"내부자·과실이 외부 해킹보다 위험"…기업 정보보호 전략 재편 절실

2025년부터 2026년까지 금융·IT업계를 강타한 대형 개인정보 침해사고들이 공통된 메시지를 던지고 있다. 해킹보다 내부 업무 과실이 더 큰 위협이며, 외주업체 관리와 기술적 통제 미흡이 사각지대라는 점이다. 배달의민족 위장취업 범죄, 4대 시중은행 AI 기반 연쇄 해킹, IT 기업들의 무동의 수집 사건까지—이들은 기업의 정보보호 관리체계가 구조적으로 붕괴되었음을 드러낸다.

연쇄 침해사고의 얼굴들

배달의민족 사건: 외주 사각지대의 경고

2026년 상반기 배달의민족 고객정보 유출 사건은 전자상거래 플랫폼의 숨겨진 위험을 적나라하게 노출했다. 외주업체 상담팀에 위장 취업한 범죄자가 고객 개인정보에 접근해 대량으로 유출한 이 사건에서 핵심 문제는 외주업체에 대한 관리 소홀이었다.

기업들이 비용 절감을 위해 외부 용역사에 민감정보 처리를 맡기면서도, 접근 제어(Access Control)·모니터링·신원조회 등 기본적인 통제조차 제대로 이루어지지 않은 것이다. 국회 국정감사가 이를 주시하는 이유가 여기 있다.

금융권 AI 기반 공격의 확산

2026년 10월 신한·KB국민·하나·BNK부산은행의 연쇄 해킹 사고는 공격 방식 자체의 진화를 보여준다. AI 기반 고도화된 공격이 금융권 전반을 동시다발적으로 타격했다는 것은 개별 기업 수준의 방어로는 한계가 있음을 의미한다. 특히 4개 기관이 동시에 피해를 입은 점은 금융권 전체를 노리는 조직화된 공격의 신호다.

내부 과실: 통제의 맹점

더 주목할 점은 2025년 상반기 데이터다. 외부 해킹(45%)보다 내부 업무 과실(46%)이 처음으로 침해 원인의 1위에 올랐다.

티빙의 3954만 건 유출, 카카오·캐논의 무동의 수집, 하나은행의 AI 해킹 등 대형 사고들이 연쇄적으로 터진 배경에는 기업들이 신기술 투자에 편중하면서 정보보호 관리체계의 기본을 외면했다는 공통점이 있다. 클라우드·빅데이터·AI 도입에는 열성이었지만, 데이터 최소화·접근 제한·감시 등 보안 기초체계 구축에는 인색했던 것이다.

공통 패턴: 세 가지 구조적 문제

1) 외주관리의 공백

배달의민족 사건이 보여주듯, 기업이 처리하지 않는 업무를 외주할 때도 동일 수준의 정보보호 조치가 필요하다. 그러나 대부분의 기업들은 외주업체를 "자사의 확장"으로 취급하지 않고 있다.

2) 기술과 정책의 불균형

신기술 도입 속도에 정보보호 정책이 따라가지 못하고 있다. 특히 개인정보 수집·이용 단계에서의 사전 통제(Privacy by Design)가 부재하면, 사후 감지는 이미 늦다.

3) 임직원 교육과 감시의 부실

내부 과실이 늘어나는 현상은 직원들이 정보보호의 중요성을 제대로 인식하지 못하고 있음을 뜻한다. 동시에 비정상 접근에 대한 실시간 모니터링도 미흡하다.

기업·기관의 현실적 대응

1단계: 외주 계약부터 정보보호 강화
- 외주업체 선정 시 ISMS 인증 여부 필수 확인
- 용역사 직원에 대한 신원조회·신분증 확인 강화
- 정기적인 정보보호 감시 계약 체결

2단계: 기술적 통제 재정비
- 접근 제어 시스템의 조기 배포 (모든 개인정보 처리 전)
- 비정상 접근에 대한 AI 기반 탐지 시스템 도입
- 로그 기록·분석의 자동화

3단계: 조직 문화 개선
- 정기적인 정보보호 교육 의무화 (분기별 이상)
- 위반 시 징계 기준 명확화
- 개인정보 취급자 재교육 강화

---

#### 📌 CPPG·ISMS-P 연계 포인트

"관리적 조치의 중요성: 접근 제어와 감시"

>

ISMS-P(정보보호 관리체계 인증)의 필수 통제항목인 '접근통제(AC)' 와 '감시 및 탐지(MO)' 는 내부자 위협 방어의 핵심이다. 배달의민족·금융권 사건 모두 이 두 항목의 미흡으로 발생했다. 기업은 단순히 인증을 유지하는 차원을 넘어, 접근 제어를 사전적 예방으로, 감시를 실시간 탐지로 운영해야 한다. 특히 외주업체는 '동일 수준의 통제' 원칙을 적용해야 한다.