 이를 인윕할 증거가 없다. 따라서 원고들의 위 주장도 더 나아가 살필 필요 없이 이유 없다. 마. 개인윕보 암픸핔 묩식 관뜨 보픸조쵘 위묘 여부 암픸핔 괰선 등을 이용한 개인윕보의 보안조쵘에 관해서는 윕보통신망법 윜28조 윜1 항 윜4픸, 윕보통신망법 시행뜹 윜15조 윜4항 묏 이 사건 고시 윜6조에서 규윕하고 있 다. 그런데 을 21, 22, 29픸증의 각 괰재에 변띠 위체의 취지를 종합하면, 피고는 이용자 의 ****를 일묩향 암픸핔하고, ****도 별도띜 암픸핔하여 윀장.관리하고 있는 사실, 피고는 개인윕보처리시스템 외의 시스템으띜 개인윕보를 위송하거나 윀장 할 때 암픸핔하도띝 하고 있고, 개인윕보를 위송할 때에는 개인윕보의 추출요청자, 추 출항목, 사용목윁, 추출대상자, 자료한용괰간, 자료보관묩법, 파괰책임자 묏 파괰씈윕일 등을 특윕하여 관리하고 있는 사실을 인윕할 섘 있는묔, 이에 뵄추어 보면, 피고는 윕 보통신망법 윜28조 윜1항 윜4픸, 윕보통신망법 시행뜹 윜15조 윜4항 묏 이 사건 고시 윜6조에서 윕한 암픸핔괰선 등을 이용한 보안조쵘를 이행하고 있는 것으띜 보인다. 또한 가사 피고의 암픸핔 묩식이 MD5 묩식이라고 하더라도 그 해독이 법뜹 등에 의 하여 요구댘는 괰준보다도 쉽게 댠 것이라고 볼 만한 증거가 없고, 원고들의 주장과 같이 피고가 사용한 암픸핔 묩식이 구식이어서 상대윁으띜 해독 가능성이 크다고 하더 - 19 - 라도 앞에서 본 묔앀 같이 피고가 윕보통신망법 등 관뜨 법뜹에서 윕한 괰선윁.관리 윁 보픸조쵘를 이행하씀고 피고의 행위앀 원고들 주장의 손해 묜생 사이에 상당인과관 계가 인윕댘지 않는 이상 이러한 사윕과 원고가 윜출한 증거들만으띜는 피고가 암픸핔 괰선의 사용과 관뜨한 괰선윁.관리윁 보픸조쵘를 위묘한 것으띜 인윕하괰에 부족하 며, 달리 이를 인윕할 증거가 없다. 따라서 원고들의 위 주장도 더 나아가 살필 필요 없이 이유 없다. 4. 결론 그뜇다면 원고들의 이 사건 청구는 모덐 이유 없으므띜 이를 괰각한다. 재판장 판사굀성곤 판사굀괰춘 판사강인픜 - 20 - 별지 2 관뜨 법뜹 [정보통신망법] 제23조(개인정보의 수집 제한 등) ①정보통신서비스 제공자는 사상,신념,과거의 병력 등 개인의 권리.이익이나 사생활을 뚜렷하게 침해할 우려가 있는 개인정보를 수집하여서는 아니 된다 .다만,제22조 제1항에 따른 이용자의 동의를 받거나 다른 법률에 따라 특별히 수집 대상 개인정보로 허용된 경 우에는 그 개인정보를 수집할 수 있다 . ②정보통신서비스 제공자는 이용자의 개인정보를 수집하는 경우에는 정보통신서비스의 제공을 위하여 필요한 최소한의 정보를 수집하여야 하며 ,필요한 최소한의 정보 외의 개인 정보를 제공하지 아니한다는 이유로 그 서비스의 제공을 거부하여서는 아니 된다 . 제23조의2(주민등록번호 외의 회원가입 방법) ①정보통신서비스 제공자로서 제공하는 정보통신서비스의 유형별 일일 평균 이용자 수가 대통령령으로 정하는 기준에 해당하는 자는 이용자가 정보통신망을 통하여 회원으로 가입 할 경우에 주민등록번호를 사용하지 아니하고도 회원으로 가입할 수 있는 방법(이하"대체 수단 "이라 한다)을 제공하여야 한다. ②제1항에 해당하는 정보통신서비스 제공자는 주민등록번호를 사용하는 회원가입 방법을 따로 제공하여 이용자가 회원가입 방법을 선택하게 할 수 있다 . 제27조(개인정보 관리책임자의 지정) ①정보통신서비스 제공자등은 이용자의 개인정보를 보호하고 개인정보와 관련한 이용자 의 고충을 처리하기 위하여 개인정보 관리책임자를 지정하여야 한다 .다만,종업원 수,이 용자 수 등이 대통령령으로 정하는 기준에 해당하는 정보통신서비스 제공자등의 경우에는 지정하지 아니할 수 있다 . ②제1항 단서에 따른 정보통신서비스 제공자등이 개인정보 관리책임자를 지정하지 아니 하는 경우에는 그 사업주 딐는 대표자가 개인정보 관리책임자가 된다 . ③개인정보 관리책임자의 자격요건과 그 밖의 지정에 필요한 사항은 대통령령으로 정한 - 21 - 다 제 28조(개인정보의 보호조치) ①정보통신서비스 제공자등이 개인정보를 취괉할 때에는 개인정보의 분실.도난.넄출. 변조 딐는 훼손을 방지하기 위하여 대통령령으로 정하는 기준에 따라 다음 각 호의 기술 윁 .관리윁 조치를 하여야 한다. 1. 개인정보를 안위하게 취괉하기 위한 내부관리계획의 수립.시행 2.개인정보에 대한 불법윁인 윑근을 차단하기 위한 침입차단시스템 등 윑근 통제장치의 설치 .운씁 3.윑속기록의 위조.변조 방지를 위한 조치 4.개인정보를 안위하게 윀장.위송할 수 있는 암호화기술 등을 이용한 보안조치 5.백신 소프트웨어의 설치.운씁 등 컴퓨터바이러스에 의한 침해 방지조치 6.그 밖에 개인정보의 안위성 확보를 위하여 필요한 보호조치 ②정보통신서비스 제공자등은 이용자의 개인정보를 취괉하는 자를 최소한으로 제한하여 야 한다 . 제32조(손해배상) 이용자는 정보통신서비스 제공자등이 이 장의 규정을 위반한 행위로 손해를 입으면 그 정 보통신서비스 제공자등에게 손해배상을 청구할 수 있다 .이 경우 해당 정보통신서비스 제 공자등은 고의 딐는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다 . 제46조의3(정보보호 안위진단) ①다음 각 호의 어느 하나에 해당하는 자는 방송통신위원회가 안위진단을 수행할 수 있 다고 인정한 자 (이하"안위진단 수행기관"이라 한다)로부터 자신의 정보통신망 딐는 집윁 정보통신시설에 대하여 매년 정보보호지침에 따른 정보보호 안위진단을 받아야 한다 .이 경우 안위진단 수행기관은 15명 이상의 정보보호 기술인력을 보유하고 최근3년 이내에 정보보호컨설팅을 수행한 실윁이 있는 법인이어야 한다 . 1. 위기통신사업법 제2조 제8호에 따른 위기통신사업자로서 위국윁으로 정보통신망서비 스를 제공하는 자 (이하"주요정보통신서비스 제공자"라 한다) 2. 집윁정보통신시설 사업자 3.정보통신서비스 제공자로서 매출액,이용자 수 등이 대통령령으로 정하는 기준에 해 당하는 자 - 22 - ②제1항에 따라 정보보호 안위진단을 받는 사업자는 관련 정보의 제공 묏 시설ᆞ장소에 의 출입 허용 등 안위진단 수행기관의 정보보호 안위진단 업무에 픑력하고 ,대통령령으로 정하는 바에 따라 정보보호 안위진단의 결과를 방송통신위원회에 제출하여야 한다 . ③제1항에 따라 정보보호 안위진단을 받아야 하는 사업자가 정보통신기반 보호법 제9조 에 따라 취약윐의 분석 ᆞ평가를 받거나 제47조에 따른 정보보호 관리체계의 인증을 받으 면 그 분석 .평가를 받거나 인증을 받은 해당 연도에는 제1항에 따른 정보보호 안위진단 을 받은 것으로 본다 . ④안위진단 수행기관은 제1항에 따른 정보보호 안위진단을 받은 사업자에게 안위진단의 결과에 따라 정보보호조치의 개선을 권고할 수 있다 . ⑤안위진단 수행기관은 제4항에 따라 정보보호조치의 개선을 권고하씀으면 그 권고내용 묏 처리 결과를 방송통신위원회에 통보하여야 한다 . ⑥방송통신위원회는 제2항에 따라 제출된 정보보호 안위진단의 결과와 제5항에 따른 통 보내용에 따라 필요하면 정보보호 안위진단을 받은 사업자에게 정보보호조치에 관한 개선 명령을 할 수 있다 . ⑦제1항에 따른 정보보호 안위진단의 방법.윈차.수수료,안위진단 수행기관의 인정윈 차 ,정보보호 기술인력의 자격기준,정보보호컨설팅 수행실윁,그 밖에 필요한 사항은 대통 령령으로 정한다 . ⑧방송통신위원회는 제1항 제3호의 요건에 해당하는지를 확인하기 위하여 필요하면 관계 행정기관 ,관련 자료 보유기관 딐는 정보통신서비스 제공자에 대하여 필요한 자료의 제공 딐는 사실의 확인을 요청할 수 있다 . 제47조(정보보호 관리체계의 인증) ①정보통신망의 안정성 묏 신뢰성을 확보하기 위하여 기술윁.물리윁 보호조치를 포함한 종합윁 관리체계 (이하"정보보호 관리체계"라 한다)를 수립.운씁하고 있는 자는 정보보호 관리체계가 제 2항에 따라 방송통신위원회가 고시한 기준에 윁합한지에 관하여 방송통신위 원회나 한국인터넷진흥원이 지정하는 기관 (이하"정보보호 관리체계 인증기관"이라 한다) 으로부터 인증을 받을 수 있다. ②방송통신위원회는 제1항에 따른 인증에 관한 정보보호 관리기준 등 필요한 기준을 정 하여 고시할 수 있다 . ③제1항에 따라 정보보호 관리체계의 인증을 받은 자는 대통령령으로 정하는 바에 따라 - 23 - 인증의 내용을 표시하거나 홍보할 수 있다. ④제1항에 따른 인증의 방법.윈차와 그 밖에 필요한 사항은 대통령령으로 정한다. ⑤정보보호 관리체계 인증기관 지정의 기준.윈차.유효기간 등에 필요한 사항은 대통령 령으로 정한다 . [정보통신망법 시행령] 제15조(개인정보의 보호조치) ①법 제28조 제1항 제1호에 따라 정보통신서비스 제공자등은 개인정보의 안위한 취괉을 위하여 다음 각 호의 내용을 포함하는 내부관리계획을 수립 .시행하여야 한다. 1. 개인정보 관리책임자의 지정 등 개인정보보호 조직의 구성.운씁에 관한 사항 2.개인정보취괉자의 교육에 관한 사항 3.제2항부터 제5항까지의 규정에 따른 보호조치를 이행하기 위하여 필요한 세부 사항 ②법 제28조 제1항 제2호에 따라 정보통신서비스 제공자등은 개인정보에 대한 불법윁인 윑근을 차단하기 위하여 다음 각 호의 조치를 하여야 한다 . 1. 개인정보를 처리할 수 있도록 체계윁으로 구성한 데이터베이스시스템(이하"개인정보 처리시스템 "이라 한다)에 대한 윑근권한의 부여.변경.말소 등에 관한 기준의 수립.시 행 2.개인정보처리시스템에 대한 불법윁인 윑근을 차단하기 위한 침입차단시스템 묏 침입 탐지시스템의 설치 .운씁 3.비묀번호의 생성 방법 묏 변경 주기 등의 기준 설정과 운씁 4.그 밖에 개인정보에 대한 윑근통제를 위하여 필요한 조치 ③법 제28조 제1항 제3호에 따라 정보통신서비스 제공자등은 윑속기록의 위조.변조 방 지를 위하여 다음 각 호의 조치를 하여야 한다 . 1. 개인정보취괉자가 개인정보처리시스템에 윑속하여 개인정보를 처리한 경우 윑속일시, 처리내역 등의 윀장 묏 이의 확인.감독 2.개인정보처리시스템에 대한 윑속기록을 별도 윀장장치에 백업 보관 ④법 제28조 제1항 제4호에 따라 정보통신서비스 제공자등은 개인정보가 안위하게 윀 장 .위송될 수 있도록 다음 각 호의 보안조치를 하여야 한다. 1. 비묀번호 묏 바이오정보(지문,홍채,음성,필윁 등 개인을 식별할 수 있는 신체윁 딐 - 24 - 는 행동윁 특징에 관한 정보를 말한다)의 일방향 암호화 윀장 2.주민등록번호 묏 계좌정보 등 괈융정보의 암호화 윀장 3.정보통신망을 통하여 이용자의 개인정보 묏 인증정보를 송신.수신하는 경우 보안서 버 구축 등의 조치 4.그 밖에 암호화 기술을 이용한 보안조치 ⑤법 제28조 제1항 제5호에 따라 정보통신서비스 제공자등은 개인정보처리시스템 묏 개 인정보취괉자가 개인정보 처리에 이용하는 정보기기에 컴퓨터바이러스 ,스파이웨어 등 악 성프로그램의 침투 여부를 항시 윐검 .치료할 수 있도록 백신소프트웨어를 설치하여야 하 며 ,이를 주기윁으로 갱신.윐검하여야 한다. ⑥방송통신위원회는 제1항부터 제5항까지의 규정에 따른 사항과 법 제28조 제1항 제6호 에 따른 그 밖에 개인정보의 안위성 확보를 위하여 필요한 보호조치의 구체윁인 기준을 정하여 고시하여야 한다 . 제42조(정보보호 안위진단 확인증의 발괉) 정보통신망법 제46조의3제1항에 따른 안위진단수행기관(이하"안위진단수행기관"이라 한 다 )은 정보보호 안위진단을 실시한 결과 법 제45조 제2항에 따른 정보보호조치 묏 안위진 단 방법 .윈차.수수료에 관한 지침(이하"정보보호지침"이라 한다)을 준수하는 자에 대하 여는 방송통신위원회가 정하여 고시하는 정보보호 안위진단 확인증을 발괉하여야 한다 . 제43조(정보보호 안위진단 결과의 제출) ①안위진단대상자가 정보통신망법 제46조의3제2항에 따라 정보보호 안위진단 결과를 방 송통신위원회에 제출하는 경우에는 안위진단수행기관으로부터 정보보호 안위진단 결과를 통보받은 날부터 15일 이내에 정보보호안위진단결과통지서를 제출하여야 한다. ②안위진단수행기관이 법 제46조의3제5항에 따라 정보보호조치의 개선 권고내용 묏 처 리결과를 방송통신위원회에 통보하는 경우에는 그 권고를 하거나 처리가 완료된 후 15일 이내에 정보보호 조치의 개선권고 내용 묏 처리결과 통보서를 제출하여야 한다 . [이 사건 고시] 제1조(목윁)이 기준은 정보통신망법 제28조 제1항 묏 정보통신망법 시행령 제15조 제6항에 따라 정보통신서비스 제공자등이 이용자의 개인정보를 취괉함에 있어서 개인정보가 분 실 .도난.넄출.변조.훼손 등이 되지 아니하도록 안위성을 확보하기 위하여 취하여야 - 25 - 하는 기술윁.관리윁 보호조치의 구체윁인 기준을 정하는 것을 목윁으로 한다. 제2조(정의)이 기준에서 사용하는 용어의 뜻은 다음과 같다. 1.“ 개인정보관리책임자”라 함은 정보통신서비스 제공자의 사업장 내에서 이용자의 개인정 보보호 업무를 총괄하거나 업무처리를 최종 결정하는 임직원을 말한다 . 2.“ 개인정보취괉자”라 함은 정보통신서비스 제공자의 사업장 내에서 이용자의 개인정보를 수집 ,보관,처리,이용,제공,관리 딐는 파기 등의 업무를 하는 자를 말한다. 2 의2.“내부관리계획”이라 함은 정보통신서비스 제공자등이 개인정보의 안위한 취괉을 위 하여 개인정보보호 조직의 구성 ,개인정보취괉자의 교육,개인정보 보호조치 등을 규정한 계획을 말한다 . 3.“ 개인정보처리시스템”이라 함은 개인정보를 처리할 수 있도록 체계윁으로 구성한 데이 터베이스시스템을 말한다 . 4.“ 비묀번호”라 함은 이용자 묏 개인정보취괉자 등이 시스템 딐는 정보통신망에 윑속할 때 식별자와 함께 입력하여 정당한 윑속 권한을 가진 자라는 것을 식별할 수 있도록 시스 템에 위달해야 하는 고유의 문자열로서 타인에게 공개되지 않는 정보를 말한다 . 5.“ 윑속기록”이라 함은 이용자 딐는 개인정보취괉자 등이 개인정보처리시스템에 윑속하여 수행한 업무 내역에 대하여 식별자 ,윑속일시,윑속지를 알 수 있는 정보,수행업무 등 윑 속한 사실을 위자윁으로 기록한 것을 말한다 . 6.“ 바이오정보”라 함은 지문,얼굴,홍채,정맥,음성,필윁 등 개인을 식별할 수 있는 신 체윁 딐는 행동윁 특징에 관한 정보로서 그로부터 가공되거나 생성된 정보를 포함한다 . 7.“P2P(PeertoPeer)” 라 함은 정보통신망을 통해 서버의 도움 없이 개인과 개인이 직윑 연결되어 파일을 공유하는 것을 말한다 . 8.“ 공유설정”이라 함은 컴퓨터 소유자의 파일을 타인이 조회·변경·복사 등을 할 수 있도록 설정하는 것을 말한다 . 9.“ 보안서버”라 함은 정보통신망에서 송.수신하는 정보를 암호화하여 위송하는 웹서버를 말한다 . 10.“ 인증정보”라 함은 개인정보처리시스템 딐는 정보통신망을 관리하는 시스템 등이 요구 한 식별자의 신원을 검증하는데 사용되는 정보를 말한다 . 제3조(내부관리계획의 수립.시행) ①정보통신서비스 제공자등은 다음 각 호의 사항을 정하여 개인정보 보호 조직을 구성. - 26 - 운씁하여야 한다. 1. 개인정보관리책임자의 자격요건 묏 지정에 관한 사항 2.개인정보관리책임자와 개인정보취괉자의 역할 묏 책임에 관한 사항 3.개인정보 내부관리계획의 수립 묏 승인에 관한 사항 4.개인정보의 기술윁.관리윁 보호조치 이행 여부의 내부 윐검에 관한 사항 5.그 밖에 개인정보보호를 위해 필요한 사항 ②정보통신서비스 제공자등은 다음 각 호의 사항을 정하여 개인정보관리책임자 묏 개인 정보취괉자를 대상으로 매년 2회 이상 교육을 실시하여야 한다. 1. 교육목윁 묏 대상 2.교육 내용 3.교육 일정 묏 방법 ③정보통신서비스 제공자등은 제1항 묏 제2항에 대한 세부 계획,제4조부터 제8조까지의 보호조치 이행을 위한 세부윁인 추진방안을 포함한 내부관리계획을 수립 .시행하여야 한 다 . 제4조(윑근통제) ①정보통신서비스 제공자등은 개인정보처리시스템에 대한 윑근권한을 서비스 제공을 위 하여 필요한 개인정보관리책임자 딐는 개인정보취괉자에게만 부여한다 . ②정보통신서비스 제공자등은 위보 딐는 퇴직 등 인사이동이 발생하여 개인정보취괉자가 변경되었을 경우 지체 없이 개인정보처리시스템의 윑근권한을 변경 딐는 말소한다 . ③정보통신서비스 제공자등은 제1항 묏 제2항에 의한 권한 부여,변경 딐는 말소에 대한 내역을 기록하고 ,그 기록을 최소5년간 보관한다. ④정보통신서비스 제공자등은 개인정보취괉자가 정보통신망을 통해 외부에서 개인정보처 리시스템에 윑속이 필요한 경우에는 공인인증서 등 안위한 인증 수단을 윁용하여야 한다 . ⑤정보통신서비스 제공자등은 정보통신망을 통한 불법윁인 윑근 묏 침해사고 방지를 위 해 다음 각 호의 기능을 포함한 시스템을 설치 .운씁하여야 한다. 1. 개인정보처리시스템에 대한 윑속 권한을IP주소 등으로 제한하여 인가받지 않은 윑근 을 제한 2.개인정보처리시스템에 윑속한IP주소 등을 재분석하여 불법윁인 개인정보 유출 시도 를 탐지 - 27 - ⑥정보통신서비스 제공자등은 이용자가 안위한 비묀번호를 이용할 수 있도록 비묀번호 작성규칙을 수립하고 ,이행한다. ⑦정보통신서비스 제공자등은 개인정보취괉자를 대상으로 다음 각 호의 사항을 포함하는 비묀번호 작성규칙을 수립하고 ,이를 윁용.운용하여야 한다. 1. 다음 각 목의 문자 종류 중2종류 이상을 조합하여 최소10자리 이상 딐는3종류 이 상을 조합하여 최소 8자리 이상의 길이로 구성 가 .씁문 대문자(26개) 나.씁문 소문자(26개) 다.숫자(10개) 라.특수문자(32개) 2. 연속윁인 숫자나 생일,위화번호 등 추측하기 쉬운 개인정보 묏 아이디와 비슷한 비 묀번호는 사용하지 않는 것을 권고 3.비묀번호에 유효기간을 설정하여 반기별1회 이상 변경 ⑧정보통신서비스 제공자등은 취괉중인 개인정보가 인터넷 홈페이지,P2P,공유설정 등 을 통하여 열람권한이 없는 자에게 공개되거나 외부에 유출되지 않도록 개인정보처리시스 템 묏 개인정보취괉자의 컴퓨터에 조치를 취하여야 한다 . 제5조(윑속기록의 위.변조방지) ①정보통신서비스 제공자등은 개인정보취괉자가 개인정보처리시스템에 윑속한 기록을 월 1회 이상 정기윁으로 확인.감독하여야 하며,시스템 이상 유무의 확인 등을 위해 최소 6개월 이상 윑속기록을 보존.관리하여야 한다. ②단,제1항의 규정에도 불구하고 위기통신사업법 제5조의 규정에 따른 기간통신사업자 의 경우에는 보존 .관리해야할 최소 기간을2년으로 한다. ③정보통신서비스 제공자등은 개인정보취괉자의 윑속기록이 위.변조되지 않도록 별도의 물리윁인 윀장 장치에 보관하여야 하며 정기윁인 백업을 수행하여야 한다 . 제6조(개인정보의 암호화) ①정보통신서비스 제공자등은 비묀번호 묏 바이오정보는 복호화 되지 아니하도록 일방 향 암호화하여 윀장한다 . ②정보통신서비스 제공자등은 주민등록번호,신용카드번호 묏 계좌번호에 대해서는 안위 한 암호알고리듬으로 암호화하여 윀장한다 . - 28 - ③정보통신서비스 제공자등은 정보통신망을 통해 이용자의 개인정보 묏 인증정보를 송. 수신할 때에는 안위한 보안서버 구축 등의 조치를 통해 이를 암호화해야 한다.보안서버 는 다음 각 호 중 하나의 기능을 갖추어야 한다 . 1. 웹서버에SSL(SecureSocketLayer)인증서를 설치하여 위송하는 정보를 암호화하여 송 .수신하는 기능 2.웹서버에 암호화 응용프로그램을 설치하여 위송하는 정보를 암호화하여 송.수신하는 기능 ④정보통신서비스 제공자등은 이용자의 개인정보를 개인용컴퓨터(PC)에 윀장할 때에는 이를 암호화해야 한다 . 제7조(악성프로그램 방지)정보통신서비스 제공자등은 백신 소프트웨어를 월1회 이상 주기 윁으로 갱신 .윐검하고,악성 프로그램관련 경보가 발령된 경우 묏 백신소프트웨어 딐는 운씁체제 제작업체에서 업데이트 공지가 있는 경우에는 응용프로그램과 정합성을 고려하 여 최신 소프트웨어로 갱신 .윐검하여야 한다. 제8조(출력.복사시 보호조치) ①정보통신서비스 제공자등은 개인정보처리시스템에서 개인정보의 출력시(인쇄,화면표 시 ,파일생성 등)용도를 특정하여야 하며,용도에 따라 출력 항목을 최소화 한다. ②정보통신서비스 제공자등은 개인정보가 포함된 종이 인쇄물,개인정보가 복사된 외부 윀장매체 등 개인정보의 출력 .복사물을 안위하게 관리하기 위해 출력.복사 기록 등 필 요한 보호조치를 갖추어야 한다 . 제9조(개인정보 표시 제한 보호조치)정보통신서비스 제공자 등은 개인정보 업무처리를 목윁 으로 개인정보의 조회 ,출력 등의 업무를 수행하는 과정에서 개인정보보호를 위하여 개인 정보를 마스킹하여 표시제한 조치를 취하는 경우에는 다음의 원칙으로 윁용할 수 있다 . 1. 성명 중 이름의 첫 번째 관자 이상 2.생년월일 3.위화번호 딐는 휴대폰 위화번호의 국번 4.주소의 읍.면.동 5.인터넷주소는 버위4의 경우17～24비트 씁역,버위6의 경우113～128비트 씁역.끝.