더존비즈온 가명정보 결합 5년간 '0건'...ERP 취약점 개인정보 유출 위험 노출

핵심 요약

- 더존비즈온, 2021년 가명정보 결합전문기관 지정 후 5년간 결합 실적 '0건' 기록 - ERP 시스템 기술지원 종료로 인한 보안 취약점 발생, 개인정보 유출 위험 노출 - 결합전문기관의 본연 역할 미수행과 자체 정보보호 관리체계 점검 필요성 대두

주요 내용

더존비즈온이 2021년 1월 가명정보 결합전문기관으로 최초 지정된 이후 2024년 1월 재지정까지 5년간 가명정보 결합 실적이 전무한 것으로 확인됐다. 가명정보 결합전문기관은 개인정보보호법 제28조의3에 따라 서로 다른 기관이 보유한 가명정보를 안전하게 결합하는 역할을 수행하도록 보호위원회가 지정한 기관이다.

더욱 우려스러운 점은 결합전문기관으로서의 역할을 제대로 수행하지 못한 상황에서, 자체 ERP 시스템의 보안 취약점이 노출됐다는 사실이다. 회사 측은 기술지원이 종료된 제품에 대해 고객사에 최신 버전 업그레이드를 안내했으며, 현재까지 정보 유출 정황은 확인되지 않았다고 밝혔다. 그러나 기술지원 종료 시점과 실제 고객사의 업그레이드 완료 시점 사이에 보안 공백이 발생할 수 있다는 점에서 사전 예방적 조치가 미흡했다는 지적이 나온다.

가명정보 결합전문기관은 높은 수준의 보안성과 전문성을 갖춘 기관으로 인정받아 지정되는 만큼, 자체 정보보호 관리체계에 대한 엄격한 기준 준수가 요구된다. 특히 ERP 시스템은 기업의 핵심 업무 데이터와 개인정보를 처리하는 중요 시스템으로, 취약점 발생 시 대규모 개인정보 침해사고로 이어질 수 있다. 2026년 현재 국내 중소기업의 상당수가 더존 ERP 시스템을 사용하고 있어, 이번 취약점의 파급효과는 단일 기업을 넘어 광범위할 수 있다.

보호위원회는 결합전문기관에 대한 재지정 심사 시 실적뿐 아니라 기관 자체의 정보보호 관리 수준을 면밀히 평가해야 한다. 5년간 실적이 전무한 기관을 재지정한 것은 결합전문기관 운영 제도의 실효성에 대한 재검토가 필요함을 시사한다.

전문가 시각

ISMS-P 선임심사원 관점에서 본 이번 사례는 결합전문기관의 '이중 책임'을 명확히 보여준다. 첫째, 가명정보 결합이라는 공적 역할 수행을 위한 높은 수준의 보안 역량 유지 책임이며, 둘째, 자사가 제공하는 서비스·제품에 대한 정보보호 관리 책임이다. 더존비즈온은 결합 실적이 없더라도 지정기관으로서 언제든 결합 업무를 수행할 수 있는 기술적·관리적 준비 상태를 유지해야 하며, 동시에 ERP 솔루션 제공사로서 고객사의 개인정보를 보호할 의무가 있다.

특히 기술지원 종료(EOL, End-of-Life) 관리는 ISMS-P 인증 유지의 핵심 요소다. 기술지원이 종료되는 시스템에 대해서는 최소 6개월 전 고객사에 통지하고, 마이그레이션 계획 수립 지원, 전환 완료 시까지 임시 보안 조치 제공 등 체계적인 전환 관리 절차가 필요하다. 단순히 '최신 버전 안내'만으로는 충분한 안전조치로 볼 수 없으며, 고객사의 실제 전환 완료 여부를 추적·관리하는 것이 정보보호 책임자의 의무다.

ISMS-P 심사원 체크포인트

1. 인증기준 2.8.2 (시스템 및 서비스 운영) 및 개인정보보호법 제29조(안전조치의무)
- 기술지원 종료 제품에 대한 생명주기 관리 절차 수립 여부
- EOL 시스템 목록 관리 및 고객사 통지 체계 확인
- 전환 완료 시까지의 임시 보안패치 제공 계획 및 이행 실적
- 개인정보 처리 시스템에 대한 지속적 안전성 확보 조치 이행 점검

2. 인증기준 2.3.2 (개인정보 보호조직) 및 가명정보 결합 등 안전성 확보조치 고시
- 결합전문기관으로서 요구되는 전담조직 및 전문인력 유지 현황
- 5년간 실적 '0건' 상황에서도 결합 수행 역량(기술·인력·시설) 유지 증빙
- 결합 전문기관 지정 요건(물리적 분리, 접근통제, 암호화 등) 지속 준수 여부
- 모의 결합 훈련 또는 역량 유지 활동 기록

3. 인증기준 2.10.4 (취약점 점검 및 조치) 및 정보통신망법 제45조의3(침해사고 예방 및 대응)
- 자사 ERP 제품에 대한 주기적 취약점 진단 및 패치 관리 체계
- 고객사 환경에서의 취약점 모니터링 및 긴급 대응 절차
- 취약점 공개 전 선제적 패치 배포 및 고객사 적용 독려 프로세스

CPPG·ISMS-P 연계 포인트

가명정보 결합전문기관의 법적 지위 (개인정보보호법 제28조의3, 제28조의4)
개인정보보호법상 가명정보는 원칙적으로 결합이 금지되나, 보호위원회가 지정한 결합전문기관을 통해 안전하게 결합할 수 있다. 결합전문기관은 ①물리적으로 분리된 결합 전용시설 ②결합 전문인력 ③높은 수준의 기술적·관리적 안전조치를 갖춰야 하며, 지정 후에도 이를 지속 유지해야 한다. 실적이 없더라도 지정 요건 미달 시 지정 취소 사유가 되므로, 재지정 심사 시 실질적 역량 유지 여부가 핵심 평가 기준이다.

시스템 생명주기 관리와 안전조치 의무 (개인정보보호법 제29조, ISMS-P 2.8.2)
개인정보 처리시스템은 도입-운영-폐기의 전 생명주기에 걸쳐 안전조치가 요구된다. 특히 기술지원 종료(EOL) 시점은 보안 취약점이 급증하는 고위험 구간으로, ①고객 사전 통지(최소 6개월) ②대체 시스템 마이그레이션 지원 ③전환 완료 시까지 임시 보안 조치 ④개인정보 이관 및 구 시스템 안전한 파기 등 체계적 전환 관리가 필수다. 단순 '안내'만으로는 안전조치 의무 이행으로 인정받기 어렵다.