### "관리부실이 부른 재앙" 건보공단·금융사 연쇄 개인정보 유출사태

2026년 상반기 건강보험공단과 금융·IoT 기업에서 잇따라 터진 대규모 개인정보 침해사고가 동일한 원인에서 비롯된 것으로 드러났다. 내부자 접근권한 관리 부실과 암호화 정책 미흡, 그리고 법정 72시간 통보 의무 위반이 복합적으로 작용했다. 전문가들은 "기관과 기업의 근본적인 개인정보보호 시스템 재구축이 시급하다"고 지적한다.

---

연쇄 사건의 전말

건강보험공단의 내부자 정보판매 사건이 이번 사태의 신호탄이었다. 공단 직원이 접근권한을 악용해 가입자의 의료이력, 납부이력 등 민감정보를 외부에 판매한 것으로 적발됐다. 적발되기까지 상당한 기간이 경과했고, 피해 규모도 수십만 건대에 이르는 것으로 파악됐다.

이와 동시다발적으로 금융기관과 IoT 기업에서 해킹으로 인한 정보유출이 발생했다. 사이버 공격자들이 약한 접근제어와 암호화되지 않은 데이터베이스를 손쉽게 침투·탈취한 것으로 보인다. 금융권의 경우 고객의 계좌정보와 개인신용정보, IoT 기업은 가정용 기기 사용자의 위치정보와 행동패턴까지 노출됐다.

더욱 심각한 것은 법정 의무를 위반한 점이다. 개인정보보호법은 침해사실을 인지한 후 72시간 내에 정보주체에게 통보할 의무를 규정하고 있는데, 해당 기관과 기업들은 이를 지키지 않았다. 일부는 1개월 이상 신고를 지연했으며, 정보주체에 대한 통보도 소극적으로 이뤄진 것으로 확인됐다.

---

공통된 실패의 패턴

세 건의 사건을 분석하면 세 가지 공통된 취약점이 도출된다.

첫째, 내부 접근권한 관리의 부실이다. 업무 필요성을 초과하는 광범위한 권한 부여(Excessive Privilege), 퇴직자 계정의 미삭제, 권한 변경 이력의 미추적이 관찰되었다. 특히 건보공단의 경우 민감정보 접근이 개별 직원의 감시 없이 가능했던 것으로 나타났다. 이는 Zero Trust 원칙의 부재를 의미한다.

둘째, 데이터 암호화 정책이 부재했다. 금융기관과 IoT 기업 모두 저장된 개인정보에 대한 암호화를 미시행했다. 사이버 공격자들이 DB에 접근하는 것만으로도 평문(Plain Text) 상태의 민감정보를 탈취할 수 있었다. 이동 중인 데이터(In-Transit) 암호화도 부분적으로만 적용되어 있었다.

셋째, 감시(Monitoring)와 사고대응 체계의 미비다. 침해사실 발생 후 적시 적절한 대응이 이뤄지지 않았다. 로그 분석 능력 부족, 사고대응팀의 역할 모호, 관리자의 책임 의식 부재 등이 복합적으로 작용했다.

---

기관·기업의 대응 방안

즉시 이행 과제:
- 모든 시스템에 대한 접근권한 감시(AAA: 인증·인가·계정관리) 강화
- 개인정보 분류·암호화 정책 수립 및 단계적 적용
- 사고대응 SOP 수정 및 72시간 통보 프로세스 자동화
- 정기적인 내부 모의침입(Red Team) 실시

중기 개선 과제:
- ISMS-P, ISO 27001 등 국제표준 인증 획득
- 정보보호 교육의 정기화·의무화
- 개인정보 거버넌스 조직 신설
- 외부 감시(모니터링) 서비스 도입

구조적 개혁:
기관과 기업은 개인정보보호를 '규정 준수(Compliance)' 차원에서 '리스크 관리(Risk Management)' 차원으로 전환해야 한다. 이는 단순히 법적 처벌을 피하는 것이 아니라, 국민의 신뢰를 회복하기 위한 필수불가결한 과제다.

---

📌 CPPG 연계 포인트

개인정보보호 관리체계의 핵심: "접근권한 최소화 원칙"

>

개인정보 보호관리 기본지침(CPPG)은 조직의 모든 직원에게 업무 수행에 필수적인 최소한의 정보에만 접근하도록 제한할 것을 명시하고 있다(Need-to-Know 원칙). 이번 사건들은 이 원칙을 무시한 결과다. 접근권한 관리는 기술적 통제보다 조직문화의 변화가 우선되어야 한다.