우리은행·블로코 개인정보 유출 사고로 본 내부통제 실효성 점검 필요성

핵심 요약

- 우리은행이 2026년 금융권에서 정보보호 내부통제위원회를 가장 많이 개최했으나, 블로코 CI(고객정보) 유출 사고는 약 9개월간 지속 - 블로코는 2026년 6월 30일 유출 정황 확인 후 개인정보보호위원회에 신고하고 파일 링크 접근 차단 조치 - 내부통제위원회 개최 빈도와 실제 개인정보 보호 실효성 간 괴리 현상이 드러나며, 형식적 내부통제의 한계 노출

주요 내용

우리은행이 2026년 7월 정보보호 내부통제 점검결과를 보고받은 것으로 확인됐다. 우리은행은 2026년 금융권에서 내부통제위원회를 가장 빈번하게 개최한 것으로 알려졌으나, 역설적으로 블로코 관련 고객정보(CI) 유출 사고는 약 9개월간 지속된 것으로 드러났다. 고객정보가 외부에 노출된 시점과 이를 인지한 시점 간 상당한 시차가 발생했으며, 10월에는 개인정보 침해사고 관련 후속 조치가 이뤄진 것으로 파악된다.

블로코는 2026년 6월 30일 개인정보 유출 정황을 확인한 즉시 개인정보보호위원회에 신고 조치를 취했고, 외부로 노출된 파일 링크에 대한 접근을 차단했다고 밝혔다. 그러나 유출이 시작된 시점부터 발견까지 약 9개월이라는 공백기간 동안 고객정보가 외부에 노출돼 있었다는 점에서 모니터링 체계의 실효성에 대한 의문이 제기되고 있다.

이번 사례는 내부통제위원회의 개최 빈도가 반드시 정보보호 수준과 비례하지 않음을 보여주는 대표적 사례로 평가된다. 형식적인 보고와 점검에 그치는 내부통제가 아닌, 실시간 모니터링과 이상 징후 탐지, 신속한 대응체계를 갖춘 실질적 내부통제 체계 구축이 필요함을 시사한다.

금융권은 개인신용정보를 다루는 특성상 더욱 엄격한 개인정보 보호 의무를 지니고 있으며, 특히 CI(Connecting Information)와 같은 식별정보 유출은 2차 피해로 이어질 수 있어 각별한 주의가 요구된다. 이번 사고를 계기로 금융권 전반의 개인정보 유출 탐지 및 대응 체계에 대한 전면적 점검이 필요한 시점이다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 이번 사고는 '통제의 실행'과 '통제의 효과성' 간 괴리를 극명하게 보여준다. 내부통제위원회를 가장 많이 개최했다는 것은 형식적 요건은 충족했을 수 있으나, 9개월간 지속된 유출을 탐지하지 못했다는 것은 실질적 통제 효과성이 결여됐음을 의미한다. 특히 금융회사가 제휴사인 블로코의 개인정보 처리 현황을 충분히 감독하지 못한 점은 제3자 제공 및 위탁 관리 체계의 허점을 드러낸다.

기업은 이번 사례를 통해 다음을 재점검해야 한다. 첫째, 내부통제위원회가 단순 보고·승인 기구가 아닌 실질적 의사결정 및 점검 기구로 작동하는지 확인해야 한다. 둘째, 개인정보 유출 탐지를 위한 자동화된 모니터링 체계(DLP, 접근로그 분석, 이상행위 탐지 등)를 구축하고, 정기적으로 그 효과성을 검증해야 한다. 셋째, 특히 금융권은 제휴사·위탁업체에 대한 관리·감독 체계를 강화하고, 계약 시 명확한 보안 요구사항과 책임 범위를 명시해야 한다.

ISMS-P 심사원 체크포인트

1. ISMS-P 인증기준 2.8.2 (개인정보 처리 현황 관리)
- 제3자 제공 및 처리위탁 현황을 정확히 파악하고 있는지 점검
- 블로코와 같은 제휴사의 개인정보 처리 범위, 보유 기간, 접근 권한이 명확히 문서화되어 있는지 확인
- 제공된 개인정보의 파기 또는 반환 절차가 이행되고 있는지 검증
- 관련 법규: 개인정보보호법 제17조(개인정보의 제공), 제26조(업무위탁에 따른 개인정보의 처리 제한)

2. ISMS-P 인증기준 2.9.2 (개인정보 유출 및 훼손 방지)
- 개인정보 파일이 외부에 노출되지 않도록 접근통제, 암호화, DLP 등 기술적 보호조치 구현 여부
- 외부 링크를 통한 개인정보 파일 공유 시 접근권한 설정, 만료기한 설정, 다운로드 제한 등의 통제 여부
- 9개월간 탐지하지 못한 원인 분석: 접근로그 모니터링, 이상행위 탐지 체계의 실효성 점검
- 관련 법규: 개인정보보호법 제29조(안전조치의무), 개인정보의 안전성 확보조치 기준 제4조-제7조

3. ISMS-P 인증기준 2.11.3 (개인정보 침해사고 대응)
- 유출 정황 확인 후 개인정보보호위원회 신고 시점의 적절성(지체 없이 신고했는지)
- 정보주체에 대한 통지 이행 여부 및 2차 피해 방지 조치의 적정성
- 침해사고 원인 분석 및 재발 방지 대책 수립 여부
- 관련 법규: 개인정보보호법 제34조(개인정보 유출 통지 등), 제39조의12(과징금 부과 등)

CPPG·ISMS-P 연계 포인트

1. 개인정보 제3자 제공 및 처리위탁 관리
개인정보보호법 제17조(제3자 제공)와 제26조(처리위탁)에 따라, 개인정보처리자는 제공·위탁 사실을 정보주체에게 고지하고 동의를 받아야 하며, 수탁자에 대한 관리·감독 책임을 진다. 금융권은 신용정보법에 따른 추가 의무도 부담한다. CI와 같은 개인식별정보는 특히 엄격한 관리가 요구되며, 제공 목적 달성 후 즉시 파기 또는 반환해야 한다. 이번 사례처럼 제휴사의 개인정보 관리 소홀은 제공자인 금융회사에도 법적 책임이 귀속될 수 있다.

2. 개인정보 침해사고 대응 및 통지 의무
개인정보보호법 제34조에 따라 개인정보 유출 발생 시 지체 없이 해당 정보주체에게 통지하고, 5일 이내 개인정보보호위원회 또는 전문기관(금융권은 금융감독원 포함)에 신고해야 한다. 통지 내용에는 유출 항목, 시점, 경위, 피해 최소화 방법, 대응 조치 등이 포함되어야 한다. 9개월간 지속된 유출이 뒤늦게 발견된 경우, 탐지 체계 미흡에 대한 안전조치의무 위반(제29조)으로 과태료 또는 과징금이 부과될 수 있다.