대구 고교 동문명부 개인정보 유출 위험... 엑셀 관리의 치명적 보안 취약점

핵심 요약

- 대구 지역 고교 동문회가 엑셀 파일로 관리하는 동문명부에서 개인정보 유출 위험 지속 - 과거 발행한 책자 형태 명부와 보안 취약한 엑셀 관리 방식이 복합적 위험 요소로 작용 - 영진전문대 AI컴퓨터보안과 전문가는 개인정보보호법 강화에도 불구하고 실무 보안 미흡 지적

주요 내용

대구 지역 고등학교 동문회에서 관리하는 개인정보가 보안 취약점에 노출되어 있는 것으로 나타났다. 2026년 8월 현재, 동문회 사무국들이 동문 정보를 주로 엑셀 파일로 관리하면서 접근 통제, 암호화, 로그 관리 등 기본적인 보안 조치가 부재한 상태다.

문제는 과거 발행된 책자 형태의 동문명부가 여전히 유통되고 있다는 점이다. 한 동문회 관계자는 "그간 발행한 책자가 많아 정보 유출은 피할 수 없다"며 현실적 어려움을 토로했다. 이는 물리적 자료와 전자 파일이라는 이중 경로를 통해 개인정보가 통제 없이 확산될 수 있음을 의미한다.

영진전문대 최민우 학과장(AI컴퓨터보안과)은 "개인정보보호법이 강화되기는 했지만, 동문회 사무국이 보통 엑셀 파일로 리스트를 관리해 보안에 취약하다"고 지적했다. 엑셀 파일은 암호 설정 없이 공유되거나, 개인 PC·이메일·메신저를 통해 무분별하게 전송되는 경우가 많아 랜섬웨어 감염, 비인가 접근, 2차 유출 등의 위험에 노출되기 쉽다.

특히 동문회는 개인정보보호법상 '영리 목적 없는 단체'로 간주되어 법적 규제 사각지대에 놓이는 경우가 많다. 하지만 성명, 연락처, 주소, 직장 정보 등 민감한 개인정보를 대량으로 보유하고 있어 유출 시 보이스피싱, 스미싱, 명의 도용 등 2차 피해로 이어질 가능성이 크다.

전문가 시각

ISMS-P 관점에서 볼 때, 동문회와 같은 비영리 조직도 개인정보를 체계적으로 처리하는 경우 개인정보보호법 제2조(정의)에 따른 '개인정보처리자'에 해당한다. 따라서 정보주체 동의, 목적 외 이용 금지, 안전성 확보 조치(제29조) 등 법적 의무를 준수해야 한다. 엑셀 파일 관리 시에도 최소한 ① 파일 암호화 ② 접근 권한 설정 ③ 출력·저장 로그 기록 ④ 정기적 파기 절차를 마련해야 한다.

실무적으로는 클라우드 기반 개인정보 관리 시스템 도입을 권고한다. 구글 워크스페이스, 마이크로소프트 365 등은 접근 로그, 버전 관리, 권한 제어 기능을 제공하며, 국내 중소 SaaS 솔루션들도 ISMS-P 인증을 받은 서비스를 제공한다. 동문회비로 연간 수십만 원 투자로 수만 명의 개인정보를 안전하게 보호할 수 있다면, 이는 필수 투자로 봐야 한다. 또한 동문회 임원 대상 연 1회 개인정보보호 교육을 의무화하고, 명부 열람 시 서면 동의와 목적 명시를 원칙으로 해야 한다.

CPPG·ISMS-P 연계 포인트

1. 안전성 확보 조치(개인정보보호법 제29조, ISMS-P 2.8)
개인정보처리자는 개인정보의 분실·도난·유출·위조·변조·훼손 방지를 위해 내부 관리계획 수립, 접근 통제, 암호화, 접속 기록 보관 등 기술적·관리적 조치를 취해야 한다. 엑셀 파일도 암호화 및 접근 권한 설정이 필수다.

2. 개인정보 제3자 제공 제한(개인정보보호법 제17조)
동문명부를 외부 업체(인쇄소, 행사 대행사 등)에 제공할 때는 정보주체의 별도 동의를 받아야 하며, 제공 목적·항목·보유 기간을 명시하고 제공 사실을 기록·관리해야 한다. 책자 발행 자체가 제3자 제공에 해당할 수 있다.