### 금융·정부·유통 속속 개인정보 유출…"보안 기본 지키지 않은 대가"

금융권 보안 패치 미적용부터 정부기관의 내부 유출까지, 3개월간 대규모 침해사고가 연쇄적으로 터져나왔다. 전문가들은 기본적인 접근제어와 모니터링 부재를 근본 원인으로 지목하며 시스템 감시 강화를 촉구하고 있다.

---

연쇄 터진 개인정보 침해…"기본 보안조차 외면"

최근 3개월간 금융권·정부기관·유통업계에서 개인정보 침해사고가 폭발적으로 증가하고 있다. 금융위원회가 확인한 신한은행을 포함한 16개 금융회사 해킹 사고는 그 규모와 다양성에서 경종을 울린다. 은행과 증권, 보험, 가상자산까지 거의 모든 금융업권이 피해를 입었다는 점에서 이는 단순한 개별 사고가 아닌 업계 전반의 보안 위기를 의미한다.

더욱 우려스러운 것은 기본적인 보안 관리 미흡이 핵심 원인이라는 점이다. 금융권의 첫 번째 사례에서 지적된 '보안 패치 미적용'과 '추가 인증 부재'는 보안의 ABC다. 연 소득과 대출한도 같은 민감한 금융정보 유출은 대출 사기, 신용카드 악용 등 2차 피해로 직결될 가능성이 크다.

기업의 은폐와 내부 배반…신뢰 붕괴

올리브영 사건은 다른 차원의 위험을 드러냈다. 300만 명의 개인정보가 유출된 지 3개월이나 은폐된 것은 단순 보안 기술 문제가 아닌 기업 윤리 문제다. 내부 직원 계정 관리 부실과 미흡한 접근제어 체계가 근본 원인이라는 점에서, 이는 'Who'에 대한 통제 실패를 의미한다.

외교부 대통령 정보 유출 사건은 더욱 심각하다. 외부 해킹도 아닌 내부 인물에 의한 자료 유출 가능성이 제기된 것은 정부기관의 신뢰성까지 흔들었다. 이는 권력기관 내부의 감시 체계가 얼마나 허술한지를 보여주는 사건이다.

공통분모는 '관리 부실'…예방 가능했던 사고들

네 가지 사례의 공통 패턴은 명확하다.

첫째, 기술적 관리 부재: 보안 패치 미적용, 미흡한 접근제어 - 이는 IT 시스템 자체의 관리 문제다.

둘째, 모니터링 실패: 3개월간 은폐된 올리브영 사고, 내부 유출을 감지하지 못한 외교부 - 침해 감지 체계가 작동하지 않았다.

셋째, 권한 관리 미흡: 직원 계정 관리 부실, 내부 접근 통제 부재 - 누가 어떤 데이터에 접근했는지 추적 불가능한 상태였다.

---

기업·기관의 생존 전략…이제는 필수가 아닌 기본

금융기관의 과제:
- 보안 패치 관리의 자동화·의무화 체계 도입
- 금융정보에 대한 다층 인증(MFA) 필수 적용
- 정기적 침해 침투 테스트(Penetration Testing) 실시
- 개인정보 접근 로그의 실시간 모니터링

민간기업의 책무:
- 침해사고 발생 시 즉시 신고 의무 이행 (법정 기한 단축 필요)
- 내부 감시 카메라 설치 수준의 접근제어 및 감시 체계 구축
- 정기적 직원 보안 교육 및 내부 감사 강화

정부기관의 시급한 개선:
- 권력기관 내 보안 감시 체계 독립성 확보
- 대통령 등 민감정보에 대한 별도의 암호화·격리 체계
- 내부자 위협 탐지(Insider Threat Detection) 시스템 도입

---

💡 CPPG·ISMS-P 연계포인트

>

접근제어(Access Control)와 감시(Monitoring)의 중요성

- ISMS-P 5.1: 접근제어 정책 수립 및 실행

- 올리브영 사건의 '직원 계정 관리 부실'은 ISMS-P 기준의 직무분리(Segregation of Duties) 미충족 사례

- 외교부 사건의 '내부 유출 감지 실패'는 로깅·모니터링(5.3) 요건 미이행 사례

- 결론: 기술 도입만으로는 부족하며, 정책 수립 → 실행 → 감시 → 개선의 지속적인 사이클이 필수

---

마치며: "예방만이 유일한 답"

이번 연쇄 침해사고들은 모두 예방 가능했던 사건들이다. 보안 패치를 적용했다면, 접근제어가 작동했다면, 내부 모니터링이 있었다면 막을 수 있었다.

개인정보보호법 개정과 ISMS-P 강화도 중요하지만, 결국 기업과 기관의 기본기가 답이다. 보안을 '비용'이 아닌 '생존 전략'으로 보는 문화 전환이 지금 이 순간 가장 절실하다.