교원그룹 랜섬웨어 사고, 9개월간 결론 못 낸 이유는? ISMS-P 심사원이 본 문제점

핵심 요약

- 교원그룹 랜섬웨어 공격 발생 후 약 9개월이 지났으나 개인정보 유출 여부에 대한 명확한 결론 미도출 - 사고 발생 후 고객 안내 및 피해 예방 조치의 적시성과 충분성에 대한 의문 제기 - 기존 해킹 사례와 달리 장기간 원인 규명 지연이 더 큰 2차 피해를 야기할 우려

주요 내용

2025년 초 발생한 것으로 추정되는 교원그룹 랜섬웨어 공격 사고가 2026년 10월 현재까지도 개인정보 유출 여부에 대한 최종 결론을 내리지 못하고 있어 논란이 되고 있다. ISMS-P 선임심사원인 백남정 박사는 "개인정보 유출 기업으로 단정할 수는 없으나, 9개월간 결론을 내리지 못한 원인 규명 지연과 고객 대응 방식은 별도로 검토해야 할 사안"이라고 지적했다.

일반적인 랜섬웨어 공격의 경우 사고 발생 후 초기 대응 골든타임인 72시간 내에 피해 범위를 특정하고, 늦어도 1개월 내에는 유출 여부와 영향받은 정보주체 범위를 확정하는 것이 국제 표준이다. 그러나 교원그룹 사례는 이러한 일반적인 대응 프로세스를 크게 벗어나 장기간 불확실성이 지속되고 있는 상황이다.

특히 문제가 되는 부분은 사고 발생 후 고객에게 제공된 정보의 구체성과 피해 예방 조치의 실효성이다. 개인정보보호법 제34조는 개인정보 유출 사실을 안 때로부터 24시간 이내에 정보주체에게 통지하도록 규정하고 있으나, 유출 여부 자체를 확정하지 못한 상태가 장기간 지속되면서 고객들은 불안감 속에서 자체적인 보안 조치를 취해야 하는 상황에 놓였다.

이번 사태가 앞선 해킹 사례들과 결을 달리하는 이유는 단순히 기술적 침해 자체가 아니라, 사고 대응 과정에서의 투명성과 신속성 부족이 더 큰 신뢰 손상을 야기하고 있다는 점이다. 현대적인 침해사고 대응 체계에서는 완벽한 원인 규명보다 신속한 잠정 결론과 단계적 정보 공개가 더 중요한 가치로 인정받고 있다.

전문가 시각

ISMS-P 인증 심사 실무 관점에서 볼 때, 이번 교원그룹 사례는 침해사고 대응 계획의 실효성 검증이 얼마나 중요한지를 보여주는 사례다. 많은 기업들이 인증 취득을 위해 형식적인 침해사고 대응 절차를 문서화하지만, 실제 랜섬웨어 공격과 같은 중대 사고 발생 시 해당 절차가 작동하지 않는 경우가 빈번하다. 특히 포렌식 증거 수집, 영향 범위 특정, 유출 여부 판단이라는 3대 핵심 프로세스가 9개월 동안 완료되지 못했다면, 이는 기술적 역량 부족이 아닌 사고 대응 거버넌스의 구조적 문제를 시사한다.

기업 입장에서는 "확실하지 않은 정보를 공개했다가 오히려 더 큰 혼란을 야기할 수 있다"는 우려가 있을 수 있다. 그러나 개인정보보호 법제는 완벽한 정보보다 신속한 잠정 정보 제공을 우선시한다. 단계적 정보 공개 전략을 통해 "현재까지 확인된 사실", "진행 중인 조사 내용", "예상 완료 시점"을 주기적으로 업데이트하는 것이 고객 신뢰 유지에 훨씬 효과적이다. 9개월간의 침묵은 법적 책임 회피 수단이 아닌, 오히려 더 큰 법적·평판 리스크를 축적하는 결과를 초래한다.

ISMS-P 심사원 체크포인트

1. 2.8.2 침해사고 대응 및 복구 (인증기준 필수 항목)
- 침해사고 발생 시 24시간 내 초기 대응팀 구성, 72시간 내 피해 범위 1차 평가, 30일 내 최종 조사 결과 도출이라는 단계별 마일스톤 수립 여부 점검 필요
- 랜섬웨어 특화 대응 절차 마련 여부: 암호화된 시스템 격리, 백업 데이터 무결성 검증, 데이터 유출 여부 판단을 위한 네트워크 트래픽 분석 절차 구비 확인
- 개인정보보호법 제34조(개인정보 유출 통지·신고) 준수: 유출 인지 후 24시간 내 통지 의무 이행 여부, 불확실한 상황에서의 잠정 통지 프로세스 마련 여부가 핵심 심사 포인트

2. 2.8.4 침해사고 기록 및 증거 보존
- 포렌식 증거 수집 절차의 실효성: 랜섬웨어 감염 시스템의 메모리 덤프, 로그 파일, 네트워크 패킷 캡처 등을 변조 없이 수집·보존하는 체계 구축 여부
- 9개월간 원인 규명이 지연된다는 것은 초기 증거 수집 실패 또는 분석 역량 부족을 의미하며, 이는 외부 전문기관 협력 체계 미비로 연결됨
- 법적 증거능력 확보를 위한 COC(Chain of Custody) 절차 준수 여부가 향후 분쟁 시 결정적 요소

3. 2.9.2 개인정보 유출 및 오용 방지 (개인정보보호법 연계)
- 유출 '의심' 단계에서도 정보주체 보호 조치 선제 시행: 임시 비밀번호 발급, 이상 거래 모니터링 강화 등 예방적 조치 실시 여부
- 개인정보보호법 시행령 제39조(통지 및 신고의 방법 및 절차): 유출 통지 시 포함해야 할 5가지 필수 항목(유출 시점, 항목, 규모, 조치사항, 대응방법) 중 '확인 중' 상태로 표시하더라도 통지 자체는 신속히 이행해야 함

CPPG·ISMS-P 연계 포인트

침해사고 대응 골든타임 (Golden Hour in Incident Response)
랜섬웨어를 포함한 침해사고 대응에서 최초 72시간은 '골든타임'으로 간주된다. 이 시간 내에 ① 사고 범위 격리 ② 초기 피해 범위 특정 ③ 주요 이해관계자 통지 ④ 포렌식 증거 확보가 완료되어야 한다. ISMS-P 인증기준 2.8.2는 이를 문서화된 절차로 요구하며, CPPG(개인정보보호 전문가) 시험에서는 단계별 대응 조치와 법적 통지 의무(개인정보보호법 제34조)의 연계를 주요 출제 포인트로 다룬다. 교원그룹 사례처럼 9개월간 결론을 내리지 못하는 것은 초기 대응 실패의 전형적 사례다.

불확실성 하의 통지 의무 (Notification Under Uncertainty)
개인정보 유출 '확정' 전이라도 유출 '가능성'이 있다면 잠정 통지를 실시해야 한다는 원칙이 최근 법 해석의 주류다. 개인정보보호법 제34조의 "안 때"는 '완벽히 확인된 때'가 아니라 '합리적으로 인지 가능한 때'로 해석되며, 보호위원회 가이드라인은 "조사 진행 중"이라는 사실과 함께 현재까지 파악된 정보를 단계적으로 제공할 것을 권고한다. ISMS-P 심사에서는 유출 의심 단계의 커뮤니케이션 계획 수립 여부를 점검하며, 이는 위기관리 체계의 성숙도를 평가하는 핵심 지표다.