공공기관 개인정보 7만명 유출…3년간 방치된 보안 사각지대

핵심 요약

- 2022년 9월부터 약 3년간 한국예술종합학교 재학생 1만 8000명, 119고시 수험생 5만명 등 총 7만여 명의 개인정보 유출 - 충청권 공공망을 노린 사이버공격 3900건 발생, 조달청은 전년 대비 5배 급증하며 공공기관 보안 취약성 노출 - 정부는 2025년 10월 범부처 정보보호 종합대책 발표했으나, 장기간 방치된 보안 사각지대 문제 심각

주요 내용

2026년 9월 현재, 공공기관의 개인정보보호 체계에 심각한 구멍이 있었던 것으로 드러났다. 한국예술종합학교와 소방공무원 채용사이트 '119고시'에서 2022년 9월부터 약 3년간 총 7만여 명의 개인정보가 노출 상태로 방치됐다. 특히 119고시의 경우 수험생 5만여 명의 민감한 개인정보가 유출되면서, 공직 지원자들의 신상정보가 사이버 범죄에 악용될 위험이 제기되고 있다.

충청권 공공망을 대상으로 한 사이버공격도 급증세를 보이고 있다. 최근 집계에 따르면 충청권 공공기관을 겨냥한 사이버공격이 3900건에 달했으며, 특히 조달청의 경우 전년 대비 5배나 급증한 것으로 확인됐다. 이는 공공조달 시스템이 사이버 범죄자들의 주요 타깃이 되고 있음을 시사한다.

정부는 이러한 상황에 대응하기 위해 2025년 10월 범부처 정보보호 종합대책을 발표했다. 하지만 이미 3년 가까이 개인정보가 노출된 상태였다는 점에서, 사후 대응의 한계가 명확히 드러났다. 공공기관의 정보보호 체계가 형식적 인증 취득에 그치고, 실질적인 보안 모니터링과 취약점 관리는 소홀했던 것으로 분석된다.

이번 사태는 단순한 기술적 결함을 넘어, 공공기관의 개인정보보호 거버넌스 전반에 대한 재점검이 필요함을 보여준다. 특히 교육기관과 채용 플랫폼처럼 대량의 개인정보를 다루는 시스템에 대한 상시 보안 점검 체계 구축이 시급한 상황이다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 이번 사태의 핵심 문제는 '지속적 보안 관리 체계의 부재'다. 많은 공공기관이 ISMS-P 인증을 취득하고도 사후 관리를 소홀히 하는 경향이 있다. 3년간 개인정보 노출이 방치됐다는 것은 정기적인 취약점 점검, 침해사고 모니터링, 개인정보 영향평가 등 핵심 통제 활동이 제대로 작동하지 않았음을 의미한다. 특히 119고시처럼 공직 지원자 정보를 다루는 시스템은 개인정보보호법상 '민감정보'에 준하는 관리가 필요함에도 기본적인 접근통제조차 미흡했던 것으로 추정된다.

실무 차원에서 공공기관은 이제 '인증 취득'에서 '실질적 보안 운영'으로 패러다임을 전환해야 한다. 최소한 분기별 침해사고 탐지 로그 분석, 반기별 취약점 점검, 연 1회 이상의 모의훈련을 의무화하고, 외부 전문가에 의한 독립적 점검 체계를 구축해야 한다. 조달청의 사이버공격 5배 급증 사례는 공공조달 시스템이 APT 공격의 주요 표적이 되고 있음을 보여주므로, 제로트러스트 아키텍처 도입과 공급망 보안 강화가 필수적이다.

ISMS-P 심사원 체크포인트

1. 2.5.2 개인정보 현황 관리 / 2.8.4 개인정보 유출사고 대응
- 개인정보 보유 현황을 정확히 파악하고 주기적으로 갱신했는지 점검
- 개인정보 접근 권한 부여 시 최소권한 원칙 적용 여부 확인
- 개인정보 유출 징후 모니터링 체계 및 실시간 탐지 시스템 운영 여부
- 관련 법조항: 개인정보보호법 제29조(안전조치의무), 제34조(개인정보 유출 통지 등)

2. 2.6.1 취약점 점검 및 조치 / 2.7.3 침해사고 모니터링
- 정보시스템 및 개인정보처리시스템에 대한 정기적 취약점 점검 실시 증적
- 취약점 발견 시 위험도 평가 및 조치 완료 기한 준수 여부
- 침해사고 탐지를 위한 실시간 모니터링 체계 구축 및 로그 분석 주기
- 관련 법조항: 개인정보보호법 시행령 제30조(개인정보의 안전성 확보 조치)

3. 2.1.4 법적 요구사항 준수 검토 / 3.1.1 개인정보 영향평가
- 고위험 개인정보처리시스템에 대한 개인정보 영향평가 수행 여부
- 공공기관의 경우 개인정보 파일 등록·공개(개인정보보호 종합포털) 이행 확인
- 5만명 이상 개인정보 유출 시 과징금·형사처벌 대상(최대 매출액 3% 또는 5억원)
- 관련 법조항: 개인정보보호법 제33조(개인정보 영향평가), 제34조의2(과징금 부과)

CPPG·ISMS-P 연계 포인트

개인정보 생명주기별 안전조치(CPPG 핵심)
개인정보는 수집·이용·제공·보관·파기의 전 단계에서 차별화된 안전조치가 필요하다. 본 사례처럼 3년간 방치된 경우는 '보관 단계'의 접근통제·암호화 실패와 '파기 단계'의 보유기간 준수 미흡이 복합적으로 작용한 것이다. CPPG 시험에서는 각 단계별 기술적·관리적·물리적 안전조치를 구분해 출제되므로, 개인정보보호법 시행령 제30조의 9가지 안전조치 항목을 생명주기와 연계해 암기해야 한다.

침해사고 대응 체계와 사후 조치 의무(ISMS-P 2.8)
개인정보 유출사고 발생 시 ①유출 사실 인지 즉시 정보주체 통지 ②행정안전부·개인정보보호위원회 신고(5일 이내) ③피해 최소화 조치 ④재발방지 대책 수립이 법적 의무다. ISMS-P 심사 시 침해사고 대응 매뉴얼·훈련 실시 기록·유출 통지 템플릿 구비 여부를 중점 점검하며, 모의훈련 미실시 시 '보완필요' 판정 사유가 된다. 본 사례처럼 장기간 발견 지연은 '모니터링 체계 부재'로 판단되어 중대 부적합 항목으로 분류될 수 있다.