### 건보공단·금융기관 연쇄 침해사고, '내부자 관리' 부실이 공통 원인

2026년 상반기, 공공기관과 민간기업을 가로지르는 개인정보 대규모 유출 사고가 연이어 터졌다. 건강보험공단의 '내부자 정보판매' 사건과 금융·IoT 기업의 '동시다발 해킹 사건'이 그것인데, 겉으로는 다른 공격 방식이지만 뿌리는 같다. 바로 내부 접근권한 관리의 허술함이다. 전문가들은 이번 사건들이 기업과 공공기관이 개인정보보호 실천규범을 제대로 이행하지 못했음을 적나라하게 드러냈다고 지적한다.

---

1. 건보공단 사건: '내부자 위협'의 민낯

국민건강보험공단의 사건은 더욱 충격적이다. 한 직원이 2년 이상에 걸쳐 가입자 개인정보를 억대에 판매했다는 것 자체가 내부 감시 체계의 완전한 실패를 의미한다.

더 큰 문제는 72시간 통보 의무 위반이다. 개인정보보호법 15조의2는 침해사실 통지를 "지체없이, 늦어도 72시간 내"에 하도록 명시했다. 그런데 파면 이후 3개월이나 지난 국정감사 시점까지도 피해자 통보가 이루어지지 않았다. 이는 단순한 절차상 미흡이 아니라 법적 의무 위반이며, 개인의 신속한 피해대응 기회를 완전히 앗아간 것이다.

접근권한 관리의 실패 양상:
- 개인정보 접근 로그 미추적 또는 사후 검증 부재
- 내부자 감시 시스템(DLP, 접근통제) 미구축
- 부서 간 승인 프로세스 형식화

---

2. 금융·IoT 연쇄 해킹: 암호화 없는 방어는 허상

동시다발적으로 터진 금융기관과 IoT 제조사 해킹은 '외부 위협'으로 보이지만, 근본 원인은 역시 내부 접근제어 부실이다.

피해 규모를 보면:
- 계좌정보·개인식별정보(주민번호, 연락처) 대량 유출
- 스마트가전 제어 권한 탈취로 화재 참사 발생
- 복구 비용 및 신용카드 재발급 등 사회적 비용 증가

이들 기관의 공통점은 암호화 정책 부재였다. 개인정보보호 관리체계(PIMS)의 기본 중의 기본인 암호화가 선택이 아닌 필수임을 다시금 보여준 사건이다. 또한 관리자 계정에 대한 권한 분리(Separation of Duties)와 다중인증(MFA)이 미흡했던 것으로 파악된다.

---

3. 공통 패턴: '내부자 관리' 정책의 공백

두 사건을 연결하는 실마리는 명확하다:

취약점	건보공단 사건	금융·IoT 사건
접근제어	부재	형식적
감시·감사	미흡	미흡
암호화	N/A	부재
신속 통보	위반	(통보 미흡 우려)

세부 공통점:
1. 권한 집중: 개인정보 접근 권한이 과도하게 집중됨
2. 감시 공백: 접근 로그 생성·보관이 미흡하거나 형식적
3. 사후 대응 지연: 침해사실 적시 발견 및 통보 실패
4. 기술적 보안 부재: 암호화, MFA, DLP 등 기본 기술 미구축

---

4. 기업·기관의 즉시 대응 방안

(1) 단기: 긴급 점검 (1~2개월)

- 개인정보 접근권한 전수 조사 - 관리자 계정 이용 현황 분석 - 72시간 통보 체계 재점검 (침해사건 발견 시 자동 트리거)

(2) 중기: 정책 강화 (3~6개월)

- **내부자 위협 관리(Insider Threat Program)** 도입 - 비정상 접근 패턴 탐지 (UEBA) - 접근권한 정기 재검증 - 퇴직자 권한 즉시 해제 프로세스 - 역할기반 접근제어(RBAC) 재설계 - 개인정보 암호화 정책 의무화

(3) 장기: 문화 개선 (6개월 이상)

- 개인정보보호 준법감시 강화 - 감시 대상자에 대한 명확한 공지 및 동의 - 임직원 교육 체계화 (분기별 의무) - 외부 감시 용역 도입 (정기적 취약점 점검)

---

5. 규제 당국의 역할

개인정보보호위원회는 이번 사건들을 계기로:
- 공공기관·금융기관 일제 점검 (권한 관리 중심)
- 과징금 상향 및 대표자 처벌 강화
- 72시간 통보 이행 현황 실시간 모니터링 체계 구축

이제 '관리체계 수립'의 시대는 지났다. 실행과 감시의 시대가 왔다.

---

📌 CPPG·ISMS-P 시험 연계 포인트

[개인정보보호 관리체계 실무기준(CPPG) - 접근제어 항목]

"개인정보 취급자의 접근권한은 최소필요 원칙(Principle of Least Privilege)에 따라 제한