티빙 해킹 유출에 5천원 보상? ISMS-P 인증 무색한 침해 대응 논란

---

국내 대표 OTT 플랫폼 티빙이 해킹으로 인한 개인정보 유출 사고를 겪은 뒤 내놓은 5,000원 포인트 보상안이 이용자들의 거센 반발에 직면했다. 특히 정보보호 최고 인증인 ISMS-P를 보유한 기업의 사후 대응이 이 정도에 그쳤다는 점에서, 인증 제도의 실효성과 피해보상 체계 전반에 대한 재검토 목소리가 높아지고 있다.

---

사건 개요

티빙은 최근 외부 해킹 공격으로 인해 이용자 개인정보가 유출되는 침해사고가 발생했다고 공지했다. 유출된 정보의 구체적 항목과 규모는 아직 명확히 공개되지 않았으나, 회사 측은 피해 이용자를 대상으로 5,000원 상당의 포인트 보상을 제시했다.

문제는 보상 조건이다. 해당 포인트는 재가입 또는 서비스 지속 이용자에 한해 지급되는 것으로 알려지면서, "개인정보를 유출당한 피해자에게 다시 가입하라는 것이냐"는 비판이 쏟아졌다. 일부 이용자는 "실질적 피해보상이 아닌 마케팅 수단"이라며 강하게 반발하고 있다.

---

핵심 쟁점 분석

1. ISMS-P 인증 기업의 침해사고, 왜 문제인가

티빙은 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증을 획득한 기업이다. ISMS-P는 102개 인증기준을 충족해야 취득할 수 있는 국내 최고 수준의 정보보호 인증으로, 이를 보유한 기업에서 대규모 침해사고가 발생했다는 점은 인증 제도의 신뢰성에 의문을 제기하게 만든다.

전문가들은 "ISMS-P 인증이 '사고 예방'보다 '관리체계 구축'에 초점이 맞춰져 있어, 실제 침해 발생 시 대응 역량과는 괴리가 있을 수 있다"고 지적한다.

2. 피해보상 체계의 구조적 한계

현행 개인정보보호법은 개인정보 유출 시 손해배상 청구권을 명시하고 있으나, 실제 피해 입증이 어렵고 소송 비용 대비 배상액이 적어 대부분의 피해자가 구제받지 못하는 실정이다.

기업들이 자발적으로 제시하는 보상안 역시 법적 구속력이 없고, 이번 티빙 사례처럼 서비스 이용 조건부 보상으로 설계되는 경우가 많아 실효성 논란이 반복되고 있다.

---

공통 패턴과 시사점

최근 침해사고 대응에서 반복적으로 나타나는 패턴은 다음과 같다:

문제점	구체적 양상
소극적 정보공개	유출 항목·규모·경위 상세 미공개
형식적 보상안	현금 아닌 포인트, 이용 조건부 지급
책임 희석	"외부 해킹"으로 원인 귀속

이러한 대응은 단기적으로 기업의 비용을 절감할 수 있으나, 장기적으로는 브랜드 신뢰도 하락과 규제 강화를 초래할 가능성이 높다.

---

기업·기관 대응 방안

기업 측면:
- 침해사고 발생 시 72시간 내 상세한 정보공개 원칙 수립
- 조건 없는 실질적 피해보상 기준 사전 마련
- ISMS-P 인증 유지 점검을 넘어 실시간 위협 탐지 체계 강화

제도적 측면:
- 개인정보보호위원회의 법정손해배상제도 활성화 검토
- ISMS-P 인증 기업에 대한 사후관리 및 침해 시 인증 재심사 강화
- 피해보상 가이드라인의 법제화 추진

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

개인정보보호법 제39조(손해배상책임)

>

정보주체는 개인정보처리자의 고의·과실로 인한 개인정보 유출로 손해를 입은 경우 손해배상을 청구할 수 있다. 이때 개인정보처리자는 고의·과실이 없음을 입증해야 책임을 면할 수 있다(입증책임 전환). 또한 법정손해배상제도(제39조의2)에 따라 실제 손해액 입증이 어려운 경우 300만원 이하의 범위에서 배상액을 인정받을 수 있다. ISMS-P 인증은 관리적·기술적 보호조치 이행의 증거가 될 수 있으나, 침해사고 발생 자체를 면책하지는 않는다.

---

백남정 개인정보보호 전문기자