티빙 개인정보 유출 사고, 이재명 대통령 '엄정처벌' 지시…ISMS-P 인증 기업 책임 강화

핵심 요약

- 2026년 9월 11일 이재명 대통령, 청와대에서 티빙(TVING) 고객정보 유출 사고에 대해 '엄정처벌' 지시 - 인공지능 기술 발달로 해킹 기법 고도화, 통신사·금융기관·유통·온라인 플랫폼 등 공격 대상 다변화 - ISMS-P 인증 보유 기업의 실질적 정보보호 관리체계 운영 및 사고 대응 역량 재점검 필요

주요 내용

2026년 9월 11일 청와대에서 열린 국무회의에서 이재명 대통령은 최근 발생한 티빙(TVING) 고객정보 유출 사고를 언급하며 엄정한 처벌을 지시했다. 이는 OTT 플랫폼이라는 대규모 고객 기반을 보유한 기업의 개인정보 보호 책임을 강조한 것으로, 정부 차원의 강력한 대응 의지를 천명한 것으로 해석된다.

대통령은 특히 인공지능의 발달로 해킹 기법이 날로 고도화되고 있으며, 공격 대상도 통신사, 금융기관, 유통기업, 온라인 플랫폼 등으로 확대되고 있다고 지적했다. 이는 2026년 현재 AI 기술을 활용한 정교한 공격 기법이 증가하면서 전통적인 보안 대책만으로는 대응이 어려워진 현실을 반영한 것이다.

티빙은 CJ ENM 계열의 대표적인 OTT 서비스로 수백만 명의 이용자 정보를 보유하고 있다. 이번 사고는 단순한 기술적 취약점 문제를 넘어, ISMS-P 인증을 보유한 대형 플랫폼 기업의 정보보호 관리체계가 실제로 얼마나 효과적으로 운영되고 있는지에 대한 의문을 제기한다. 특히 AI 기반 해킹에 대응할 수 있는 최신 보안 기술 도입과 실시간 모니터링 체계의 실효성이 재검토되어야 할 시점이다.

이번 대통령의 지시는 개인정보보호법 위반 사업자에 대한 처벌 수위를 높이고, 대형 플랫폼 기업들의 자율 규제를 넘어 정부의 직접적인 관리·감독을 강화하겠다는 신호로 읽힌다. 2026년 현재 개인정보 유출 사고에 대한 사회적 경각심이 높아진 만큼, 기업들은 형식적 인증 유지를 넘어 실질적 보안 투자와 관리체계 고도화에 나서야 할 것이다.

전문가 시각

ISMS-P 선임심사원으로서 이번 사건을 분석하면, 티빙과 같은 대형 플랫폼 기업이 인증을 보유하고 있음에도 유출 사고가 발생했다는 점에서 '인증 보유'와 '실제 보안 수준' 간의 괴리를 확인할 수 있다. 2026년 현재 AI 기반 공격은 기존의 시그니처 기반 탐지를 우회하는 제로데이 공격, 딥페이크를 활용한 사회공학적 기법, 자동화된 취약점 스캔 등 다양한 형태로 진화하고 있다. 기업들은 단순히 연 1회 인증 사후심사를 통과하는 것을 넘어, 실시간 위협 인텔리전스 공유, AI 기반 이상행위 탐지 시스템(UEBA), 침해사고 대응훈련(Red Team Exercise) 등을 정기적으로 수행해야 한다.

특히 OTT 플랫폼과 같이 결제정보, 시청 패턴, 개인 선호도 등 민감한 데이터를 대량으로 처리하는 기업은 개인정보 영향평가(PIA)를 형식적으로 수행할 것이 아니라, 데이터 라이프사이클 전 과정에서의 위험 시나리오를 구체적으로 도출하고 대응 방안을 마련해야 한다. 이번 대통령의 '엄정처벌' 지시는 단순 과태료 부과를 넘어 형사처벌, 징벌적 손해배상, 인증 취소 등 다층적 제재가 가능함을 시사하므로, 경영진 차원의 정보보호 거버넌스 강화와 최고정보보호책임자(CISO)의 실질적 권한 보장이 시급하다.

ISMS-P 심사원 체크포인트

1. 관리체계 수립 및 운영(1.1.1~1.1.4) - 최고경영자의 정보보호 책임
이번 사고와 같이 대통령이 직접 언급할 정도의 중대 사고 발생 시, 심사 시 최고경영자의 정보보호 의지와 실질적 관여도를 집중 점검한다. 정보보호 정책에 대한 경영진의 승인, 예산 배정의 적정성, 정보보호위원회 운영 실태, CISO의 독립성과 보고 체계 등을 확인하며, 형식적 문서만 갖춘 경우 중대한 부적합으로 판단할 수 있다. 개인정보보호법 제31조(개인정보 보호책임자의 지정)와 연계하여, 보호책임자가 실질적으로 개인정보 처리 실태를 점검하고 개선할 수 있는 권한을 보유하는지 확인해야 한다.

2. 침해사고 예방 및 대응(2.8.1~2.8.7) - AI 기반 위협 대응 체계
2026년 현재 AI 기술을 활용한 고도화된 해킹에 대응하기 위해, 기존의 룰 기반 탐지를 넘어 머신러닝 기반 이상행위 탐지, 실시간 로그 분석, 위협 인텔리전스 연계 등이 구축되어 있는지 점검한다. 특히 침해사고 대응 절차가 문서상으로만 존재하는지, 실제 훈련(침해사고 모의훈련, 대응팀 소집 훈련)을 정기적으로 수행하고 개선하는지 확인한다. 개인정보보호법 제34조(개인정보 유출 통지 등)에 따라 유출 사고 발생 시 24시간 이내 통지 체계가 실제 작동 가능한지, 유출 영향 범위 산정 방법이 구체적인지를 심사한다.

3. 개인정보 수집·이용·제공(3.1.1~3.1.5) - 최소 수집 원칙 및 접근 통제
OTT 플랫폼의 경우 서비스 제공을 위해 방대한 개인정보를 수집·처리하므로, 수집 목적 대비 과도한 정보 수집 여부, 목적 달성 후 파기 절차의 실효성, 개인정보 처리 시스템에 대한 접근 권한 관리(최소 권한 원칙, 직무 분리, 특권 계정 관리) 등을 정밀 점검한다. 개인정보보호법 제29조(안전조치의무)에 따라 암호화, 접근통제, 접속기록 보관 등 기술적·관리적 보호조치가 실제로 이행되고 있는지, 정기적인 취약점 점검과 보안 패치가 적시에 이루어지는지 확인해야 한다.

CPPG·ISMS-P 연계 포인트

개인정보 유출 통지 및 신고 의무 (개인정보보호법 제34조)
개인정보 유출 사고 발생 시 정보주체에게 지체 없이 통지하고, 일정 규모 이상(1,000명 이상) 유출 시 개인정보보호위원회 또는 전문기관에 신고해야 한다. 통지 내용에는 유출 항목, 시점, 피해 최소화 방법, 대응 조치 등이 포함되어야 하며, 이를 위반할 경우 과태료(3천만 원 이하) 또는 형사처벌 대상이 된다. CPPG 시험에서는 통지 시기(알게 된 때로부터 지체 없이), 통지 방법(서면·전자우편·전화 등), 신고 기준을 정확히 숙지해야 한다.

AI 기반 공격과 기술적 보호조치의 진화
2026년 현재 AI를 활용한 공격(자동화된 피싱, 딥페이크 기반 인증 우회, 적대적 머신러닝 등)이 증가함에 따라, 전통적인 방화벽·IDS/IPS만으로는 탐지가 어렵다. 이에 대응하여 AI 기반 보안 솔루션(UEBA, SOAR, XDR 등)이 도입되고 있으며, ISMS-P 인증심사 시에도 최신 위협에 대한 대응 역량을 평가한다. 시험에서는 기술적 보호조치의 종류(암호화, 접근통제, 로그 관리)와 함께, 최신 보안 기술 트렌드 및 AI 위협 대응 개념을 이해하고 있어야 한다.