국세청 체납관리단 투잡·재택 허용, ISMS-P 관점에서 본 개인정보 보안 위험

핵심 요약

- 국세청이 2026년 5월 체납관리단 채용에서 투잡·재택근무를 허용하며 개인정보 보안 논란 발생 - 체납자 민감정보 접근 가능한 업무 특성상 원격근무 환경의 접근통제 및 보안대책 미흡 우려 - ISMS-P 인증기준상 원격근무자 관리, 개인정보 처리 장소 제한, 비밀유지 의무 등 다층 보안통제 필요

주요 내용

국세청이 2026년 5월 18일 공고한 체납관리단 채용에서 투잡(겸직)과 재택근무를 허용하면서 개인정보 보안 적정성에 대한 우려가 제기되고 있다. 6월 5일 서류전형 합격자를 발표하고 같은 달 24일 최종합격자를 공고한 이번 채용은 체납자의 주민등록번호, 소득정보, 재산내역 등 민감한 개인정보를 다루는 업무 특성상 보안 관리가 매우 중요한 영역이다.

국세청은 "교육 과정에서 개인정보 보호와 비밀유지 의무를 지속적으로 강조하고 있다"고 밝혔으나, 재택근무 환경에서의 구체적인 기술적·관리적 보안대책에 대한 설명은 부족한 상황이다. 특히 투잡을 허용할 경우 겸직 업무 수행 중 국세 정보 노출 위험, 업무 단말기 관리 소홀, 가정 내 무선 네트워크를 통한 정보 유출 가능성 등 다양한 보안 취약점이 존재한다.

일반적으로 금융기관이나 공공기관의 경우 민감정보 처리자에 대해서는 재택근무를 제한하거나, 허용 시 VPN 필수 사용, 업무 단말기 외부 반출 금지, 업무 공간 물리적 격리, CCTV 설치 등 엄격한 보안통제를 적용한다. 그러나 국세청의 이번 채용 공고에는 이러한 구체적 보안요구사항이 명시되지 않아, 실제 운영 시 개인정보 유출 사고로 이어질 가능성을 배제할 수 없다.

더욱이 체납관리 업무는 단순 조회를 넘어 채권추심, 재산조사 등 적극적 개인정보 처리가 수반되며, 처리 결과가 개인의 재산권에 직접적 영향을 미친다는 점에서 보안 수준을 한층 높여야 한다. 교육만으로는 기술적 해킹, 내부자 의도적 유출, 가족 구성원의 우연한 정보 접근 등 다양한 위협 시나리오를 방어하기 어렵다.

전문가 시각

ISMS-P 선임심사원으로서 본 사안을 평가하면, 국세청의 현재 접근방식은 개인정보 보호 원칙 중 '최소권한 부여'와 '안전한 처리 환경 보장' 측면에서 상당한 개선이 필요하다. 재택근무 자체가 문제가 아니라, 재택근무 환경에서 민감정보를 안전하게 처리할 수 있는 기술적 통제(보안 VPN, DLP, 화면 워터마킹, 출력 제한 등)와 관리적 통제(재택근무 보안서약, 정기 보안점검, 업무공간 인증 등)가 동시에 구축되어야 한다는 점이다.

특히 투잡 허용은 이해상충 방지 및 업무집중도 측면에서도 재고가 필요하다. 겸직자의 경우 주 업무와 부 업무 간 정보 혼용, 업무 단말기 공용 사용, 근무시간 불명확 등으로 인해 개인정보 통제 실효성이 저하될 수 있다. 최소한 겸직 업무 내용 사전신고, 이해상충 검토, 보안서약 강화 등의 보완책이 마련되어야 한다. 국세청은 단순 교육 강조를 넘어 ISO 27001, ISMS-P 등 국제표준 및 국내 인증기준에 부합하는 원격근무 보안체계를 조속히 수립해야 할 것이다.

ISMS-P 심사원 체크포인트

1. 인증기준 2.8.2 (원격근무 보안) 및 2.10.4 (개인정보 처리 장소 제한) 재택근무 환경에서 개인정보 처리 시 안전한 접속수단(VPN, 전용선 등) 제공, 업무 단말기 보안(MDM, 암호화), 업무 공간 물리적 보안(출입통제, 화면보호), 개인정보 출력·저장 금지 등을 점검한다. 개인정보보호법 제29조(안전조치의무)에 따라 원격 접속 시 접근통제, 접속기록 보관, 고유식별정보 암호화가 필수이며, 심사 시 재택근무자의 실제 업무환경 점검(사진, 체크리스트) 및 접속로그 분석을 수행한다.

2. 인증기준 2.3.2 (인력 보안) 및 개인정보보호법 제28조(개인정보취급자 감독) 투잡 허용 시 겸직 내용 파악, 이해상충 검토, 보안서약 강화가 필요하다. 채용 전 신원확인, 보안서약서 징구, 주기적 보안교육(연 1회 이상) 실시 여부를 점검하며, 특히 민감정보 처리자에 대해서는 강화된 서약(가족 비밀유지 포함) 및 징계 규정을 확인한다. 퇴직 시 개인정보 반환·파기, 비밀유지 의무 지속 등도 심사 대상이다.

3. 인증기준 2.6.4 (접근권한 검토) 및 2.9.1 (개인정보 접근통제) 체납관리 업무 특성상 대량의 주민등록번호, 소득·재산정보 접근이 가능하므로, 역할 기반 접근통제(RBAC), 업무 목적 외 조회 금지, 접근로그 실시간 모니터링, 이상 접근 탐지(대량 다운로드, 업무시간 외 접근 등)가 필수다. 개인정보보호법 제29조 제3항 및 시행령 제30조에 따라 고유식별정보 접근 시 암호화, 접근로그 2년 보관, 주기적 로그 분석이 요구되며, 심사 시 실제 로그 샘플링 및 이상 접근 탐지 사례를 확인한다.

CPPG·ISMS-P 연계 포인트

원격근무 환경의 개인정보 안전조치 (CPPG 핵심) 개인정보보호법 제29조는 개인정보처리자에게 안전조치의무를 부과하며, 시행령 제30조는 접근통제, 암호화, 접속기록 보관 등을 규정한다. 특히 재택근무 시 '개인정보의 안전한 보관을 위한 잠금장치 설치' 및 '업무용 컴퓨터·모바일 기기의 비밀번호 설정' 등 물리적·기술적 조치가 필수이며, CPPG 시험에서는 원격 접속 시 필수 보안요소(VPN, 2단계 인증, 암호화 등)를 묻는다.

내부자 위협 관리와 접근권한 최소화 원칙 (ISMS-P 핵심) ISMS-P 인증기준 2.9.1은 개인정보 접근권한을 '업무 수행에 필요한 최소한'으로 제한하고, 정기적 검토·조정을 요구한다. 투잡·재택 환경에서는 내부자 위협이 증가하므로, 특권계정 분리, 직무분리(Segregation of Duties), 4-eyes 원칙, 접근로그 실시간 모니터링 등 보상통제가 중요하다. 시험에서는 내부자 부정행위 사례 및 예방 통제(로그 분석, 이상행위 탐지 등)가 자주 출제된다.