### "ISMS-P 인증 무색..." 공공·민간 개인정보 방어선 붕괴

정부 민원포털부터 의료기관까지 보안 등급을 불문하고 개인정보 침해사고가 연쇄 발생하고 있다. 초동대응 지연과 다크웹 2차 유통까지 이어지며 현행 보안관리체계의 근본적 개선이 절실한 상황이다.

---

공공 민원포털의 무방비한 초동대응

정부24 해킹 사건은 한국 사이버보안의 현실을 적나라하게 드러냈다. 행안부가 기초자료 제출을 요구한 시점이 9월 21일인데, 이는 실제 침해 발생 후 상당한 시간이 경과한 후였다는 의문을 낳는다.

초동대응 지연의 문제점:
- 침해사고 인지 후 통보까지의 시간 격차 발생
- ISMS-P 인증을 받은 공공기관도 실제 사고 대응에는 미흡
- 국민 신뢰도가 높은 정부포털마저 '사후 관리' 수준의 대응

정부24는 행정안전부가 직접 운영하는 국가 핵심 시스템이다. 개인의 신분증, 건강보험, 자동차등록 등 민감정보가 집약된 플랫폼에서 해킹이 발생했다는 것 자체가 국가 사이버안보 전략의 재검토를 촉구한다.

---

의료기관의 민감정보, 다크웹에서 '상품화'

경남의 성형외과 사건은 또 다른 차원의 심각성을 보여준다. 199명의 주민등록번호, 주소, 연락처가 다크웹 샘플로 공개되어 흥미로운 점은 운영자 검거 후에도 정보가 계속 재유통된다는 점이다.

2차 피해의 구조적 원인:
- 한 번 유출된 정보는 통제 불가능한 영역으로 확산
- 다크웹 커뮤니티에서 거래·복제·판매 반복
- 개인정보 판매 수익 창출 용도로 변질

성형외과는 외모 관련 민감정보를 보유한 기관이다. 이는 단순 신원정보를 넘어 신체적, 심리적 약점으로 악용될 가능성이 높다. 피싱, 보이스피싱, 명의도용의 고리형 범죄로 확대될 우려가 크다.

---

공통 패턴: '사후 관리' 중심의 악순환

두 사례의 공통점은 사전 예방과 초기 차단 실패이다.

단계	정부24	성형외과
사전 보안	ISMS-P 인증 有	중소기관 보안 미흡
침해 인지	지연 가능성 높음	불명확
초동대응	9월 21일 기초자료 요구	검거 이후 추적
2차 방지	불명확	통제 불가

---

기업·기관이 취해야 할 조치

즉시 실행 과제:

• 침해사고 탐지 체계 강화
- 자동화된 침입탐지시스템(IDS/IPS) 고도화 - 비정상 접근 패턴 실시간 모니터링 - 24시간 SOC(Security Operation Center) 운영

• 개인정보 최소화·암호화
- 주민등록번호 수집 최소화 (CPPG 준수) - 저장 정보 암호화 의무화 - 접근 권한 세분화(최소권한 원칙)

• 초동대응 프로토콜 재정의
- 침해 인지 후 **24시간 이내 신고 체계** - 영향 받은 정보주체에 신속 통보 - 다크웹 모니터링 서비스 구독

• 다크웹 유출정보 추적
- 보안 업체와 협력한 지속적 모니터링 - 유출정보 회수 불가 인식 전환 - 피해자 신용 모니터링 지원

---

📋 CPPG 연계 학습 포인트

개인정보 보호 관리체계 인증 기준(CPPG) - 기술적 보호조치

CPPG에서는 개인정보 암호화를 "필수" 항목으로 규정하고 있다:
- 전송 중 암호화 (TLS 1.2 이상)
- 저장 중 암호화 (AES-256 권장)
- 주민등록번호 등 민감정보는 단방향 암호화(해싱) 또는 토큰화 필수

정부24가 ISMS-P 인증을 받았어도 이러한 기본 암호화 원칙이 제대로 이행되었는지 의문의 여지가 있다. 인증만으로는 부족하며, 정기적 감시(audit)와 모의해킹 실시가 필수다.

---

결론: 규제 강화 vs. 기술 혁신의 균형

현행 개인정보보호법과 정보보안산업법만으로는 부족하다.

정책 제언:
- 공공기관 침해사고 초동대응 시간 기준 법제화
- 다크웹 유출정보 추적 국가 지원 확대
- 중소 의료기관·금융기관의 필수 보안 수준 상향

개인정보는 한 번 유출되면 회수 불가능한 자산이다. 사후 관리가 아닌 사전 예방으로의 패러다임 전환이 시급하다.