건보공단·금융사 연쇄 침해사고, '내부자 관리' 공통 맹점 노출

건강보험공단과 금융·IoT 기업에서 동시다발로 터진 개인정보 대규모 유출사태의 원인이 모두 '내부자 접근권한 관리 부실'로 수렴했다. 암호화 정책 미흡과 72시간 통보 의무 위반까지 겹쳐 개인정보보호법 위반으로 과징금 처분이 불가피한 상황이다.

---

건보공단, 직원 권한 남용으로 민감정보 유출

건강보험공단에서는 내부 직원의 과도한 접근권한이 직접적인 침해 통로가 됐다. 시스템 관리 부서 직원이 진료기록, 건강검진 결과, 처방약 정보 등 국민 민감정보에 무제한 접근하도록 허용된 것이 문제의 핵심이다.

특히 우려스러운 점은 권한 사용 이력에 대한 감시 체계가 사실상 부재했다는 점이다. 비정상적인 대량 접근도 감지되지 않았고, 피해자들에게 통보한 시기도 규정의 72시간을 훨씬 초과했다. 건보공단은 사고 발생 후 1주일 이상 지난 후에야 언론을 통해 알려져, 행정조치 위반으로 추가 처분을 받게 될 것으로 예상된다.

---

금융·IoT 기업, '암호화 없는' 데이터 보관의 대가

금융사와 IoT 기업 사건의 공통점은 더욱 근본적이다. 두 기업 모두 민감정보를 암호화하지 않은 상태로 서버에 저장했다. 내부자가 접근하기만 하면 즉시 평문(Plain Text) 상태의 개인정보를 확인할 수 있는 환경이었던 셈이다.

금융사의 경우 이전 직원이 퇴직 후에도 VPN 접근권을 반환하지 않아 외부에서도 데이터에 접근 가능했다. IoT 기업은 개발·운영 인력 모두에게 동일한 DB 접근권을 부여해 역할 기반 접근제어(RBAC) 원칙을 무시했다.

---

공통 패턴: '3중 미흡' 구조

세 기관의 사건을 분석하면 다음과 같은 공통 취약점이 드러난다:

① 접근권한 관리: 최소권한 원칙(Principle of Least Privilege) 미적용. 업무 필요성을 초과하는 권한 부여

② 암호화 정책: 이동식 저장매체는 물론 서버 저장 데이터도 암호화 미흡. 개인정보보호법 제29조 '기술적·관리적 보호조치' 요건 미충족

③ 사고대응 체계: 감시·탐지 기능 부실로 초기 대응 지연, 규정 통보 기한 위반

---

기업·기관의 즉각적 대응 방안

1단계 - 접근권한 정비
- 현재 모든 직원·시스템의 접근권한을 목록화하고 정당성 검증
- 퇴직자 권한 즉시 회수 체계 구축
- 월 1회 이상 권한 감시 리포트 운영

2단계 - 암호화 의무화
- 저장 데이터 암호화(At Rest)와 전송 데이터 암호화(In Transit) 동시 적용
- 열쇠 관리(Key Management) 별도 담당자 지정

3단계 - 모니터링 고도화
- 비정상 접근 패턴 자동 탐지 시스템 도입
- 대량 데이터 다운로드 차단 기능 운영
- 사고 발생 시 24시간 내 관계자 통보 프로세스 재정립

---

규제당국의 경고 신호

개인정보보호위원회는 올해 상반기 집중 시정 대상으로 '공공기관과 금융사의 내부자 관리'를 명시했다. 건보공단은 과징금 5억 원대, 금융사는 과징금 2~3억 원대, IoT 기업은 1억 원대의 처분이 임박한 것으로 알려졌다.

더 심각한 것은 형사 고발 가능성이다. 일부 퇴직 직원들의 악의적 데이터 유출에 대해 개인정보보호법 제75조(7년 이하 징역)로 기소될 가능성도 제기되고 있다.

---

[CPPG·ISMS-P 시험 연계포인트]

>

핵심 개념: 접근제어(Access Control)와 암호화

>

CPPG 6개 영역 중 '기술적 보호조치' 항목에서 "①개인정보에 대한 접근권한의 최소화 ②저장·전송 시 암호화 ③접근 로그 기록 및 모니터링" 3가지는 필수 통제항목입니다.

>

ISMS-P 인증기준에서도 "AM(접근관리)-01 접근권한 관리" "CM(암호화)-01 저장정보 암호화" "AM-03 접근 통제 모니터링"은 Level 3(높음) 등급 통제입니다.

>

이번 사례는 세 가지 필수요소를 모두 위반한 전형적인 '적합성 평가 부적합' 케이스로, 시험 서술형 문제로 출제될 가능성이 높습니다.