### 보안 기본도 지키지 않는 기업들…'방어 불가능한 침해'가 일상화

개인정보보호위원회와 금융감독 당국이 적발한 최근 침해사고들을 살펴보면, 기업들이 고도화된 해킹보다 기초적인 보안 관리를 외면하고 있다는 실태가 드러났다. IP카메라 기업들의 동일 인증정보 설정부터 금융권의 외주 관리 부실까지, 예방 가능한 위험을 방치한 채 고객정보를 노출시키고 있다.

---

1. 기본마저 무너진 보안 현황

IP카메라 업계의 '복사·붙여넣기' 인증정보

개인정보보호위원회가 2025년 7월 적발한 IP카메라 운영자 175곳 사례는 경악스럽다. 여러 고객 설치 현장에 동일한 계정·패스워드를 설정해놓은 것이다. 한 고객사의 인증정보가 유출되는 순간, 175곳 전체 시설이 한 번에 침투 위험에 노출된다는 의미다. 이는 보안의 가장 기본인 '계정별 차등 관리' 원칙을 완전히 무시한 사례다.

더 충격적인 것은 금융권의 외주관리 부실이다. 2026년 상반기 신한·KB국민·하나은행 등 대형 금융기관에서 외주업체 관리 미흡으로 수십만 건의 고객정보가 연쇄 유출됐다. 기본적인 접근통제(Access Control)마저 제대로 이루어지지 않았으며, 이미 알려진 보안 취약점을 방치한 상태였다. 증권사까지 포함해 플랫폼 보안 취약점이 주요 원인으로 지목됐다.

2. 규제의 이중 잣대 문제

민간기업 vs 공공기관, 형평성 붕괴

개인정보 유출 사고 시 처벌 형평성도 문제다. 민간기업이 수천억원대 과징금을 부과받는 반면, 공공기관은 상대적으로 경미한 처벌을 받고 있다. 이는 규제 체계의 근본적 결함을 드러낸다.

민간기업 관계자들은 "고도화된 해킹 수법 차단의 어려움이 있다"며 규제 체계 개선을 요구하고 있다. 하지만 이번 적발 사례들을 보면, 문제는 고도의 해킹이 아니라 기초적 관리 부실이다. 동일 인증정보, 알려진 취약점 방치, 외주 접근통제 부실—이 모든 것은 기술이 아닌 조직의 의지와 책임감 문제다.

3. AI 해킹 시대, 더 위험해지는 금융권

새로운 위협에 무방비한 시스템

2026년 금융권에서는 AI 해킹 등 새로운 위협이 증가하고 있다. 기업들이 내부통제를 강화하는 조치를 취하고 있지만, 기본이 무너진 상태에서는 고급 위협 대응이 무의미하다. 벽에 구멍이 나 있는데 첨단 보안 장비를 설치하는 것과 같다.

4. 기업·기관이 취할 수 있는 대응 방안

조직 차원의 근본적 체질 개선 필요

• 계정관리 표준화: 고객별·현장별 차등화된 인증정보 필수 적용
• 외주업체 실사 강화: 계약 체결 전 보안 인증(ISMS-P) 확인 및 정기적 감시
• 보안 취약점 관리: 알려진 CVE(Common Vulnerabilities and Exposures)에 대한 즉시 패치 체계 구축
• 접근통제 재점검: 외주업체·협력사의 최소 필요 권한 원칙 적용
• 책임자 문책 제도화: 보안 기본 미준수 시 관리자 인사 평가에 직결

5. 규제 당국의 과제

현재의 형평성 논란을 해결하려면, 기본 이행 여부를 기준으로 차등 처벌하는 명확한 가이드라인이 필요하다. 고도화된 해킹을 막지 못한 것과 기초적 관리를 외면한 것은 다르게 평가해야 한다.

---

📋 CPPG·ISMS-P 연계 포인트

외주업체 보안관리의 책임성

ISMS-P 인증기준 관리 영역 - 외부 공급자 관리에서는 "정보보호 업무를 위탁하거나 외주할 때, 계약 체결 전 보안 능력 평가 및 계약에 보안 요구사항 명시"를 요구한다. 이번 금융권 사례들은 이 기준을 완전히 위반한 것이다. 단순 비용 절감 목적의 외주화가 아닌, 보안 책임성 확보를 우선 원칙으로 삼아야 한다.