ISMS-P 인증 두 달 만에 16만건 유출…29CM 사태로 본 인증제도 사각지대

핵심 요약

- 패션 플랫폼 29CM에서 고객 이름 13만8,841건, 이름·이메일 주소 등 총 16만여 건의 개인정보 유출 사고 발생 - ISMS-P 인증 80개 보안기준을 모두 통과한 지 불과 두 달 만에 발생한 사고로 인증제도의 실효성 논란 증폭 - 전문가들은 형식적 심사 탈피와 해킹 대응 심사 항목 다양화 필요성 지적

주요 내용

2026년 9월, 무신사 계열 패션 플랫폼 29CM에서 대규모 개인정보 유출 사고가 발생했다. 유출된 정보는 고객 이름 13만8,841건과 이름·이메일 주소를 포함한 총 16만여 건에 달한다. 이번 사고의 핵심 쟁점은 29CM가 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증을 획득한 지 불과 두 달 만에 발생했다는 점이다.

ISMS-P 인증은 과학기술정보통신부와 개인정보보호위원회가 공동으로 운영하는 국내 최고 수준의 정보보호 인증제도로, 80개의 엄격한 보안기준을 충족해야 획득할 수 있다. 그러나 이번 사고는 모든 인증기준을 통과했음에도 실제 해킹 공격을 방어하지 못한 것으로, 현행 인증제도가 형식적 서류 심사에 치우쳐 있다는 비판에 무게를 실어주고 있다.

고려대 권헌영 교수는 "인증 심사 기준을 강화하고 해킹을 차단할 수 있는 심사 항목을 다양화할 필요가 있다"고 지적했다. 실제로 많은 기업들이 인증 획득을 위해 문서와 절차 정비에는 집중하지만, 실시간 위협 탐지, 침입 차단, 취약점 점검 등 실질적인 보안 운영 역량 강화에는 소홀한 경우가 많다.

이번 사고는 특히 이커머스 플랫폼의 개인정보 보호 취약성을 다시 한번 부각시켰다. 29CM와 같은 온라인 쇼핑몰은 대량의 고객 개인정보를 보유하고 있어 해커들의 주요 표적이 되고 있으며, 단순한 인증 획득을 넘어 지속적인 보안 투자와 모니터링이 필수적임을 보여준다.

전문가 시각

ISMS-P 선임심사원으로서 30회 이상 인증심사를 수행한 경험에 비춰볼 때, 이번 사고는 '인증 획득'과 '실질적 보안 운영' 사이의 간극을 극명하게 드러낸 사례다. 현장 심사에서 가장 우려되는 부분은 기업들이 인증 획득 시점에는 모든 통제를 완벽하게 구현하지만, 인증 이후 지속적인 보안 운영과 개선 활동이 유지되지 않는다는 점이다. 특히 웹 애플리케이션 취약점 점검, 로그 모니터링, 이상 징후 탐지 등 동적인 보안 활동은 인증심사 시점의 스냅샷으로는 평가하기 어렵다.

기업들은 ISMS-P를 단순한 '인증 배지'가 아닌 실질적인 보안 경영 체계로 인식해야 한다. 인증 획득 후에도 최소 월 1회 이상의 취약점 점검, 일일 보안 로그 분석, 분기별 모의해킹 훈련 등을 지속해야 하며, 특히 개인정보를 대량 보유한 이커머스 기업은 제로 트러스트 아키텍처 도입과 개인정보 암호화 강화를 우선 과제로 삼아야 한다. 또한 인증기관과 규제당국은 사후 관리 강화를 위해 무작위 현장 점검과 실제 침해 대응 역량을 평가하는 실습형 심사를 도입할 필요가 있다.

ISMS-P 심사원 체크포인트

1. 인증기준 2.8.2 침해사고 모니터링 (개인정보보호법 제29조 안전조치의무)
실시간 보안 모니터링 체계가 실제로 작동하는지 확인이 필수다. 단순히 보안관제 도구를 도입했다는 증적만으로는 부족하며, ①24시간 로그 모니터링 수행 기록 ②이상 징후 탐지 시 대응 절차 실행 증적 ③보안담당자의 알림 수신 및 조치 이력을 최소 3개월 이상 확인해야 한다. 29CM 사례처럼 인증 후 모니터링이 형식화되면 침해사고를 조기 탐지할 수 없다.

2. 인증기준 2.8.4 취약점 점검 및 조치 (개인정보보호법 시행령 제30조)
웹 애플리케이션 취약점 점검이 정기적으로 수행되고 발견된 취약점이 실제 조치되는지 이력 추적이 핵심이다. 심사 시 ①최근 6개월 내 취약점 점검 보고서 ②High/Critical 등급 취약점의 조치 완료 증적 ③개발 단계 보안 코딩 가이드 준수 여부를 점검한다. 특히 SQL Injection, XSS 등 OWASP Top 10 취약점에 대한 점검과 조치가 누락되면 개인정보 유출 경로가 될 수 있다.

3. 인증기준 2.10.2 개인정보 암호화 (개인정보의 안전성 확보조치 기준 제7조)
개인정보 저장 및 전송 구간 암호화가 실제 구현되었는지 기술적 검증이 필요하다. 이메일 주소와 이름이 유출된 이번 사례는 DB 암호화 미흡 또는 애플리케이션 레벨 접근통제 실패 가능성을 시사한다. 심사 시 ①개인정보 DB 암호화 적용 현황 ②암호화 키 관리 체계 ③개발자 및 운영자의 평문 개인정보 접근 통제 로그를 확인하며, 특히 대량 조회 쿼리에 대한 모니터링과 차단 정책이 필수다.

CPPG·ISMS-P 연계 포인트

사후관리 및 지속적 개선 (Continuous Improvement)
ISMS-P는 일회성 인증이 아닌 PDCA(Plan-Do-Check-Act) 사이클 기반의 지속적 개선 체계다. 인증 획득 후에도 정기적인 위험 재평가, 보안 통제 효과성 검증, 내부 심사를 통해 보안 수준을 유지·강화해야 한다. 29CM 사례는 인증 후 '유지(Maintain)' 단계의 중요성을 보여주며, CPPG 시험에서는 사후관리 의무와 갱신심사(3년) 개념이 자주 출제된다.

기술적 안전조치와 관리적 안전조치의 균형
개인정보보호법 제29조 및 시행령 제30조는 암호화, 접근통제 등 기술적 조치와 함께 내부관리계획, 접속기록 보관 등 관리적 조치를 동시에 요구한다. 많은 기업이 기술적 도구 도입에만 집중하고 운영 절차와 인력 역량 강화를 소홀히 하는데, 실제 침해사고는 이러한 불균형에서 발생한다. ISMS-P 심사에서는 두 영역의 통합적 구현과 실제 운영 증적을 종합 평가한다.