해킹보다 무섭다…'내부 과실'이 개인정보 침해 최대 위협으로 부상

2025년 상반기 국내 IT·금융업계에서 내부 업무 과실로 인한 개인정보 침해 사고가 외부 해킹을 처음 넘어섰다. 신기술 도입 열풍 속 기본적인 보안 관리 체계가 무너지면서 수천만 건대의 대규모 피해가 속출하고 있다.

연쇄 침해사고로 드러난 '보안 관리 공동화'

2025년 상반기는 개인정보 침해사고의 '재앙 시즌'이었다. 3월 국내 OTT 플랫폼 티빙이 3,954만 건의 고객정보를 유출시킨 데 이어, 캐논코리아가 고객 동의 없이 개인정보를 수집했고, 카카오도 유사한 문제로 적발됐다. 금융권도 예외가 아니었다. 하나은행이 AI 시스템 연계 과정에서 고객정보 접근 통제에 실패해 해킹 피해를 입었다.

특히 주목할 점은 침해사고의 원인 구조의 변화다. 기존에는 정교한 해킹 기법(45%)이 주 위협으로 인식되었으나, 올해는 내부 업무 과실(46%)이 이를 앞지르게 된 것이다. 단 1%p 차이이지만, 이는 '기술 대 관리'의 전투에서 관리 부실이 기술 침투보다 더 현실적이고 즉각적인 위협임을 의미한다.

공통 원인: '신기술 투자 편중' vs '보안 관리 공백'

세 사례의 공통점을 분석하면 명확한 패턴이 드러난다.

첫째, 신기술 도입 속도에 보안 관리가 미처 따라가지 못했다. 하나은행의 AI 시스템, 티빙의 플랫폼 확대 과정에서 기업들은 기술 구현에만 집중했다. 접근 통제(Access Control), 권한 관리(Authority Management) 같은 기초 보안 원칙이 뒷전으로 밀려났다.

둘째, 개인정보 취급 직원의 교육 및 감시 부실이다. 캐논코리아와 카카오의 '무동의 수집' 사건은 단순한 실수가 아니라 개인정보 취급 절차에 대한 무지 또는 무관심을 드러낸다. ISMS-P 인증 기업이라도 일일이 모든 직원 행동을 감독할 수 없기 때문에 내부 통제 시스템의 기술적·제도적 자동화가 필수다.

셋째, 정보보호 거버넌스의 부재다. 대규모 기업들이 개인정보보호 담당부서를 두고 있어도 실질적 권한이 부족하거나, 기술 부서의 상위 계층에 위치하지 못한 경우가 많다. 결과적으로 보안 정책이 현업 부서의 편의성에 밀려난다.

기업과 기관의 즉각적 대응 방안

1단계: 기초 복귀 (내부 감시 강화)
- 개인정보 접근 로그 실시간 모니터링 자동화
- 대량 다운로드·내보내기 행위에 대한 즉시 알림
- 분기별 전 직원 개인정보보호 의무교육 (평가 포함)

2단계: 기술적 통제 (자동화)
- 데이터 분류 체계 수립 및 민감도별 접근 권한 자동 제한
- API 연동 시 최소 권한 원칙(Least Privilege) 적용
- 개인정보 암호화 및 토큰화 확대

3단계: 거버넌스 재구축
- 최고경영진 아래 개인정보보호 최고책임자(CPO) 직책 신설
- 개인정보 유출 시 임원진 책임 강화
- 신기술 도입 전 '보안 영향평가' 의무화

---

CPPG·ISMS-P 연계 포인트

>

'접근제어(AC)' 및 '내부 감시(Monitoring)' 강화의 중요성

>

ISMS-P 인증 기준의 핵심은 기술적 보안뿐 아니라 조직의 보안 정책 준수 여부를 지속적으로 감시하는 것이다. 이번 사건들은 "인증 취득 후 관리 해이"의 전형적 사례로, 정기적 내부감시(로그 분석, 접근권 감시, 이상 거래 탐지)의 자동화가 개인정보보호법 제정보다 더 시급함을 보여준다.

---

백남정 기자