국감 지적부터 북한 해킹까지…개인정보 보호의 '3단계 위기'

2026년 국정감사에서 반복되는 해킹 사고가 지적되는 가운데, PHP 보안 취약점 방치와 북한 APT38의 대규모 공격까지 이어지면서 국내 개인정보 보호체계가 '3단계 위기'에 직면했다. 정책 공백, 기업의 의무 회피, 국가 차원의 해킹 위협이 동시다발적으로 터져나오고 있는 상황이다.

정책 검증 부재, 반복되는 해킹 사고의 악순환

2026년 국회 과학기술정보방송통신위원회 국정감사에서 가장 먼저 도마 위에 오른 것은 정책 실행 단계의 검증과 감독 부재였다. 정보통신부와 관련 기관들이 개인정보 보호 정책을 수립하고는 있으나, 실제 이행 여부와 효과성을 점검하는 체계가 취약하다는 지적이다.

더 심각한 것은 피해 예방체계의 공백이다. 과거 사고가 난 후 사후 처리에만 집중해온 반면, 사전 예방과 조기 경보 시스템은 제대로 작동하지 않고 있었다. 결과적으로 유사한 해킹 사고가 반복되고 있으며, 이는 기업과 이용자 모두에게 신뢰 침식으로 이어지고 있다.

기업의 '의도적 방치'…KISA 권고 무시의 대가

상황을 더욱 악화시키는 것은 기업들의 자발적 부주의다. PHP 보안 취약점 문제가 좋은 사례다. 한국인터넷진흥원(KISA)이 공식적으로 권고했음에도 불구하고, 일부 기업들이 영업 차질을 우려해 보안 조치를 의도적으로 미루고 있는 것으로 파악됐다.

이는 단순한 태만을 넘어 법적 책임 회피 불가능의 영역으로 진입했다. 법률 전문가들은 "권고된 보안 조치를 무시한 기업이 개인정보 유출 사고를 당했을 경우, 개인정보보호법과 정보통신망법 위반으로 인한 과실 책임을 피하기 어려울 것"이라고 지적하고 있다. 특히 KISA의 공식 권고가 남아있다면 기업의 불작위(不作爲)에 대한 증거력이 매우 높다.

국가 차원의 위협…북한 APT38의 '자금 조달형 공격'

국내 기업과 기관이 내부적으로 허우적거리는 사이, 국가 차원의 사이버 위협은 고도화되고 있다. 미 법무부가 공식 적발한 북한 국가 해킹조직 APT38은 피싱 → 웹 취약점 악용 → 권한 상향 → 자산 탈취라는 체계적인 공격 사슬을 구축했다.

특히 주목할 점은 공격 목표가 가상자산 거래소라는 것이다. 북한 제재 우회와 자금 조달이 명확한 목표인 만큼, 공격의 정교성과 지속성이 높을 수밖에 없다. 국내 가상자산 거래소와 핀테크 기업들이 동일한 위협에 노출되어 있으며, 기존의 산업별 보안 기준만으로는 대응이 불충분한 상황이다.

공통 패턴: '신뢰의 불가능성'

세 사례의 공통분모는 다층 방어(Defense in Depth) 실패다. 정책 수립(1단계) → 기업 이행(2단계) → 위협 탐지 및 대응(3단계) 중 어느 하나도 제대로 작동하지 않고 있다.

• 정책 단계: 검증·감독 시스템 부재
• 이행 단계: 기업의 의무 회피
• 대응 단계: 국가 고급 위협에 대한 실시간 탐지 능력 부족

기업·기관의 즉각적 대응 방안

① 기업 차원의 조치
- KISA 권고사항 즉시 이행 및 이행 결과 기록 보관
- 보안 업그레이드 비용을 영업 손실로 인식하지 않기 (법적 책임이 훨씬 비쌈)
- 개발 환경(PHP 등 레거시 프레임워크) 정기 감시 체계 구축

② 정부·기관 차원의 조치
- 국정감사 지적사항에 대한 실시간 모니터링 체계 도입
- KISA 권고 미이행 기업에 대한 컨설팅 의무화
- 금융·가상자산·통신 등 주요 산업에 대한 APT 대응 모의훈련 확대
- 북한 APT38의 공격 패턴을 반영한 산업별 TTP(전술·기법·절차) 공개

---

📌 CPPG·ISMS-P 시험 연계 포인트

[통제 요구사항: 보안 취약점 관리]

개인정보보호관리체계(ISMS-P) 제3조 '물리·기술적 보호조치' 중 취약점 관리 통제 항목에서는 "발견된 보안 취약점에 대해 위험도를 평가하고 해결 계획을 수립·이행해야 하며, 권고사항 미이행 시에는 의사결정자의 명시적 승인(Risk Acceptance)을 문서화해야 한다"고 명시하고 있다.

PHP 취약점 사건에서 기업들이 '영업 차질' 이유로 조치를 미룬 행위는 ISMS-P 인증 심사 시 '통제 부재' 판정을 받을 수