더존 ERP 취약점·따릉이 462만 명 유출…공공·민간 보안 총체적 부실 드러나

---

기술지원 종료된 ERP 시스템 방치, 공공서비스 침해사고 2년간 미탐지—국내 개인정보보호 체계의 구조적 결함이 연쇄적으로 노출되고 있다.

---

사례 1: 더존비즈온 ERP, 기술지원 종료 후 '보안 사각지대'로

더존비즈온의 ERP 시스템이 기술지원 종료(End of Service) 이후에도 다수 중소기업에서 그대로 운영되면서 심각한 보안 취약점에 노출된 것으로 확인됐다.

더존비즈온 측은 "현재까지 실제 정보 유출 정황은 확인되지 않았다"고 해명했으나, 문제는 해당 ERP를 사용하는 국내 중소기업이 수만 곳에 달한다는 점이다. 기술지원이 종료된 소프트웨어는 신규 보안 패치가 제공되지 않아, 알려진 취약점(CVE)을 악용한 공격에 무방비 상태가 된다.

전문가들은 "ERP 시스템에는 거래처 정보, 임직원 개인정보, 급여·인사 데이터가 집약되어 있어 한 번의 침해로도 대규모 2차 피해가 발생할 수 있다"며 "중소기업의 보안 투자 여력 부족이 방치의 근본 원인"이라고 지적했다.

---

사례 2: 따릉이 462만 명 유출, 2년간 '깜깜이 운영'

더욱 충격적인 것은 서울시 공공자전거 '따릉이'에서 발생한 대규모 개인정보 유출 사고다. 이름, 연락처, 이용이력 등 462만 명의 민감 정보가 외부로 유출됐으나, 서울시는 무려 2년간 이를 탐지하지 못했다.

같은 시기 BGF네트웍스, 교원그룹, 국립중앙도서관, 영화진흥위원회 등 공공·민간 기관에서도 연쇄적으로 침해사고가 발생했다. 이는 단순히 개별 기관의 실수가 아닌, 보안 모니터링과 침해사고 대응 체계의 구조적 부재를 방증한다.

---

공통 패턴: 예방보다 사후 대응, 탐지 역량 부재

두 사례에서 드러난 공통적 문제점은 다음과 같다.

구분	더존 ERP	따릉이
핵심 원인	기술지원 종료 시스템 방치	침해사고 탐지 체계 미흡
방치 기간	장기간 (미상)	약 2년
영향 범위	중소기업 다수	시민 462만 명

첫째, 생명주기 관리 실패다. 소프트웨어나 시스템의 기술지원 종료 시점을 관리하지 않고 운영을 지속했다.

둘째, 상시 모니터링 부재다. 개인정보처리시스템에 대한 접근 로그 점검, 이상 탐지가 형식적으로만 이뤄졌다.

셋째, 침해사고 대응 훈련 미비다. 실제 사고 발생 시 신속한 탐지와 신고가 이뤄지지 않았다.

---

기업·기관 대응 방안

• 시스템 생명주기 관리 체계화: 기술지원 종료 소프트웨어 현황을 주기적으로 점검하고, 교체·업그레이드 로드맵 수립
• 실시간 로그 모니터링 강화: 개인정보처리시스템 접근 기록을 자동 분석하는 SIEM 솔루션 도입
• 침해사고 대응 모의훈련: 연 1회 이상 시나리오 기반 모의 침해 대응 훈련 실시
• ISMS-P 인증 취득 및 유지: 관리체계 수립을 통해 보안 수준을 제도적으로 담보

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

개인정보의 안전성 확보조치 기준 제8조(접속기록의 보관 및 점검)

- 개인정보처리자는 개인정보처리시스템에 대한 접속기록을 1년 이상 보관해야 하며, 월 1회 이상 점검해야 한다.

- 5만 명 이상 정보주체의 개인정보를 처리하는 경우 접속기록 보관 기간은 2년으로 연장된다.

- 따릉이 사례처럼 2년간 침해를 탐지하지 못한 것은 이 조항의 점검 의무 미이행에 해당하며, 과태료 및 시정명령의 근거가 된다.

---

개인정보보호는 사고 발생 후 수습이 아니라, 사전 예방과 상시 감시가 핵심이다. 이번 연쇄 사고를 계기로 공공·민간 모두 보안 투자와 관리체계 점검에 나서야 할 때다.

백남정 기자 | 개인정보보호 전문