서울시 따릉이 462만 명 정보유출, 2년간 '깜깜이'…공공·민간 보안 총체적 부실

---

서울시설공단이 운영하는 공공자전거 '따릉이'에서 462만 명의 개인정보가 유출되고도 2년간 탐지조차 되지 않은 것으로 드러났다. 같은 시기 더존비즈온 ERP 시스템의 보안 취약점 방치까지 확인되면서, 공공과 민간을 아우르는 정보보호 체계의 근본적 허점이 도마에 올랐다.

---

사례 분석: 따릉이 462만 명 개인정보 유출

서울시 따릉이 서비스는 2015년 출범 이후 누적 회원 500만 명을 돌파한 대표적 공공 모빌리티 플랫폼이다. 이번에 유출된 정보는 회원 이름, 휴대전화 번호, 이용이력 등 민감한 개인정보로, 피해 규모만 462만 명에 달한다.

더욱 심각한 문제는 탐지 소요 기간이다. 해당 유출은 약 2년간 인지되지 못한 채 방치되었다. 이는 실시간 모니터링 체계의 부재, 침해사고 대응 프로세스의 형해화, 정기 보안점검의 미흡을 여실히 보여준다.

동시에 국내 ERP 시장 점유율 1위 더존비즈온의 시스템에서도 보안 취약점이 장기간 방치된 정황이 드러났다. 기업 회계·인사 정보가 집중되는 ERP 특성상 공급망 전체로 피해가 확산될 수 있어 파급력이 크다.

---

공통 패턴: '탐지 사각지대'와 책임 공백

두 사례에서 확인되는 공통점은 명확하다.

첫째, 침해사고 탐지 역량 부재다. 개인정보보호법 제34조는 유출 인지 시 72시간 내 통지를 의무화하지만, 인지 자체가 수년씩 지연되면 법 준수 이전에 피해 확산을 막을 수 없다.

둘째, 안전조치의무 위반이다. 접근통제, 암호화, 접속기록 관리 등 기술적·관리적 보호조치가 제대로 작동했다면 유출 자체를 예방하거나 조기에 탐지할 수 있었다.

셋째, 책임 분산 구조다. 공공기관은 위탁업체에, 민간기업은 협력사에 책임을 떠넘기는 구조에서 실질적 보안 투자와 점검은 후순위로 밀린다.

---

기업·기관 대응 방안

1. 상시 모니터링 체계 구축
이상징후 탐지(SIEM), 데이터 유출 방지(DLP), 사용자 행위 분석(UEBA) 등 다층 모니터링 시스템을 도입해 실시간 탐지 역량을 확보해야 한다.

2. 침해사고 대응훈련 정례화
모의 침투 테스트와 사고 대응 훈련을 분기별로 실시하고, 대응 매뉴얼을 현행화해야 한다.

3. 공급망 보안 점검 의무화
위탁업체·협력사에 대한 보안 수준 평가를 계약 필수 조건으로 명시하고, 연 1회 이상 현장 점검을 시행해야 한다.

4. ISMS-P 인증 취득 및 유지
정보보호 및 개인정보보호 관리체계 인증을 통해 제도적 점검 사이클을 확립할 필요가 있다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

개인정보보호법 제29조(안전조치의무) 및 시행령 제30조에 따른 기술적·관리적 보호조치 항목을 숙지할 것. 특히 ▲접근권한 관리 ▲접속기록 보관(최소 1년) ▲암호화 조치 ▲침해사고 대응 절차는 출제 빈도가 높다. ISMS-P 인증 기준 중 '2.9 침해사고 관리' 영역과 연계해 탐지-대응-복구-재발방지 전 주기를 이해해야 한다.

---

백남정 기자 | 개인정보보호 전문 데스크