IT 기업 3곳 연쇄 침해, '업무 과실'이 해킹 위협 초월하다

2025년 상반기 티빙·캐논코리아·애플 등 국내외 주요 IT 기업들이 연이어 개인정보 침해 피해를 입었다. 특히 주목할 점은 외부 해킹(45%)보다 내부 업무 과실(46%)이 더 큰 위협으로 부상했다는 것. 기술 보안에 편중된 투자 정책의 한계가 노출되는 순간이다.

대형 IT 기업, 보안 사각지대 노출

티빙의 3954만 건 개인정보 유출 사건은 올해 최대 규모 침해사고다. 스트리밍 서비스 이용자의 이메일, 휴대폰번호, 생일, 접속 기록 등이 광범위하게 노출됐다. 사건 발생 경위를 보면 단순한 기술적 결함이 아니라 정보보호 관리체계의 허점이 드러났다. 회사는 침해 사실을 상당 기간 인지하지 못했으며, 이용자 통지 역시 지연됐다.

캐논코리아 회원정보 노출 사건도 유사한 패턴을 보인다. 카메라·프린터 제조사임에도 웹사이트 보안 미흡으로 회원 개인정보가 노출된 것. 특히 이미지 관리 분야 글로벌 기업이라는 위상에 비해 기본적인 보안 점검 체계가 부재했다는 비판이 나온다.

애플의 CVSS 10점 취약점 적발은 상황을 더욱 심각하게 만든다. CVSS 10점은 최고 위험도를 의미하며, 즉시 보안 패치가 필요한 수준이다. 글로벌 기술 기업도 보안 취약점 발견 후 신속한 대응에 미흡할 수 있다는 경고다.

'업무 과실 46%' vs '해킹 45%'…균형 깨진 보안

통계가 던지는 메시지는 명확하다. 기업들이 외부 위협(해킹)에만 집중할 때, 내부 프로세스 미흡(과실)이 더 큰 피해를 초래한다는 뜻이다.

업무 과실의 구체적 유형을 살펴보면:
- 미흡한 접근권한 관리: 직원이 필요 이상의 개인정보에 접근 가능
- 부실한 변경관리: 보안 정책 변경 시 영향도 분석 생략
- 느슨한 모니터링: 비정상 데이터 추출 행위 적시 감지 실패
- 교육 부족: 보안 인식 미흡으로 인한 실수 반복

반면 기업들의 보안 투자는 대부분 방화벽·암호화·침입탐지 같은 기술 영역에 집중돼 있다. 정보보호 관리체계(ISMS)의 조직·인력·프로세스 부문이 상대적으로 경시되는 악순환이다.

기업과 기관의 대응 방안

첫째, 내부통제 강화다. 최소권한 원칙(Least Privilege)에 따라 직원별 접근권한을 엄격히 제한해야 한다. 개인정보 접근 이력을 실시간으로 모니터링하고, 위험행위 시 즉시 차단하는 시스템이 필수다.

둘째, 정보보호 거버넌스 재정비다. CEO 직속 최고정보보호책임자(CISO) 배치, 보안위원회 정기 개최 등 조직적 책임체계를 확립해야 한다. 기술 부서와 경영진 간 소통이 강화되면 침해 위험도 조기에 감지할 수 있다.

셋째, 보안 교육 의무화다. 분기별 정보보호 교육, 모의해킹·침투테스트 참여 강제화로 직원들의 보안 인식을 높여야 한다. 과실로 인한 침해 80%를 줄일 수 있다.

넷째, 침해사고 대응계획 수립 및 정기 훈련이다. 침해 발생 시 72시간 내 이용자 통지, 관계기관 보고 등을 명확히 규정하고, 연 1회 이상 모의 대응훈련을 실시해야 한다.

---

💡 CPPG/ISMS-P 시험 연계 포인트

개인정보보호관리체계(ISMS-P) 내부통제 영역

>

ISMS-P 인증 기준에서 '접근통제'는 관리적·기술적·물리적 통제를 포함한다. 특히 직원의 과실 방지를 위해 △직무 분리(Segregation of Duties) △최소권한 원칙 △변경관리 프로세스 △감사로그 유지 등이 필수요소다.

>

오늘 사례의 기업들이 공통으로 미흡했던 부분은 조직적 통제 영역이다. 기술적으로 우수한 기업이라도 직원 행위 모니터링, 권한 재검토 등 절차적 통제가 없으면 침해를 막을 수 없다는 교훈이다.