금융·공공기관 잇따른 침해사고…"내부통제·기술 관리" 이중 위기

금융기관과 공공기관에서 보안패치 소홀과 내부자 권한 남용으로 인한 개인정보 침해사고가 연이어 발생하면서, 레거시 시스템 관리와 접근제어의 구조적 허점이 드러났다. 업계 전문가들은 기술적 보안 강화와 함께 조직 내 감시·감독 체계 개선이 시급한 상황이라고 지적했다.

---

신한은행 해킹, 보안 기본기 부재의 결과

신한은행 해킹사건은 금융기관의 보안패치 관리 체계 부실을 여실히 보여준다. 최신 보안 업데이트를 제때 적용하지 못한 채 운영 중인 시스템들이 공격자의 진입로가 됐다는 점에서, 기술 도입 이전의 기본 관리가 얼마나 중요한지를 재삼 일깨워준다.

특히 주목할 점은 EOS(Enterprise Operating System) 같은 레거시 핵심 시스템 관리의 소홀이다. 구형 운영체제는 보안 지원 종료 시간이 정해져 있음에도 불구하고, 금융권 전반에서 지속적으로 운영되는 현실이 문제다. 이는 단순 기술 부채를 넘어 규제적·법적 책임까지 야기한다.

전문가들은 "시스템 수명 종료(End of Life) 계획 수립, 정기적 취약점 점검 체계화, 패치 관리 SLA(Service Level Agreement) 운영" 등 기본 정책의 실행이 부족했다고 분석한다.

---

건보공단·금융사 내부자 침해, "신뢰의 역설"

더욱 심각한 것은 건강보험공단, 금융사, IoT 기업에서 발생한 내부자 권한 남용 사건이다. 이미 시스템 진입 권한을 보유한 직원이 악의적으로 개인정보에 접근한 경우다.

사건의 핵심 쟁점은 세 가지다:

① 접근권한의 과다 부여
- 업무 필요성 이상으로 광범위한 데이터 접근 권한이 설정됨
- 최소 권한 원칙(Principle of Least Privilege) 미준수

② 암호화 정책 미흡
- 미암호화 상태의 개인정보 보관
- 암호화 알고리즘 강도 미달 또는 미적용

③ 침해사실 통지 의무 위반
- 개인정보보호법 34조 72시간 통보 의무 미이행
- 과징금 처분(최대 3억 원) 예상

---

공통 패턴: "사각지대 관리" 의 반복

두 사례의 공통분모는 기술과 조직 통제의 사각지대다.

구분	신한은행(외부 해킹)	건보공단 등(내부 침해)
원인	패치 미적용(기술 소홀)	권한 남용(조직 소홀)
진입 경로	시스템 취약점	정당한 권한 악용
대응 실패점	예방(Prevention)	탐지(Detection) & 대응(Response)

핵심 교훈:
- 외부 위협 방어에만 치중하면 내부 위협에 무방비
- 접근 통제와 감시(Monitoring) 부재 시 내부자 침해 방지 불가능
- 사후 통보 의무 이행은 최소 법적 책임이지, 침해 예방 수단이 아님

---

기업·기관의 대응 방안

1. 기술적 강화

- **패치 관리 자동화**: 배포→검증→적용까지의 자동화 파이프라인 구축 - **암호화 정책 강제화**: DB/파일 단위 암호화, 통신 채널 암호화 필수화 - **보안 기준선(Baseline) 재설정**: 정기적 보안 감사(연 1회 이상) 의무화

2. 조직 통제 강화

- **Role-Based Access Control(RBAC)** 엄격 운영 - **감시 로깅**: 개인정보 접근 이력의 자동 기록 및 분석 - **내부자 교육**: 보안인식 교육의 정례화 및 실효성 강화 - **독립적 감시 조직**: 보안팀과 감시팀의 이원화

3. 규제 대응

- **개인정보보호 영향평가(PPIA)** 정기 실시 - **침해사고 대응 계획** 사전 수립 및 정기 훈련 - **72시간 통보 프로세스** 자동화

---

규제 전망

금융감독위원회와 개인정보보호위원회는 신한은행에 보안 감시 강화 권고, 건보공단 등에 과징금 처분을 예고한 상황이다. 향후 금융권 보안 기준 강화와 개인정보보호법 시행령 개정으로 이어질 가능성이 높다.

---

📋 [시험 포인트] CPPG·ISMS-P 연계 개념

항목	관련 기준
패치 관리	CPPG 6.1 (자산관리) / ISMS-P 5.1 (정책 및 계획)
접근제어	CPPG 6.6 / ISMS-P 6.2 (접근제어 및 권한관리)
암호화	CPPG 6.8 / ISMS-P 6.3 (암호화)
침해 통지	CPPG 7.1 (사건 대응) / 개보법 34조

→ 핵심: 개인정보 침해사고의 50% 이상이 "예방 가능한 기