"기본 보안 외면한 기업·의료기관, 개인정보 대재앙 초래"

2026년 상반기 대형 침해사고가 연쇄 발생하면서 국내 기업과 의료기관의 개인정보보호 체계가 '형식적 준수 수준'에 머물러 있다는 지적이 고조되고 있다. LG유플러스의 은폐 의혹과 전국 대학병원의 동시다발 랜섬웨어 공격은 단순한 기술적 결함을 넘어 조직문화 차원의 위기를 드러내고 있다.

사례 1: LG유플러스·대학병원, DMZ 분리 원칙 무너지다

LG유플러스의 2026년 침해사고 은폐 의혹은 업계에 경종을 울렸다. 외부망과 내부망의 경계를 명확히 하는 DMZ(Demilitarized Zone) 분리가 부실했던 것으로 파악되었다. 개인정보보호법에서 요구하는 기본 기술적 조치인 네트워크 격리를 미흡하게 운영하다가 공격 범위를 확대시킨 것이다.

동시기 전국 15개 대학병원을 노린 랜섬웨어 공격 사태는 의료기관의 보안 인프라 격차를 여실히 드러냈다. 의료진의 PC 접근 통제 미흡, 원격 접근 도구(RDP)의 무분별한 노출, 백업 시스템의 중앙화 등 기본 원칙 위반이 공통 원인이었다. 특히 환자 생명정보라는 초민감정보를 다루면서도 '응급상황 대응'을 이유로 기술적 보안을 후순위에 둔 점이 지적되고 있다.

사례 2: 듀오 42만명 정보유출, "직원 PC부터 막아야"

2025년 1월 결혼정보회사 듀오의 침해사고는 또 다른 취약점을 노출했다. 42만7464명의 소득정보, 학력, 직업, 재산 등 민감정보가 직원 PC 해킹을 통해 유출된 것이다.

문제는 침투 경로의 '낮음'에 있다. 직원 개인용 PC는 기업 보안 체계에서 흔히 사각지대로 취급된다. 듀오의 경우 개인정보 접근권한을 갖춘 직원 PC에 대한 엔드포인트 보안(EDR), 다요소인증(MFA), 암호화 같은 기본 조치가 부실했던 것으로 드러났다. 개인정보보호위원회는 과징금 부과 및 검찰 고발 조치를 진행 중이며, 이는 단순 관리감독 부실을 넘어 '체계적 보호 태만'으로 평가하고 있다.

공통 패턴: "규정은 있는데, 실행은 없다"

두 사건의 공통분모는 투명성과 실행의 괴리다.

첫째, LG유플러스의 은폐 의혹은 침해사고 자체보다 공개 의무를 위반한 점에서 더 심각하다. 개인정보보호법 제34조 제1항은 침해 사실을 지체 없이 공개하도록 규정하는데, 이를 무시하면 신뢰 재구축이 불가능해진다.

둘째, 의료기관과 결혼정보회사 모두 "비용 대비 편의성"을 선택했다. 복잡한 네트워크 격리, 접근 제어, 암호화 비용보다 빠른 업무 처리를 우선시했다는 뜻이다. 이는 최고경영층의 개인정보보호 리더십 부족을 의미한다.

셋째, 사후 점검·감시 체계 미흡이다. 침해 영지사항 발생 전까지 보안 감사나 침투 테스트를 형식적으로 진행했을 가능성이 크다.

기업·기관의 필수 대응방안

① 기술적 조치의 우선순위 재정렬
- DMZ 분리, 네트워크 격리 재점검 (필수)
- 직원 PC 기반 침해 차단: 엔드포인트 탐지 대응(EDR) 도입
- 민감정보 암호화 (개인정보보호법 제26조)

② 접근 제어 체계화
- 최소 권한 원칙(Principle of Least Privilege) 실시
- 다요소인증(MFA) 의무화 (특히 원격 접근)
- 관리자 계정 별도 관리

③ 투명성 강화
- 침해사고 즉시 신고 체계 구축
- 정기적 모의 훈련 및 보안 감사
- 최고경영층 보고 의무화

④ 조직문화 개선
- 개인정보보호 담당자 독립성 보장
- 보안 정책 변경 시 임직원 교육 (의무)
- 침해사고 신고자 보호 규정 마련

결론

2026년 침해사고 사태는 '규정 개선'이 아니라 '기본 원칙 실행'을 촉구하고 있다. 개인정보보호법과 정보보안 기준(ISMS)은 충분히 마련되어 있다. 문제는 이를 성가신 규제가 아닌 기업 신뢰의 기초로 인식하고 투자하려는 의지의 부족이다.

앞으로 개인정보보호위원회의 처분 기준은 더욱 강화될 것으로 예상된다. 과징금뿐 아니라 대표이사 처벌, 기업 평판 손상까지 따를 수밖에 없다. 이제 선택이 아닌 생존의 문제다.

---

📌 CPPG·ISMS-P 시험 연계 포인트

[개인정보보호 관리체계-기술적 조치]