### "ISMS-P도 못 막은 대형 유출"…기업들의 위기 대응 체계 붕괴

카카오, 교원그룹 등 대형 기업들이 개인정보보호 인증을 받고도 대규모 침해사고를 당했다. 특히 교원그룹은 9개월간 유출 사실을 방치해 법적 의무까지 위반했다. 기술 보안만으로는 한계, 조직 차원의 위기 대응 체계 구축이 시급하다.

---

1. ISMS-P 인증의 허점…카카오골프예약 3만4천명 개인정보 유출

카카오골프예약이 해킹으로 약 3만4천명의 개인정보를 유출시킨 사건은 기술 보안 인증의 실효성 문제를 제기한다. ISMS-P(정보보안관리체계) 인증을 받은 플랫폼에서도 침해가 발생했다는 것은 인증이 현실의 위협에 충분히 대응하지 못함을 의미한다.

더욱 문제는 골프 예약 특성상 예약자뿐 아니라 동반자 정보도 유출 대상에 포함된 점이다. 본인 동의 없이 제3자 정보가 노출된 사안으로, 개인정보보호법상 제3자 정보보호 원칙을 위반한 것이다. 카카오골프예약은 동반자들의 별도 동의 절차 없이 정보를 수집·관리했을 가능성이 높다.

이는 기업이 비즈니스 편의성 때문에 개인정보 수집 범위를 과도하게 확대하는 관행의 결과물이다.

---

2. 9개월의 침묵…교원그룹의 "조직적 유기"

더욱 심각한 사례가 교원그룹이다. 2025년 초 랜섬웨어 공격으로 개인정보가 유출되었음에도 9개월간 침해 사실을 방치했다. 개인정보보호법 제34조는 침해 통지를 "지체 없이" 하도록 명시하고 있다. 이는 기술적 한계가 아닌 내부 과실과 조직 차원의 위기 대응 체계 실패다.

교원그룹의 사례는 다음을 시사한다:
- 침해 사실 적시 파악 체계 부재
- CEO·법무팀 간 보고 및 협업 절차 미흡
- 통지 의무에 대한 조직 문화 부재
- 감시·감독 기능의 약화

이는 보안만큼 중요한 "침해 이후" 대응 프로세스의 구축이 얼마나 중요한지 보여준다.

---

3. AI 악용 공격의 대량화…2026년 상반기 연쇄 침해

2026년 상반기 신한은행, 전남대병원, 강원대병원 등 주요 기관들이 AI 기반 크리덴셜 스터핑(credential stuffing) 공격으로 수천만 건의 개인정보를 유출당했다. 이는 기존 유출 정보를 활용해 AI가 자동으로 대량 접근을 시도하는 기법이다.

같은 시기 트럼프 모바일 해킹, 한국가스안전공사 침해 등이 잇달아 발생하면서 규제 공백의 심각성이 드러났다. 기술 진화 속도를 법·제도가 따라가지 못하고 있다.

---

4. 공통 패턴: 기술 보안과 조직 체계의 이중 붕괴

세 사례의 공통점:
1. 기술 침해 대응의 한계: ISMS-P 인증도 최신 공격을 막지 못함
2. 절차적 의무 위반: 침해 통지 지연, 제3자 정보보호 미흡
3. 조직 문화 부재: CEO 차원의 위기의식 부족, 리스크 관리 체계 미비

---

5. 기업·기관의 즉시 대응 방안

기술 차원:
- 단순 인증 의존 탈피, 실제 침해 대응 시뮬레이션 강화
- AI 악용 공격 탐지 기술 도입 (비정상 접근 패턴 분석)
- 제3자 정보 수집 최소화 및 별도 보안 체계 수립

조직·제도 차원:
- CEO·보안담당자·법무팀 간 침해 대응 체크리스트 작성
- 침해 발견 시 24시간 보고 의무화
- 침해 통지 템플릿·절차 사전 준비
- 정기적 위기 대응 훈련 (분기별 이상)

규제 개선:
- AI 악용 공격에 대한 별도 기술 기준 마련
- 침해 통지 지연 위반에 대한 과징금 상향
- 제3자 정보보호 의무 강화

---

📌 CPPG·ISMS-P 시험 연계 포인트

개인정보보호 관리체계의 "사후 관리" 중요성

>

ISMS-P는 기술적 보안 통제에 중점을 두지만, 개인정보보호법 제34조 침해 통지 의무는 "조직적 프로세스"다. CPPG(기업개인정보보호관리자) 시험에서 강조하는 '침해사고 대응 계획'의 핵심은:

- 침해 탐지 → 즉시 보고 → 영향 범위 파악 → 피해자 통지의 선형 프로세스

- 단순 기술 보안 인증이 아닌 조직 차원의 거버넌스 구축

>

기업이 ISMS-P를 획득했다는 것은 기술 통제만 충족했다는 의미이며, 법적 의무 이행을 위해서는 별도의 침해 대응 체계가 필수다.

---

*기사: 백남정