### 소프트웨어 회사부터 금융사까지…'보안 허점' 연쇄 타격 우려

개발 서버 침해·고객정보 유출·기본 보안 미실시까지 한 달 사이 3건 사고 발생. 공급망 공격으로 번질 위험성이 커지면서 업계 전반 재점검 촉구.

---

개발 서버 침해, '공급망 공격'의 신호탄

더존비즈온의 개발 서버 침해사고는 일반 데이터 유출과 다른 차원의 위협을 안긴다. 소스코드와 기술정보 탈취는 이 회사가 공급하는 B2B 솔루션을 사용하는 수천 개 기업과 금융기관의 보안까지 위협할 수 있기 때문이다.

지난 10월 26일 적발된 이번 사건은 공급망 공격(Supply Chain Attack)의 전형적 진입점이 될 가능성이 높다. KISA와 개인정보보호위원회가 조사 중인 상황에서 핵심은 '얼마나 많은 코드가, 얼마나 오래 노출됐는가'다. 탈취된 소스코드가 악용될 경우 더존 솔루션 고객사들이 간접적 피해를 입을 수 있다.

금융권도 무방비 상태 노출

한편 KB국민은행과 하나은행의 고객정보 유출, 대교 등 기업의 기본 보안조치 미실시로 개인정보보호위원회는 총 38억 8,500만 원의 과징금을 부과했다. 이는 단순한 '행정처분'이 아니라 한국 금융권 전체의 보안 실태를 드러낸 경고장이다.

금융기관이 고객 개인정보 유출 사고까지 빚으면서 보안 기본 원칙을 지키지 못했다는 비판을 피할 수 없다. 특히 기본 보안조치 미실시라는 표현은 접근제어, 암호화, 로그기록 같은 '최소 기준'을 충족하지 못했다는 뜻으로, 이는 개인정보 관리의 기초를 포기한 것이나 다름없다.

공통 패턴: '기술적 관리'와 '조직적 태만'의 결합

세 건의 사례에서 보이는 공통점은 명확하다. 첫째, 사후 대응은 빠르지만 사전 예방은 약하다. 더존비즈온은 침해를 신속히 탐지했지만, 개발 서버에 왜 충분한 접근통제가 없었는가. 둘째, 규모가 크면 더 안전할 것이라는 착각이다. 금융사들도 보안 기본조치를 뒤로 미룬 사실이 이를 증명한다.

이 두 가지는 사실 같은 뿌리에서 나온다. 보안을 기술 부서의 책임으로만 미루고, 경영진의 의무로 인식하지 못한다는 점이다. 개인정보보호위원회가 과징금이라는 제재로까지 나선 이유도 여기에 있다.

기업·기관의 즉시 대응 방안

1단계: 현황 진단
- 자사 개발 서버, 운영 서버, 클라우드 환경의 접근제어 현황 전수 조사
- 지난 6개월 침입탐지 로그 재검토

2단계: 기술적 보강
- 다단계 인증(MFA) 의무화
- 소스코드 저장소(GitHub, GitLab 등)에 대한 접근 권한 최소화
- 개발·운영 환경 분리 원칙 재정립

3단계: 조직적 재정비
- 개인정보보호책임자(DPO) 권한 강화
- 분기별 보안 감시 체계 구축
- 임직원 보안 교육 의무화

---

📌 CPPG·ISMS-P 시험 연계 포인트

항목	내용
관련 기준	ISMS-P 제3조(접근제어) / CPPG 기술적·관리적 보안조치
핵심 개념	최소권한원칙(Principle of Least Privilege): 직원/시스템에 업무에 필요한 최소 수준의 접근권만 부여
실무 적용	더존 사례는 개발 서버에 불필요한 접근을 허용한 사례로, 인가된 사용자 관리와 로그 모니터링 부재가 침해 원인
시험 출제 포인트	"왜 기본 보안조치 미실시로 과징금을 받는가?" → 개인정보보호법 제5조(안전성 확보의무) 위반

---

백남정 기자
개인정보보호정책·사이버보안 전문