KT 540억 과징금·일본 행정지도…AI 시대 개인정보보호 경종 울리다

국내외 규제 당국이 대형 개인정보 유출 사고에 강력한 철퇴를 내렸다. 개인정보보호위원회는 KT에 역대 최고 수준인 540억원의 과징금을 부과했고, 일본 총무성도 국경 간 데이터 이전 관련 행정지도에 나섰다. ISMS-P 인증 기업도 예외 없이 처분받으면서, 기술적 보호조치의 실질적 이행이 화두로 떠올랐다.

---

1. KT 펨토셀 유출 사고: 540억원 과징금의 의미

개인정보보호위원회는 KT가 불법 운용한 펨토셀(소형 기지국) 장비를 통해 대규모 개인정보가 유출된 사건에 대해 과징금 540억원을 부과하고, 관련자를 검찰에 고발 조치했다.

이번 사고의 핵심은 기술적 보호조치의 구조적 실패다. 펨토셀 장비의 인증 체계가 허술하게 운영되면서 공격자가 고객 정보를 탈취했고, 이를 악용한 무단 소액결제 피해가 잇따랐다. 특히 KT는 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증을 보유한 기업임에도 이 같은 사고가 발생해 '인증 무용론'까지 제기되고 있다.

개인정보보호위원회 관계자는 "인증 획득 자체보다 지속적인 관리와 실질적 이행 여부가 중요하다"며 "형식적 보안 체계로는 진화하는 위협에 대응할 수 없다"고 강조했다.

---

2. 일본 총무성, 글로벌 AI 서비스發 유출에 행정지도

일본 총무성은 2026년 8월 발생한 개인정보 유출 사건과 관련해 해당 사업자에 행정지도를 실시했다. 이번 사건은 글로벌 AI 서비스 이용 과정에서 국경 간 데이터 이전 시 보호조치가 미흡했던 것이 주요 원인으로 분석됐다.

생성형 AI 서비스 확산으로 기업들이 해외 클라우드에 데이터를 전송하는 사례가 급증하면서, 제3국 이전 시 적정성 평가와 계약적 안전조치 등 법적 요건 준수 여부가 새로운 규제 이슈로 부상하고 있다.

---

3. 공통 패턴: "기술은 도입했지만, 관리는 부재"

두 사례에서 공통적으로 드러나는 문제점은 다음과 같다.

구분	KT 사례	일본 사례
주요 원인	펨토셀 인증 체계 미흡	국경 간 이전 보호조치 부재
핵심 쟁점	ISMS-P 인증의 실효성	AI 서비스의 데이터 처리 투명성
피해 유형	무단 소액결제	개인정보 외부 노출

두 사건 모두 "기술 도입 후 지속적 모니터링 부재"라는 공통 패턴을 보인다. 보안 인증이나 기술적 조치가 '일회성 이벤트'로 끝나면서 실제 운영 과정에서의 취약점이 방치된 것이다.

---

4. 기업·기관 대응 방안

첫째, ISMS-P 인증의 실질화가 필요하다. 연 1회 심사를 넘어 분기별 자체 점검과 모의 침투 훈련을 상시화해야 한다.

둘째, AI·클라우드 환경의 데이터 흐름을 가시화해야 한다. 국경 간 데이터 이전 현황을 실시간 파악하고, 적정성 결정이 없는 국가로의 이전 시 표준계약조항(SCC) 등을 의무화해야 한다.

셋째, 경영진 책임을 강화해야 한다. 개인정보보호책임자(CPO)의 권한을 실질화하고, 이사회 차원의 정기 보고 체계를 구축할 필요가 있다.

---

📘 CPPG·ISMS-P 시험 연계 포인트

>

개인정보의 안전성 확보조치 기준 제7조(접근통제)

개인정보처리자는 개인정보처리시스템에 대한 불법적인 접근을 차단하기 위해 접근권한 관리, 비밀번호 관리, 접근통제 시스템 설치 등의 조치를 취해야 한다. KT 사례는 펨토셀 장비에 대한 접근통제 미흡이 직접적 원인으로, 네트워크 장비를 포함한 전체 시스템의 접근통제 범위 설정이 시험 출제 포인트로 예상된다.

---

글 백남정 기자 | 2025년 1월