침해사고AI 초안

내부 과실이 외부 해킹 추월…'신기술 도입 보안 공백'이 위협

2025년 상반기 국내 기업의 개인정보 침해 원인에 큰 변화가 생겼다. 외부 해킹(45%)을 제치고 내부 과실(46%)이 처음으로 최대 위협 요소로 부상했다. 신기술 도입 과정에서의 보안 관리 공백이 대규모 유출사고로 이어지면서, 기업의 내부 통제 체계 강화가 시급한 과제로 대두되고 있다.

연쇄 침해사고로 드러난 내부 과실의 심각성

티빙의 3,954만 건 개인정보 유출은 올해 가장 충격적인 사건이다. 신기술 도입 과정에서 보안 관리가 제대로 이루어지지 않은 결과, 사용자의 이름, 생년월일, 휴대폰 번호, 이메일 주소 등 광범위한 정보가 노출됐다. 개인정보보호법상 '안전조치 의무' 위반으로 다량의 정보주체에게 직접적인 침해 위험을 초래한 사건이다.

금융권도 예외가 아니다. 신한은행과 KB국민은행이 AI 기술 도입 과정에서 해킹 피해를 입었고, 배달의민족은 위장취업 방식의 내부자 침입으로 정보가 유출되는 사태가 벌어졌다. 카카오 계열사의 무동의 개인정보 수집 사건은 기술 편의성 추구 과정에서 법적 요건인 '동의'를 간과한 사례로, 내부 통제 미흡의 전형을 보여준다.

공통 원인: 외주관리 소홀과 기술적 통제 공백

이들 사건의 공통 원인은 명확하다. 첫째, 외주 업체 관리의 느슨함이다. AI 모델 학습, 클라우드 마이그레이션, 신기술 도입 과정에서 외부 전문업체를 활용하면서 보안 요구사항을 충분히 반영하지 못했다. 개인정보보호법 제26조는 수탁자에 대한 관리·감독 의무를 명시하고 있으나, 현실에서는 형식적 수준에 그치는 경우가 많다.

둘째, 신기술 도입 시 기술적 통제 미흡이다. DevOps, API 개발, 클라우드 환경으로의 전환 과정에서 접근통제, 암호화, 로깅 등 필수 보안 요소가 사후 대응으로 밀려나곤 한다. 신기술의 빠른 도입 속도가 보안 설계의 중요성을 간과하게 하는 악순환이 반복되고 있다.

셋째, 내부 감시 체계의 부재다. 직원의 비정상적인 접근, 대량 다운로드, 권한 외 데이터 조회 등을 실시간으로 감지하고 대응할 수 있는 DLP(Data Loss Prevention)나 통합 보안 모니터링 체계가 부재했던 기업들이 내부자 침입 피해를 입었다.

기업과 기관의 대응 전략

1단계: 설계 단계부터 보안 포함(Security by Design)
신기술 도입 시 기술팀, 보안팀, 법무팀이 협력하는 '보안 영향평가'를 필수화해야 한다. 개인정보가 어떻게 수집, 저장, 처리, 전송되는지 초기 설계 단계에서부터 검토하고, 암호화, 접근통제 등 기술적 통제를 내재화하는 것이 비용 효율적이다.

2단계: 외주 업체 관리 강화
계약 단계에서 보안 요구사항을 명시하고, 정기적인 보안 감사, 모의침투 테스트를 통해 외주 업체의 보안 수준을 검증해야 한다. 개인정보를 다루는 모든 외주 업체에 대해 정보보안 인증(ISMS-P 등)을 필수 조건으로 요구하는 것도 효과적이다.

3단계: 내부 접근 통제 고도화
최소권한 원칙(Least Privilege)에 따라 직원의 개인정보 접근 범위를 업무에 필요한 수준으로 제한하고, 모든 접근을 로깅하는 상세 기록 체계를 구축해야 한다. AI 기술을 활용한 이상 탐지 시스템 도입도 검토할 가치가 있다.

4단계: 정기적인 보안 교육과 감사
신기술을 다루는 직원에 대한 개인정보보호 교육을 강화하고, 분기별 내부 보안 감시 및 감사를 실시하여 문제를 조기에 발견하는 체계를 구축해야 한다.