JDC, 내부관리계획 18개 항목 확대…'알고도 미룬 조치' 경고

핵심 요약

- JDC, 2026년 9월 기관장 주재 개인정보보호 워크숍에서 내부관리계획 관리항목을 16개→18개로 확대 - 내부자 접근·인증 통제 강화 방안 논의, 최근 대형 유출사고 재발방지 집중 - 송석언 이사장 "조치 지연이 유출사고 주원인" 강조, 선제적 대응 체계 구축 천명

주요 내용

제주국제자유도시개발센터(JDC)가 2026년 9월 기관장 직접 주재로 개인정보보호 워크숍을 개최하며, 내부관리계획 관리항목을 기존 16개에서 18개로 확대하는 등 개인정보 보호체계 전면 강화에 나섰다. 이번 조치는 2026년 상반기 국내에서 발생한 일련의 대형 개인정보 유출사고에 대한 선제적 대응 차원에서 이뤄졌다.

워크숍에서는 특히 내부자에 의한 개인정보 접근 및 인증 통제 강화 방안이 집중 논의됐다. 최근 개인정보 유출사고의 상당수가 외부 해킹보다는 내부자의 부주의 또는 고의적 유출로 발생하고 있다는 점을 감안한 조치다. JDC는 접근권한 관리체계를 재정비하고, 개인정보 처리자에 대한 정기 교육 및 모니터링을 대폭 강화할 계획이다.

송석언 JDC 이사장은 이날 워크숍에서 "최근 발생한 대형 개인정보 유출 사례들은 몰라서가 아니라, 알고도 조치를 미뤄서 생긴 상황"이라며 조직 내 개인정보보호 인식 전환의 필요성을 강조했다. 이는 기술적 보안조치 못지않게 관리적·물리적 보호조치와 조직문화 개선이 중요하다는 점을 시사한다.

JDC의 이번 조치는 공공기관이 ISMS-P 인증 유지를 넘어 실질적인 개인정보보호 내재화에 나선 모범 사례로 평가된다. 특히 기관장이 직접 워크숍을 주재했다는 점은 개인정보보호를 최고경영자(CEO) 차원의 경영 이슈로 인식하고 있음을 보여준다.

전문가 시각

"알고도 미뤘다"는 송 이사장의 지적은 2026년 현재 한국 조직들이 직면한 개인정보보호의 핵심 문제를 정확히 짚었다. ISMS-P 심사 현장에서 가장 빈번하게 발견되는 부적합 사항이 바로 '계획은 수립했으나 실행하지 않음' 또는 '형식적 이행'이다. 개인정보보호법 제29조(안전조치의무)는 기술적·관리적·물리적 조치를 '적절히' 시행할 것을 요구하는데, 이 '적절성'의 핵심은 조직의 위험수준에 맞는 '즉시성'과 '실효성'이다.

내부관리계획 항목 확대는 단순한 문서 증가가 아니라, 조직 내 개인정보 처리 프로세스의 사각지대를 식별하고 통제점을 추가한다는 의미다. 특히 내부자 접근통제 강화는 개인정보보호법 제29조 제2항과 시행령 제30조에서 요구하는 '접근권한 관리'의 핵심이다. 실무적으로는 ①직무 분리에 따른 최소권한 부여 ②접근기록 6개월 이상 보관 및 주기적 검토 ③특이행위 실시간 탐지체계 구축이 필수적이다.

ISMS-P 심사원 체크포인트

1. 내부관리계획 수립·시행 (ISMS-P 2.2.1, 개인정보보호법 제30조)
- 개인정보보호 조직 구성, 개인정보 처리 단계별 책임자 지정 여부
- 16개 법정 필수항목(시행령 제31조) 포함 여부 및 조직 특성에 맞는 추가 항목 수립 여부
- 최고경영자 승인 및 임직원 교육 실시 여부, 연 1회 이상 점검·개선 이력
- 심사 시 중점사항: 문서 존재가 아닌 '실제 이행' 증적(회의록, 점검보고서, 조치결과)

2. 접근권한 관리 (ISMS-P 2.8.2, 2.8.3 / 개인정보보호법 시행령 제30조 제1항 제2호)
- 개인정보 처리자별 접근권한 차등 부여 및 정기 검토(최소 반기 1회)
- 직무 변경·퇴직 시 즉시 권한 회수 절차 및 이행 기록
- 관리자 계정·고유식별정보 접근 시 이중 인증, 접근기록 최소 6개월 보관
- 심사 시 중점사항: 실제 계정별 권한 현황과 업무 필요성 간 일치 여부, 장기 미사용 계정 존재 여부

3. 개인정보 처리자 교육 (ISMS-P 2.2.5 / 개인정보보호법 제28조)
- 연 1회 이상 정기교육 및 신규자·업무변경자 수시교육 실시
- 교육 내용: 최근 유출사고 사례, 내부관리계획 주요 내용, 위반 시 처벌 규정
- 심사 시 중점사항: 참석률, 교육 이해도 평가 결과, 교육 후 실무 적용 모니터링

CPPG·ISMS-P 연계 포인트

내부관리계획 법정 필수 16개 항목
개인정보보호법 시행령 제31조는 ①개인정보 처리 관련 업무 분장 ②개인정보의 안전성 확보조치 ③개인정보 열람·정정·삭제 청구 절차 등 16개 필수 포함사항을 규정한다. JDC의 18개 항목 확대는 법정 의무를 넘어 조직 특성(공기업, 지역개발 사업)에 맞는 추가 관리항목(예: 제3자 제공 동의관리, 위탁업체 관리)을 포함한 것으로 추정된다. CPPG 시험에서는 16개 필수항목 중 특히 '접근권한 관리', '개인정보 유출 통지', '위험도 분석 및 개선' 관련 문제가 자주 출제된다.

접근통제 3요소: 식별-인증-인가
개인정보 처리시스템 접근통제는 ①식별(ID 부여) ②인증(비밀번호·생체인식 등) ③인가(권한 부여)의 3단계로 구성된다. 내부자 통제 강화는 특히 '인가' 단계의 최소권한 원칙 적용과 '인증' 단계의 다중인증 적용을 의미한다. ISMS-P 인증심사에서는 개인정보파일별 접근권한 매트릭스 작성 여부, 특권계정(root, admin) 관리 절차, 접근기록 검토 주기 등을 필수 점검한다. 실무에서는 개인정보보호법 시행령 제30조 제1항 제2호 '접근 통제 장치 설치·운영' 조항 준수 여부가 과징금 부과 기준이 된다.