과징금·제재AI 초안

### 치명적 취약점 방치와 외주 관리 부실, 금융권까지 위협하다

금융·유통권을 강타한 연쇄 개인정보 유출사고의 근본 원인으로 알려진 취약점이 적극 방치되고 있다. 동시에 오픈소스 라이브러리의 고위험 취약점도 엔터프라이즈 환경에서 수년간 미방치되는 것으로 확인돼, 업계 전반의 보안 관리 체계 재정비가 시급하다는 지적이 나온다.

1. 금융권 고객정보 대규모 유출의 '외주 관리 공백'

2026년 상반기 신한·KB국민·하나은행 등 주요 금융기관과 유통업체에서 수십만 건의 고객정보가 연쇄적으로 유출된 사건은 디지털 시대 보안의 취약점을 명확히 드러냈다. 특히 주목할 점은 사고의 공통 원인이 외주업체의 보안관리 부실과 이미 알려진 취약점의 방치였다는 것이다.

금융감독당국의 조사 결과에 따르면, 감염된 시스템들은 보안 패치가 발표된 후 6개월 이상 방치된 상태였다. 외주용역사의 IT 담당자 부족과 보안 점검 주기 장기화가 주요 원인으로 지목됐다. 특히 클라우드 마이그레이션 과정에서 신규 도입된 솔루션의 기본 설정이 변경되지 않은 채 운영되고 있었던 것으로 파악됐다.

한 금융권 보안 담당자는 "외주사 선정 시 가격 경쟁력이 보안 역량보다 우선시되는 경향이 있다"면서 "정기적인 모의침투 테스트와 취약점 평가가 계약 필수 조건으로 강제되지 않는 점이 문제"라고 지적했다.

2. 오픈소스 생태계의 숨겨진 위험: Node.js 라이브러리 사건

Node.js 기반 문서 변환 라이브러리 'office-converter'에서 발견된 OS 명령 삽입 취약점(CVE-2020-37282)은 더욱 심각한 경고를 담고 있다. CVSS 점수 9.8로 평가된 이 취약점은 파일명에 셸 메타문자를 삽입하는 것만으로 서버의 전체 시스템을 장악할 수 있게 해준다.

문제는 이 취약점이 2020년 보고 이후 6년이 지난 현재까지도 1.0.2 이하 버전이 다수 프로젝트에 사용 중이라는 점이다. 오픈소스 의존성 관리 플랫폼 데이터를 분석한 결과, 국내 핀테크 기업과 중견 SaaS 업체들이 여전히 취약한 버전을 프로덕션 환경에 배포하고 있는 것으로 확인됐다.

이는 다음과 같은 이중 위험을 야기한다:
- 개발팀의 관성: 프로젝트 초기 선택한 라이브러리 버전을 자동 업데이트하지 않는 관행
- 보안 모니터링의 공백: 의존 라이브러리의 취약점 공지를 받아도 우선순위 판단 없이 방치
- 공급망 공격의 입구: 한 번의 악의적 업데이트가 수백 개 다운스트림 프로젝트에 영향

3. 공통 패턴: '알려진 위험'에 대한 조직적 무기력

두 사례의 핵심 공통점은 이미 널리 알려진 취약점 또는 보안 위협이 조직의 우선순위에서 밀려났다는 것이다.

금융권: 외주사 평가 지표에 취약점 개수가 포함되지 않음
개발사: 의존성 업데이트가 개발 일정과 별도로 관리되지 않음

보안 컨설턴트들은 이를 "보안 채무(Security Debt)" 현상으로 설명한다. 단기 개발 일정과 비용 압박 속에 누적된 보안 결함이 나중에 폭발적 사고로 돌아오는 구조다.

4. 기업·기관의 실질적 대응 방안

1) 외주사 관리 개선
- 보안 SLA(Service Level Agreement) 계약화
- 분기별 취약점 평가 결과 제출 의무화
- 패치 적용 시한 단축(30일 이내)

2) 오픈소스 의존성 관리
- 자동 보안 스캔 도구 도입 (Dependabot, Snyk 등)
- 월 1회 이상 의존성 감사 프로세스 정립
- 개발팀 교육: 취약점 공지 채널 구독과 대응 절차

3) 조직 문화 개선
- 보안 취약점 현황을 KPI에 포함
- 취약점 해소 시간을 개발 스프린트에 할당
- 보안 인식 교육 이수율 목표 설정

📋 CPPG·ISMS-P 시험 연계 포인트

[개인정보보호 관리체계 요구사항]
- ISMS-P 제5조 보안관리체계 수립: 외주사에 대한 보안 요구사항 명시 및 정기 감시 의무
- 제7조 보안 사고 대응: 알려진 취약점 방치는 "합리적 보호조치 부재"로 평가되어 과태료 가중 대상
- CPPG 제3장 내부관리계획: 개인정보 취급자 교육에 "의존성 관리" 및 "보안 패치" 포함 필요

취재 후기: 이제 보안은 IT 부서의 책임이 아니라 경영

#침해사고#개인정보보호#과징금

백