### "외주업체가 금융보안 무너뜨린다"…6개월간 백만 건대 개인정보 속속 유출

금융·유통 분야에서 올해 상반기만 해도 수십만 건대의 고객정보가 유출되면서 외주관리 부실이 정보보호의 핵심 허점으로 드러났다. 국가 ICT 연구개발 기관까지 연이은 해킹 피해를 입으면서 조직 규모를 불문하고 보안 체계 개선이 시급한 상황이다.

---

금융권 "외주는 보안의 사각지대"

올해 상반기 금융기관과 유통업계의 연쇄 정보유출 사고는 외주업체 관리의 부실함을 명확히 드러냈다. 신한·KB국민·하나은행 3곳에서 2만 5천여 건의 고객정보가 유출된 사건과 일본 한큐한신 백화점 126만 명 규모의 정보 유출 사건이 거의 동시에 적발된 것이다.

금융위원회 국정감사에 출석한 은행장들이 지적한 보안 취약점은 일관성이 있었다. 첫째, 외부 노출 전산자산에 대한 관리 미흡이다. 은행들이 외주업체에 위탁한 업무 과정에서 고객정보를 담은 시스템이 제대로 모니터링되지 않았다. 둘째, 개인정보 조회 권한 통제가 부재했다. 불필요한 데이터 접근이 제대로 차단되지 않아 누출 위험이 증가했던 것이다. 셋째, 알려진 취약점을 방치한 점도 문제였다. 보안 패치가 제때 적용되지 않았거나 기존 위험을 인식하고도 방치한 사례가 다수 있었다.

유통업체의 사건도 유사한 양상을 보였다. 특정 유통기업이 고객의 방문기록 1,117만 건을 동의 없이 무단수집한 사건은 외주 데이터 처리 과정에서의 감시 부재를 여실히 보여줬다.

"국가 기관도 예외 아니다"

더 우려스러운 것은 국가 ICT 연구개발 관리기관까지 해킹 피해를 입었다는 점이다. 2026년 국정감사에서 지적된 이 기관들의 '연이은 해킹 사고'는 정부 부문 보안체계의 구조적 허점을 드러냈다. 개인정보보호체계의 설계 자체에서 문제가 있다는 뜻이다.

과기정통부가 2027년 3월 시행 예정인 개정 제도를 '엄격히 적용'하겠다고 밝혔지만, 이는 현재의 보안 기준이 충분하지 않다는 것을 반증한다. 정부 부문의 해킹 사건이 민간 금융권의 문제와 결합되면, 국가 전체의 정보보호 신뢰도가 급락하게 된다.

공통의 적은 "외주 거버넌스 부재"

이 모든 사건의 공통분모는 외주업체에 대한 보안 거버넌스 부재다. 금융권은 비용 절감을 이유로 IT 운영 업무를 외주화했으나, 외주업체의 보안 수준을 관리하는 체계가 미비했다. 계약서에 보안 조건이 있어도 실제 이행 여부를 감시하는 인력과 도구가 부족했던 것이다.

특히 '알려진 취약점 방치'라는 표현은 단순한 실수가 아니라 관리 의지의 문제를 시사한다. 보안 위협 정보는 공개되는데도 패치를 미루거나 무시한 것이다.

기업·기관의 필수 대응 방안

첫째, 외주업체 선정 기준의 강화다. ISMS-P 인증 여부뿐만 아니라 실제 보안 감사(Security Audit) 결과를 검토해야 한다.

둘째, 실시간 모니터링이다. 외주업체가 처리하는 개인정보 접근 로그를 수시로 점검하고, 의심 행위를 즉시 차단할 수 있는 시스템을 구축해야 한다.

셋째, 권한 최소화 원칙이다. 외주업체에 부여하는 데이터 접근 권한을 '필요 최소한'으로 제한하고, 정기적으로 재검토해야 한다.

넷째, 보안 교육과 책임성이다. 외주업체 직원을 대상으로 한 의무 보안 교육과 계약 불이행 시 즉시 계약해지 조항을 포함해야 한다.

---

📌 CPPG·ISMS-P 시험 포인트

"외주업체 관리"는 개인정보보호관리체계(ISMS-P)의 핵심 평가 항목이다.
- ISMS-P 제8영역 '정보보호 대책 이행' 중 '외부기관 보안관리' 요구사항
- 개인정보보호법 제28조 '위탁자의 책임' 규정
- 위탁사는 위탁받는 자의 보안수준을 사전에 평가하고, 보안 계약서를 작성하며, 위탁 중에도 지속적으로 감시할 의무가 있음
- 위 사건들은 모두 이 책임을 방기한 사례로 분류됨

---

앞으로의 전망

2027년 3월 개정 제도 시행과 금융감독의 강화는 필연적이다. 하지만 진정한 변화는 기업과 기관이 '외주는 위험하지만 필요하다'는 인식에서 '외주를 어떻게 안전하게 관리할 것인가'로 전환할 때 시작된다.

지금의 연쇄 침해사고