英 범죄기록청 ACRO, 2년간 3차례 침해사고 인식 실패로 ICO 견책…모니터링 체계 부재 드러나

핵심 요약

- 영국 범죄기록청(ACRO)이 2024~2026년 2년간 3차례 개인정보 침해사고 발생했으나 조직 스스로 전혀 인식하지 못함 - 영국 정보보호감독기구(ICO)가 침해사고 탐지·모니터링 체계 부재를 지적하며 견책(reprimand) 처분 - 기술적 보호조치보다 사고 인식·대응 역량 부족이 더 심각한 취약점으로 평가됨

주요 내용

영국의 범죄기록 관리기관인 ACRO Criminal Records Office가 2026년 8월 현재 ICO로부터 중대한 견책 처분을 받았다. 2024년부터 2026년까지 약 2년간 총 3차례에 걸쳐 개인정보 침해사고가 발생했음에도 불구하고, 조직 내부에서 이를 전혀 감지하지 못했다는 점이 처분의 핵심 사유다. ACRO는 범죄기록이라는 민감정보를 다루는 공공기관임에도 불구하고 기본적인 모니터링 체계조차 갖추지 못한 것으로 드러났다.

ICO의 조사 결과, ACRO는 침해사고 발생 자체를 인식하지 못했을 뿐 아니라 사고 발생 후 적시 신고 의무도 이행하지 못했다. 영국 GDPR에 따르면 개인정보 침해사고 인지 후 72시간 이내 감독기구에 신고해야 하나, ACRO는 사고 인식 자체가 불가능한 상태였다. 이는 단순한 기술적 취약점을 넘어 조직의 개인정보 거버넌스 체계 전반에 대한 근본적 문제를 시사한다.

특히 ICO는 "기술적 보안 침해보다 침해사고를 탐지하고 대응할 수 있는 역량의 부재가 더욱 심각한 문제"라고 지적했다. 실제로 많은 조직들이 방화벽, 암호화 등 예방적 보호조치에는 투자하면서도 침입탐지시스템(IDS), 보안정보 및 이벤트 관리(SIEM), 이상징후 모니터링 등 탐지·대응 체계는 소홀히 하는 경향이 있다. ACRO 사례는 이러한 불균형이 얼마나 치명적인 결과를 초래할 수 있는지 보여준다.

이번 견책 처분과 함께 ICO는 ACRO에 재발방지 대책 수립을 명령했으며, 향후 유사 사례 발생 시 과징금 등 더 강력한 제재를 예고했다. 영국뿐 아니라 유럽 전역에서 감독기구들은 사후 대응 능력을 개인정보보호 수준의 핵심 지표로 평가하는 추세다.

전문가 시각

ISMS-P 선임심사원으로서 수많은 조직을 심사하며 목격한 가장 흔한 취약점이 바로 'ACRO 패턴'이다. 많은 기업들이 인증 취득을 위해 접근통제, 암호화, 망분리 등 '보이는' 보호조치에는 상당한 자원을 투입하지만, 로그 모니터링, 이상행위 탐지, 침해지표(IoC) 관리 등 '보이지 않는' 탐지·대응 체계는 형식적으로만 갖추는 경우가 많다. 특히 중소기업이나 공공기관에서 보안관제 인력 부족을 이유로 자동화된 모니터링 도구 도입조차 미루는 사례가 빈번하다. 그러나 ACRO 사례가 보여주듯, 침해사고는 '발생 여부'보다 '인지 여부'가 더 중요한 리스크 요인이다.

실무 조직들은 최소한 다음 세 가지를 즉시 점검해야 한다. 첫째, 주요 시스템·데이터베이스 접근 로그가 실시간 수집·분석되고 있는가? 둘째, 비정상 접근 패턴(업무시간 외 접속, 대량 다운로드 등)에 대한 자동 알림 체계가 작동하는가? 셋째, 침해사고 대응팀(CSIRT)이 구성되어 있고 정기적 모의훈련을 실시하는가? 이 세 가지 질문에 명확히 '예'라고 답할 수 없다면, 당신의 조직도 잠재적 ACRO일 수 있다.

ISMS-P 심사원 체크포인트

1. 개인정보보호 관리체계 인증기준 2.10.1 (침해사고 탐지 및 대응)
- 심사 시 단순히 침해대응 절차서 존재 여부만이 아니라, 실제 탐지 도구(IDS/IPS, SIEM, EDR 등)의 운영 현황과 담당자의 알림 확인 주기를 실증적으로 검증해야 함
- 최근 6개월간 탐지된 이상징후 이력과 이에 대한 조치 기록을 샘플링하여 실효성 확인 필요
- 개인정보보호법 제29조(안전조치의무) 시행령 제30조 제1항 제4호 '접근통제 및 접속기록 보관' 위반 소지 검토

2. ISMS-P 2.10.2 (침해사고 보고 및 후속조치)
- 72시간 내 개인정보보호위원회 신고 의무(개인정보보호법 제34조 제2항) 이행을 위한 내부 보고 체계가 실제 작동 가능한지 확인
- 침해사고 인지 기준(threshold)이 명확히 정의되어 있고, 일선 담당자가 이를 숙지하고 있는지 인터뷰로 검증
- 침해사고 대응 모의훈련 기록과 개선사항 반영 여부를 연간 최소 1회 이상 확인

3. ISMS-P 2.5.3 (로그 및 접속기록 관리)
- 개인정보 처리시스템 접근 기록이 최소 6개월(민감정보는 3년) 이상 안전하게 보관되고 있는지 확인(개인정보의 안전성 확보조치 기준 제6조)
- 로그 검토 주기가 정책으로 수립되어 있고 실제 이행 증적(로그 분석 보고서, 검토자 서명 등) 존재 여부
- 로그 위변조 방지 조치(Hash, 전자서명, Write-Once 스토리지 등) 적용 여부

CPPG·ISMS-P 연계 포인트

침해사고 신고 의무 (72시간 규칙)
개인정보보호법 제34조 제2항에 따라 개인정보처리자는 개인정보 유출 사실을 인지한 때로부터 72시간 이내(24시간이 아님) 개인정보보호위원회 또는 한국인터넷진흥원에 신고해야 한다. '인지 시점'의 정의가 중요한데, ACRO 사례처럼 탐지 체계가 없어 인지 자체가 불가능한 경우 면책되지 않으며 오히려 안전조치 의무 위반으로 가중 처벌될 수 있다. 시험에서는 신고 의무 기산점, 신고 대상 기관, 통지 대상자 범위를 정확히 구분하여 출제된다.

탐지(Detection)와 대응(Response)의 PDCA 사이클
ISMS-P는 Plan-Do-Check-Act 관리체계를 기반으로 하며, 침해사고 관리도 이 프레임워크를 따른다. 탐지는 'Check' 단계의 핵심 통제 수단이며, 대응은 'Act' 단계의 시작점이다. 많은 응시자들이 예방(Plan/Do)에만 집중하고 탐지·대응을 간과하는데, 실제 심사 및 시험에서는 사후 통제의 실효성을 더 엄격하게 평가한다. 특히 로그 보존 기간, 모니터링 주기, 대응팀 구성, 모의훈련 주기 등 정량적 기준을 정확히 암기해야 한다.