개인 식별 정보(PII)와 개인 건강 정보(PHI)란?
개인 식별 정보(PII) 보호는 필수입니다. 민감한 데이터를 보호하기 위한 규정과 전략을 알아보세요.
개인 식별 정보(PII)와 개인 건강 정보(PHI)는 엄격한 보호가 필요한 중요 데이터 유형입니다. 이 가이드에서는 PII와 PHI의 정의, 사례, 법적 영향을 살펴봅니다.
데이터 침해에 따른 위험과 강력한 데이터 보호 조치의 중요성을 알아보세요. 조직이 규정을 준수하고 민감한 정보를 무단 접근으로부터 보호하려면 PII와 PHI를 이해해야 합니다.
개인 식별 정보(PII)와 개인 건강 정보(PHI) 개요
PII는 개인을 식별하는 데 사용할 수 있는 모든 정보를 말합니다. 이름, 주소, 사회보장번호, 전화번호, 이메일 주소, 금융 정보 등이 포함되며 이에 국한되지 않습니다. PII의 발전은 인터넷, 전자상거래, 온라인 커뮤니케이션 플랫폼의 확산으로 개인 정보의 디지털화가 가속화된 데서 비롯되었습니다. 오늘날 PII는 온라인 계정 생성부터 금융 거래, 소셜 미디어 프로필에 이르기까지 다양한 용도로 사용됩니다. PII에 대한 무단 접근이나 노출은 신원 도용, 사기, 사생활 침해 등 심각한 위험을 초래합니다.
반면 PHI는 민감한 건강 관련 데이터만을 다룹니다. 환자 기록, 병력, 치료 내역, 보험 정보와 개인의 건강 또는 의료 서비스. PHI는 이와 관련된 모든 데이터를 포함합니다. PHI의 발전은 전자 건강 기록(EHR)의 발달과 의료 산업의 디지털화에 밀접하게 연결되어 있습니다. 오늘날 의료 시스템에서 PHI는 의료 서비스 제공자가 효율적인 환자 중심 진료를 제공하는 데 핵심적인 역할을 합니다. 그러나 의료 신원 도용, 무단 공개, 건강 관련 정보의 오용 등 침해로 인한 피해를 고려하면 의료 서비스 제공자의 PHI 보호는 매우 중요합니다.
오늘날 PII와 PHI는 모두 사이버 보안의 주요 관심사입니다. PHI에 적용되는 미국 의료정보 보호법(HIPAA)와 PII에 적용되는 여러 데이터 보호법 등은 데이터 보안 기준을 시행하고 조직에 이러한 민감한 데이터의 보호 책임을 부과하기 위해 제정되었습니다.
개인 식별 정보(PII)와 개인 건강 정보(PHI)를 보호하는 방법
오늘날 디지털 환경에서 개인 식별 정보(PII)와 개인 건강 정보(PHI)를 보호하기 위한 규제 체계는 중요합니다. 민감한 데이터를 보호하는 기준과 요건을 정하기 때문입니다. 이러한 체계는 PII와 PHI의 기밀성, 무결성, 가용성을 보장하고 개인이 자신의 정보를 더 효과적으로 관리하도록 설계되었습니다. 이러한 데이터를 처리하는 기업에는 관련 규정이 적용되며, 규정을 준수하기 위해 다양한 조치를 시행하고 있습니다.
PII 관련 규제 체계는 다음과 같습니다:
- 반면 PHI(개인 건강 정보)는 민감한 건강 관련 데이터에만 집중합니다. 여기에는 환자 기록, 병력, 치료 세부 사항, 보험 정보 및 개인의 건강 또는
- 캘리포니아 소비자 개인정보 보호법(CCPA) – CCPA는 캘리포니아 주민의 개인정보를 수집하고 판매하는 기업에 적용되는 미국의 주 차원 규정입니다. 소비자에게 수집되는 데이터를 알 권리, 데이터 삭제를 요청할 권리, 데이터 판매를 거부할 권리를 부여합니다. 와 관련된 모든 데이터가 포함됩니다. PHI의 발전은 전자건강기록(EHR)의 진보와 의료 산업의 디지털화와 밀접하게 연결되어 있습니다. 현대 의료 시스템에서 PHI는 의료 서비스 제공자가 효율적이고 환자 중심의 치료를 제공할 수 있도록 하는 핵심적인 역할을 합니다. 그러나 의료 신원 도용, 무단 공개 또는 건강 관련 정보의 오용과 같은 침해의 잠재적 결과를 고려할 때, PHI의 보호는 의료 서비스 제공자에게 매우 중요합니다.
PHI 관련 규제 체계는 다음과 같습니다:
- 오늘날 PII와 PHI는 모두 사이버 보안 문제의 최전선에 있습니다. PHI를 위한 건강보험 이동성 및 책임법(HIPAA)과 PII를 위한 다양한 데이터 보호법과 같은 법률 및 규정이 제정되어 데이터 보안 기준을 시행하고 조직이 이러한 민감한 데이터 범주를 보호할 책임을 지도록 하고 있습니다.
- 경제 및 임상 보건을 위한 의료정보기술법(HITECH Act) – HITECH Act는 집행을 강화하고 규정 위반에 대한 처벌을 높여 HIPAA의 적용 범위를 확대했습니다. 또한 전자 건강 기록(EHR)의 도입을 촉진하고 이를 의미 있게 활용하도록 인센티브를 제공합니다.
이러한 규제 체계는 조직이 PII와 PHI를 보호하기 위해 따라야 할 지침과 요건을 정합니다. 일반적으로 다음과 같은 핵심 요소를 포함합니다:
- 동의 – GDPR은 정보 주체의 PII를 처리하기 전에 명확하고 명시적인 동의를 받도록 요구합니다. 이 원칙은 개인이 자신의 정보가 사용되는 방식을 통제할 수 있도록 합니다. 반면 HIPAA는 동의를 요구하지 않지만, 환자에게 자신의 PHI에 관한 권리를 알려야 합니다.
- 데이터 보안 – 데이터 보안은 이러한 규제 체계의 핵심 요소입니다. 조직은 PII와 PHI를 무단 접근, 공개, 변경, 파기로부터 보호하기 위해 기술적·관리적 조치를 시행해야 합니다. 여기에는 암호화, 접근 통제, 정기적인 보안 평가가 포함됩니다.
- 데이터 침해 통지 – GDPR과 HIPAA에는 모두 데이터 침해 통지 조항이 있습니다. 조직은 정해진 기간 내에 관련 당국과 영향을 받은 개인에게 데이터 침해를 신고해야 합니다. 이를 통해 개인은 침해 발생 시 필요한 예방 조치를 취할 수 있습니다.
- 개인의 권리 – GDPR은 개인에게 자신의 PII에 대한 접근권, 정정권, 삭제권 등 다양한 권리를 부여합니다. HIPAA는 환자에게 자신의 PHI에 접근하고 정정을 요청할 권리를 부여합니다.
기업의 데이터 규정 준수 방안
PII와 PHI를 취급하는 기업은 이러한 규제 체계를 준수하고 준수 상태를 유지하기 위해 다양한 조치를 시행하고 있습니다:
- PII 관련 규제 프레임워크는 다음과 같습니다:
- 접근 통제 – 강력한 접근 제어는 PII와 PHI에 접근할 수 있는 사람을 제한하는 데 필수적입니다. 역할 기반 접근 제어와 사용자 인증을 통해 승인된 사람만 데이터를 보거나 수정하도록 합니다.
- 정기 감사 및 평가 – 조직은 취약점, 약점, 규정 준수 격차를 파악하기 위해 정기적인 감사와 보안 평가를 실시합니다. 이를 통해 문제가 커지기 전에 선제적으로 대응합니다.
- 개인정보 영향평가 – GDPR은 데이터 처리 활동이 정보주체의 개인정보 보호에 미치는 영향을 평가하기 위해 개인정보 영향평가(PIA)를 실시하도록 규정합니다. 기업은 PIA를 활용해 위험을 파악하고 완화합니다.
- 데이터 보존 정책 – 데이터 보존 정책을 시행하면 PII와 PHI를 필요한 기간보다 오래 보관하지 않도록 관리할 수 있습니다. 이는 GDPR의 보관 기간 제한 원칙에 부합합니다.
- 데이터 유출 대응 계획 – 기업은 보안 사고 발생 시 취할 조치를 명시한 데이터 유출 대응 계획을 마련합니다. 규정 준수 요건을 충족하려면 신속한 대응과 통지가 필수적입니다.
- 직원 교육 – 직원 교육과 인식 제고 프로그램은 매우 중요합니다. PII와 PHI를 취급하는 직원은 데이터 보호 규정, 모범 사례, 보안 프로토콜을 숙지해야 합니다.
- 감사 추적 및 모니터링 – 강력한 감사 및 모니터링 체계는 PII와 PHI에 대한 접근과 사용을 추적합니다. 조직은 감사 기록을 통해 무단 또는 의심스러운 활동을 파악하고 규정을 준수합니다.
결론
사이버 위협이 끊임없이 진화하는 세상에서 PII와 PHI 보호는 신원 보안의 핵심입니다. 조직과 개인은 암호화, 접근 제어, 정기 감사, 직원 교육을 포함한 강력한 방어 조치를 시행해 이러한 데이터를 기밀로 유지하고 안전하게 보호해야 합니다.
PHI에 대한 규제 프레임워크는 다음과 같습니다.
- 건강보험 이동성 및 책임에 관한 법률(HIPAA) – HIPAA는 주로 PHI의 기밀성과 보안을 다룹니다. PHI 접근에 대한 엄격한 통제, 전자 PHI 암호화, 무단 접근 또는 공개로부터 보호하기 위한 안전 장치 구현을 의무화합니다.
- 경제적·임상적 건강을 위한 건강정보기술법(HITECH 법) – HITECH 법은 집행 강화 및 미준수 시 처벌 강화로 HIPAA의 적용 범위를 확대했습니다. 또한 전자건강기록(EHR) 도입을 촉진하고 의미 있는 사용을 위한 인센티브를 제공합니다.
이러한 규제 프레임워크는 조직이 PII 및 PHI를 보호하기 위해 따라야 할 지침과 요구사항을 정립합니다. 일반적으로 다음과 같은 핵심 요소를 포함합니다:
- 데이터 보호 원칙 – GDPR과 HIPAA 모두 조직이 PII 및 PHI를 책임감 있게 처리하도록 요구하는 원칙을 정의합니다. 여기에는 데이터 최소화, 목적 제한, 데이터 정확성, 저장 제한과 관련된 원칙이 포함됩니다.
- 동의 – GDPR은 개인 식별 정보(PII) 처리 전에 데이터 주체로부터 명확하고 명시적인 동의를 얻도록 의무화합니다. 이 원칙은 개인이 자신의 정보 사용 방식을 통제할 수 있도록 보장합니다. 반면 HIPAA는 동의를 요구하지 않지만, 환자에게 자신의 건강 정보(PHI)에 관한 권리에 대해 알릴 것을 요구합니다.
- 데이터 보안 – 데이터 보안은 이러한 프레임워크의 핵심 요소입니다. 조직은 PII 및 PHI를 무단 접근, 공개, 변경 또는 파괴로부터 보호하기 위해 기술적 및 조직적 조치를 구현해야 합니다. 여기에는 암호화, 접근 통제 및 정기적인 보안 평가가 포함됩니다.
- 데이터 침해 통지 – GDPR과 HIPAA 모두 데이터 침해 통지에 관한 조항을 두고 있습니다. 조직은 특정 기간 내에 관련 당국과 피해 개인에게 데이터 침해를 보고해야 합니다. 이를 통해 개인은 침해 발생 시 필요한 예방 조치를 취할 수 있습니다.
- 개인의 권리 – GDPR은 개인에게 자신의 PII에 대한 접근, 수정 및 삭제 권리를 포함한 다양한 권리를 부여합니다. HIPAA는 환자에게 자신의 PHI에 접근하고 수정을 요청할 권리를 부여합니다.
데이터 규정 준수를 위해 기업이 취하는 조치
PII 및 PHI를 처리하는 기업들은 이러한 규제 프레임워크를 준수하고 유지하기 위해 다양한 조치를 시행하고 있습니다:
- 데이터 암호화 — 기업은 저장, 전송 및 처리 과정에서 PII와 PHI를 보호하기 위해 암호화를 사용합니다. 이를 통해 무단 접근이 발생하더라도 데이터는 기밀성을 유지하고 읽을 수 없도록 보장됩니다.
- 접근 제어 – 강력한 접근 제어는 PII 및 PHI에 접근할 수 있는 대상을 제한하는 데 필수적입니다. 여기에는 역할 기반 접근 및 사용자 인증 메커니즘이 포함되어 승인된 개인만이 데이터를 조회하거나 수정할 수 있도록 보장합니다.
- 정기적인 감사 및 평가 – 조직은 취약점, 약점 또는 규정 준수 격차를 식별하기 위해 정기적인 감사 및 보안 평가를 수행합니다. 이러한 평가는 문제가 심각해지기 전에 선제적으로 해결하는 데 도움이 됩니다.
- 개인정보 영향 평가(PIA) – GDPR은 데이터 처리 활동이 데이터 주체의 개인정보에 미치는 영향을 평가하기 위해 개인정보 영향 평가(PIA)를 수행하도록 의무화합니다. 기업은 PIA를 통해 위험을 식별하고 완화합니다.
- 데이터 보존 정책 – 데이터 보존 정책을 시행하면 PII 및 PHI가 필요한 기간 이상으로 보존되지 않도록 할 수 있습니다. 이는 GDPR의 저장 제한 원칙에 부합합니다.
- 데이터 침해 대응 계획 – 기업은 보안 사고 발생 시 취해야 할 조치를 요약한 데이터 침해 대응 계획을 마련해 놓습니다. 규정 준수 요건을 충족하기 위해서는 신속한 대응과 통지가 필수적입니다.
- 직원 교육 – 직원 교육 및 인식 제고 프로그램이 매우 중요합니다. PII 및 PHI를 취급하는 직원은 데이터 보호 규정, 모범 사례 및 보안 프로토콜에 대해 잘 알고 있어야 합니다.
- 감사 추적 및 모니터링 – 강력한 감사 및 모니터링 메커니즘을 통해 PII 및 PHI의 접근 및 사용을 추적합니다. 이러한 감사 추적 기록은 조직이 무단 또는 의심스러운 활동을 식별하고 규정 준수를 유지하는 데 도움이 됩니다.
AI 기반 사이버 보안
실시간 감지, 머신 속도 대응, 전체 디지털 환경에 대한 종합적인 가시성을 통해 보안 태세를 강화하세요.
결론
사이버 위협이 지속적으로 진화하는 세상에서 개인 식별 정보(PII)와 개인 건강 정보(PHI)의 보호는 신원 보안의 핵심 요소입니다. 조직과 개인은 이러한 데이터 유형이 기밀성과 안전성을 유지하도록 암호화, 접근 통제, 정기 감사, 직원 교육 등 강력한 방어 조치를 구현해야 합니다.
"자주 묻는 질문
개인 식별 정보(PII)는 특정 개인을 식별할 수 있는 모든 데이터입니다. 한 사람을 다른 사람과 구별할 수 있는 정보가 포함되며, 단독으로 또는 다른 데이터와 결합해 개인의 신원을 추적하는 데 사용될 수 있습니다.
PII에는 사회보장번호와 이름 같은 직접 식별자뿐 아니라, 다른 정보와 결합하면 개인을 식별할 수 있는 생년월일과 성별 같은 준식별자도 포함됩니다. 조직은 법적 요건을 준수하고 데이터 유출로 인한 신원 도용, 금융 사기, 평판 손상을 방지하기 위해 PII를 보호해야 합니다.
PHI(보호 대상 건강 정보)는 의료 서비스 제공자가 생성, 수신 또는 보관하는 개인 식별 가능한 건강 정보를 말합니다. 여기에는 인구통계학적 정보, 병력, 검사 결과, 신체 및 정신 건강 상태, 의료 서비스 결제 정보가 포함됩니다.
PHI는 HIPAA 규정에 따라 보호되며 구두, 서면 또는 전자적 형태로 존재할 수 있습니다. 특정 개인과 연결될 수 있고 의료 서비스 제공 과정에서 사용되는 모든 건강 관련 데이터도 포함됩니다.
"
민감한 PII에는 사회보장번호, 여권 번호, 운전면허증 번호, 신용카드 정보, 금융 계좌 정보, 지문 같은 생체 인식 데이터가 포함됩니다. 민감하지 않은 PII에는 성명, 이메일 주소, 전화번호, 생년월일, 우편번호, 직장 정보가 포함됩니다.
민감하지 않은 데이터도 결합하면 개인을 식별할 수 있습니다 – 예를 들어 이름에 생년월일과 우편번호를 결합하면 특정인을 식별할 수 있습니다. 의료 기록, 로그인 자격 증명, 집 주소도 보호가 필요한 대표적인 PII입니다.
"
PII에는 특정인을 직접 식별하거나 다른 정보와 결합해 식별할 수 있는 모든 데이터가 포함됩니다. 개인을 단독으로 식별하는 직접 식별자와 결합 시 개인을 식별하는 준식별자가 모두 해당합니다. 이름과 사회보장번호 같은 전통적인 정보뿐 아니라 IP 주소, 소셜 미디어 게시물, 온라인 로그인 정보를 포함한 디지털 신원 정보까지 범위가 확대되었습니다.
익명화 해제 기법에 사용될 수 있는 데이터도 PII로 간주됩니다. 여러 정보를 결합해 특정 개인을 식별할 가능성이 높아질수록 민감도도 높아집니다.
"
PHI의 주요 범주 4가지는 인구통계학적 식별자(이름, 주소, 날짜), 연락처 정보(전화번호, 이메일 주소), 고유 식별자(사회보장번호, 의료 기록 번호, 계좌 번호), 기술적 식별자(IP 주소, 기기 식별자, 생체 인식 데이터)입니다. 이 범주에는 건강 정보를 개인 식별 가능하게 만드는 HIPAA의 식별자 18가지가 모두 포함됩니다.
PHI는 구두, 서면 또는 전자적 형태로 존재할 수 있으며, 의료 환경에서 사용될 때 보호해야 합니다. 각 범주에는 HIPAA 규정에 따른 구체적인 취급 및 보호 조치가 필요합니다.
"
PHI의 주요 식별자 7가지는 이름, 주소(주보다 작은 지리적 구역), 개인 관련 날짜(출생일, 입원일, 퇴원일), 전화번호, 이메일 주소, 사회보장번호, 의료 기록 번호입니다.
그 밖에도 계좌 번호, 증명서·면허 번호, 차량 식별자, 기기 식별자, 생체 인식 식별자, 사진, 개인을 식별할 수 있는 모든 고유한 특징이 포함됩니다. HIPAA 세이프 하버 규칙에 따라 비식별 데이터로 인정받으려면 식별자 18가지를 모두 제거해야 합니다. 이러한 식별자가 건강 정보와 연결되면 PHI가 되며 연방 개인정보 보호법에 따른 보호가 필요합니다.
"
다음에 대해 더 알아보기 사이버 보안
가장 진보된 사이버 보안 플랫폼을 경험해 보세요
세계에서 가장 지능적이고 자율적인 사이버 보안 플랫폼이 오늘과 미래에 귀사의 조직을 어떻게 보호할 수 있는지 확인해 보세요.
