### 은행권 잇따른 정보유출, 외주관리 부실이 적신호

신한·KB국민·하나은행 2만 5천여 건 고객정보 침탈 사건에서 외주업체 보안관리 미흡이 결정적 원인으로 지목됐다. 동시에 유통기업의 1117만 회원 방문기록 무단수집 사건까지 드러나면서 금융·유통 전반의 개인정보 관리 체계 혁신이 시급해 보인다.

---

금융권 정보유출, '외주망의 구멍' 드러나다

지난 19일 국회 보도를 통해 공개된 신한은행, KB국민은행, 하나은행 3대 시중은행의 고객정보 유출 사고는 규모만 2만 5천 건 이상에 달한다. 더 심각한 점은 원인이 단순한 해킹이 아니라 보안 관리의 전략적 허점이라는 데 있다.

조사 결과 외주업체에 대한 보안 관리가 현저히 미흡했으며, CVE-2026-109566 같은 알려진 취약점을 방치한 채로 운영했다는 사실이 드러났다. 또한 침투탐지시스템(IDS) 부재로 인해 공격 초기 단계에서 탐지·차단할 수 있는 최후의 보루마저 없었다. 은행이라는 금융기관에서 이 같은 기본적인 보안 인프라가 결여되었다는 것은 규제당국과 고객에게 큰 충격을 주고 있다.

유통기업, 동의 없는 수집과 뒷북 통지

거의 같은 시기 적발된 유통기업 사건은 다른 양상을 보인다. 약 1117만 회원의 웹·앱 방문기록을 법적 근거 없이 수집·저장했을 뿐 아니라, 이미 유출되었을 때도 피해자 통지를 지연하고 비회원에 대해서는 아예 통지하지 않았다.

더욱 놀라운 점은 개인정보보호법상 보유기간 경과 정보를 미파기한 채 방치했다는 것이다. 이는 단순한 보안 부실을 넘어 법준수 의식 자체의 부재를 의미한다. 개인정보보호위원회의 과징금 처분이 불가피해 보이는 이유다.

공통 원인: '외주 의존' 과 '보안 조직화 부족'

두 사건의 근본적인 공통점은 다음과 같다.

첫째, 외주업체에 대한 관리·감시 체계 미비다. 금융기관은 규제상 높은 보안수준이 요구되지만, 외주업체에는 이 기준을 제대로 강제하지 못했다. 계약서에 보안조항이 있어도 실질적 이행을 감시할 체계가 없으면 무용지물이다.

둘째, 취약점 관리의 방정식이 깨져있다. 알려진 CVE가 수개월 이상 방치된 것은 패치관리 프로세스의 부재를 의미한다. 이는 ISMS-P 인증기관도 적발하지 못했다는 점에서 감시 체계의 허점도 드러낸다.

셋째, 개인정보 라이프사이클 관리 부재다. 수집·저장만 있고 통지와 파기 단계가 생략되는 패턴이 반복되고 있다.

기업·기관이 취할 조치

• 외주 계약서 강화: 최소 보안기준(SLA) 명시, 정기 감시·감사 의무 포함
• 취약점 관리 자동화: 자산관리시스템으로 알려진 CVE를 지속 모니터링하고 패치 기간 단축
• 침입탐지 시스템 의무화: 금융기관은 최소한 주요 외부접점에 IDS 배치
• 개인정보 통지 프로세스 재점검: 비회원·미등록자도 포함한 통지 체계 구축
• 조직 내 개인정보보호 담당 권한 강화: 법무·보안팀이 경영진에 직접 보고하는 구조로 개편

---

📌 CPPG·ISMS-P 연계 포인트

항목	요소
관련 기준	ISMS-P 5.2 정보보호 책임 / CPPG 3.2 외부위탁 관리
시험 출제	"외주업체에 대한 보안 수준 요구사항 명시 및 이행 확인 방법" / "개인정보 유출 시 통지 주체 판단 (가입자 vs 비가입자)"
핵심 암기	외주 계약 체결 시 보안요구사항은 필수 조항이며, 정기 감사로 실시간 모니터링 필요

---

이번 사건들은 규제 강화의 신호탄이 될 것으로 보인다. 금융감독당국과 개인정보보호위원회가 사건 수사를 완료하는 시점에 행정처분과 함께 새로운 외주관리 지침이 나올 가능성이 높다. 기업과 금융기관은 더 이상 보안을 선택적 투자가 아닌 필수 거버넌스로 재편해야 한다.