제로데이부터 접근권한까지…공공·민간 가리지 않는 '보안 공백'의 대가

외교부 산하 국립외교원 9개월간 해킹 노출, 티빙은 1,953만 건 유출로 OTT 역대 최대 사고 기록. 기술적 취약점과 관리적 허점이 동시에 드러나며 개인정보보호 체계 전면 재점검 필요성 대두.

---

국립외교원, 9개월간 '열린 문' 방치

국립외교원 온라인교육시스템이 지난해 4~5월부터 올해 2월까지 약 9개월간 미상의 공격자에게 장악당한 것으로 확인됐다. 공격자는 보안 패치가 존재하지 않는 제로데이(Zero-day) 취약점과 서버 보안 설정 미비점을 복합적으로 악용했다.

해당 시스템에는 외교관 및 교육 대상자의 성명, 아이디 등 개인정보가 저장돼 있었으나, 침해 탐지가 늦어져 정확한 유출 범위조차 특정되지 않은 상태다. 외교 인력의 민감정보가 포함됐을 가능성이 있어 국가안보 차원의 우려도 제기된다.

보안 전문가들은 "제로데이 취약점은 방어가 어렵지만, 9개월간 침해를 인지하지 못한 것은 침입탐지체계(IDS)와 로그 모니터링의 부재를 방증한다"고 지적했다.

---

티빙, 접근권한 관리 부실이 부른 1,953만 건 유출

OTT 플랫폼 티빙에서는 역대 OTT 업계 최대 규모인 1,953만 건의 개인정보가 유출됐다. 이름, 연락처, 이메일은 물론 결제정보까지 포함돼 2차 피해 우려가 크다.

사고의 핵심 원인은 기술적 해킹이 아닌 내부 관리체계의 총체적 부실이었다. 조사 결과 △업무 담당자 간 권한 분리 미흡 △퇴직자 계정 미삭제 및 방치 △외부 협력업체에 대한 접근통제 허점이 복합적으로 작용했다. 피해는 티빙을 넘어 모회사 CJ ENM과 CJ원 포인트 시스템까지 확산되며 그룹 전체의 정보보호 거버넌스에 의문을 남겼다.

---

공통 패턴: '탐지 지연'과 '관리적 보안의 실종'

두 사건은 발생 경로는 다르지만 공통된 교훈을 남긴다.

첫째, 침해 탐지 역량의 부재다. 국립외교원은 9개월, 티빙 역시 상당 기간 유출 사실을 인지하지 못했다. 실시간 모니터링과 이상징후 탐지체계가 작동하지 않은 것이다.

둘째, 관리적 보안의 실종이다. 기술적 방어벽이 아무리 높아도 퇴직자 계정 하나, 협력업체 권한 설정 하나가 전체 시스템을 무너뜨릴 수 있음이 다시 한번 증명됐다.

---

기업·기관 대응 방안

• 최소 권한 원칙(Least Privilege) 적용: 업무에 필요한 최소한의 접근권한만 부여하고, 정기적으로 재검토
• 계정 생명주기 관리 자동화: 입사-이동-퇴직에 연동된 계정 생성·변경·삭제 프로세스 구축
• 상시 보안 모니터링 체계: SIEM(보안정보이벤트관리) 도입으로 이상 접근 실시간 탐지
• 제로 트러스트 아키텍처 도입: '신뢰하지 않고 항상 검증'하는 보안 모델로 전환

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

ISMS-P 인증기준 2.5.1 '접근권한 관리' 핵심 요구사항:

- 접근권한은 업무 목적에 따라 최소한으로 부여

- 권한 부여·변경·삭제 이력을 기록·관리

- 정기적 권한 적정성 검토(반기 1회 이상 권고)

- 퇴직·전보 시 지체 없이 권한 회수

>

👉 티빙 사고는 이 조항의 거의 모든 요구사항 위반 사례로, 실제 기출 지문에서 "권한 관리 부실로 인한 침해사고"의 전형적 시나리오로 출제 가능성 높음.

---

백남정 기자 | 개인정보보호 전문