### 올리브영 300만명 개인정보 유출, 3개월 은폐 적발…'접근제어' 허점 드러나

뷰티 업계 최대 규모 개인정보 침해사고가 발생했다. 올리브영이 6월 고객 300만명의 개인정보를 유출한 후 3개월간 사실을 숨긴 것으로 적발되면서 개인정보보호법 위반 의혹까지 불거졌다. 전문가들은 내부 직원 계정 관리 부실과 미흡한 접근 제어 체계가 근본 원인이라고 지적했다.

---

올리브영 사건의 심각성

올리브영의 이번 침해사고는 단순한 데이터 유출 사건이 아니다. 300만명이 넘는 고객의 이름, 전화번호, 이메일 등 개인식별정보가 유출된 데다, 회사가 약 3개월간 침해 사실을 적극 공개하지 않았다는 점에서 문제가 더 심각하다.

개인정보보호법 제33조는 개인정보 침해 시 '지체 없이' 본인에게 통지하도록 규정하고 있다. 올리브영의 지연된 공개는 이 조항 위반 가능성이 높다. 더욱이 고객들은 자신의 정보가 유출된 사실을 3개월이나 모른 채 있었다는 점에서 2차 피해(피싱, 금융사기 등)에 노출될 위험이 있었다.

---

근본 원인: 접근제어 체계의 허점

조사 결과 올리브영의 침해사고 원인은 '내부 직원 계정의 부실 관리'와 '미흡한 접근 제어 체계'로 확인됐다.

직원 계정이 충분히 통제되지 않았다는 것은 다음을 의미한다:

• 과도한 권한 부여: 필요 이상의 직원에게 고객정보 접근 권한이 주어졌을 가능성
• 주기적 권한 검토 부재: 퇴사자 계정 비활성화 지연
• 계정 모니터링 미흡: 비정상적 접근 패턴 탐지 실패

특히 올리브영 같은 대형 소매·전자상거래 기업은 고객정보를 다루는 직원이 많기 때문에, 접근 제어 체계가 더욱 엄격해야 한다. 그럼에도 불구하고 기본적인 보안 조치가 미흡했다는 점이 문제다.

---

유사 사건의 교훈

이번 올리브영 사건은 최근 몇 년간 반복되는 '내부자 위협' 패턴을 보여준다. 외부 해킹보다 직원 계정 탈취, 부실 관리, 내부자 범죄 등이 증가하고 있으며, 이는 단순히 개인정보보호팀의 역량 문제를 넘어 기업 전체의 보안 문화 부재를 드러낸다.

---

기업·기관의 대응 방안

1. 접근 제어의 최소권한 원칙(Principle of Least Privilege)

직원에게는 **직무 수행에 반드시 필요한 정보만** 접근하도록 권한을 최소화해야 한다.

2. 정기적 권한 점검 및 컴플라이언스

- 분기별 접근권한 감시 및 불필요 권한 회수 - 직원 이직 시 즉시 계정 비활성화 프로세스

3. 감시 및 탐지 체계 구축

- 비정상적 데이터 접근 패턴 모니터링 - 침입탐지시스템(IDS) 및 데이터손실방지(DLP) 도입

4. 즉시 보고 및 투명 공개

- 침해 의심 시 지체 없이 개인정보보호위원회 보고 - 고객에게 신속 통지 (침해 확인 후 72시간 이내 권장)

5. 임직원 보안 교육

- 정보보안 의무화 교육 - 사회공학 공격(피싱, 스미싱) 대응 훈련

---

규제 당국의 후속 조치 필요

올리브영 사건은 개인정보보호위원회의 적극적 감시를 촉구한다. 현행 과태료 수준(최대 3,000만원)이 대기업 침해사고에 비해 너무 낮다는 지적도 있다. 침해사고 규모와 은폐 기간을 고려한 차등 처분 강화가 필요한 시점이다.

기업들이 정말로 개인정보를 국민의 소중한 자산으로 여기는 날까지, 감시와 처분은 계속돼야 한다.

---

📋 [시험 연계 포인트: CPPG·ISMS-P]

항목	내용
관련 기준	ISMS-P 5.3절 "접근통제", CPPG 제7절 "접근 및 권한관리"
핵심 원칙	최소권한 원칙(Principle of Least Privilege) 적용 필수
감시항목	직원 계정의 정기적 권한 감시, 불필요 권한 회수 프로세스
실패 사례	올리브영: 직원 계정 부실 관리 → 미흡한 접근제어 → 300만명 유출