티빙 1953만 건 유출→CJ원 확산, ISMS-P 인증기업 침해사고 재발 원인 분석

핵심 요약

- 티빙에서 1,953만 건의 개인정보 유출 사고 발생, CJ원까지 피해 확산되며 그룹 차원의 보안 취약점 노출 - 과학기술정보통신부가 중대 침해사고로 판단, 개인정보 수집·처리 단계 전반에 대한 개인정보보호법 위반 여부 조사 착수 - ISMS-P 인증 기업의 반복적 침해사고는 형식적 인증 운영과 실질적 보안통제 간 괴리에서 기인

주요 내용

2026년 7월, OTT 플랫폼 티빙에서 발생한 1,953만 건 규모의 개인정보 유출 사고가 계열사 CJ원까지 확산되면서 국내 개인정보 보호체계의 구조적 문제가 다시 한번 수면 위로 떠올랐다. 이번 사고는 단순 해킹을 넘어 그룹 내 개인정보 관리체계 전반의 취약점을 드러낸 사례로 평가된다.

과학기술정보통신부는 이번 사안을 중대 침해사고로 분류하고, 개인정보 수집·처리 단계에서의 개인정보보호법 위반 여부를 종합 조사하겠다고 밝혔다. 특히 티빙은 ISMS-P 인증을 보유한 기업임에도 대규모 유출 사고가 발생했다는 점에서, 인증제도의 실효성에 대한 논란도 재점화되고 있다.

전문가들은 이번 사고의 핵심 원인으로 △접근권한 관리 미흡 △개인정보 암호화 미적용 구간 존재 △침해사고 탐지체계 부재 등을 지목하고 있다. 특히 계열사 간 개인정보 연계·제공 과정에서의 보안통제 공백이 CJ원까지 피해가 확산된 직접적 원인으로 분석된다.

국내 주요 기업들의 개인정보 침해사고가 반복되는 근본 원인은 '인증 취득'을 목표로 한 형식적 대응과, '실질적 보안 수준 제고'라는 본질 사이의 괴리에 있다. 인증심사 주기인 연 1회 또는 3년마다의 점검만으로는 365일 24시간 진화하는 보안 위협에 대응하기 어렵다는 현실적 한계가 드러난 셈이다.

전문가 시각

ISMS-P 선임심사원으로서 현장에서 목격하는 가장 큰 문제는 '인증 유지'와 '보안 실효성' 사이의 온도차다. 많은 기업들이 심사 시점에 맞춰 증적을 정비하고 프로세스를 가동하지만, 일상적 운영 단계에서는 보안정책이 형해화되는 경우가 빈번하다. 티빙과 같은 대형 플랫폼이 1,953만 건이라는 천문학적 규모의 유출을 경험했다는 것은, 접근통제·암호화·로그 모니터링 등 기본 통제 항목조차 실질적으로 작동하지 않았음을 의미한다.

기업들은 이제 'Compliance(준수)'를 넘어 'Resilience(회복탄력성)' 중심의 보안체계로 전환해야 한다. ISMS-P 104개 통제항목을 단순 체크리스트가 아닌, 실제 위협 시나리오 기반의 훈련·점검·개선 사이클로 내재화해야 한다. 특히 계열사 간 개인정보 이동 구간, 제3자 제공 프로세스, 클라우드 환경 등 경계가 모호한 영역에 대한 책임 소재와 보안통제를 명확히 설계하는 것이 시급하다.

ISMS-P 심사원 체크포인트

1. 2.8.1 접근권한 관리 (개인정보보호법 제29조) 개인정보처리시스템에 대한 접근권한은 업무 수행에 필요한 최소한의 범위로 직무별·개인별로 차등 부여되어야 한다. 심사 시 △권한부여 승인기록 △정기적 권한 재검토 로그 △퇴직자·업무변경자 권한 즉시 회수 여부를 중점 확인한다. 이번 티빙 사례는 과도한 권한 부여 또는 불필요 계정 방치가 유출 경로로 작용했을 가능성이 높다.

2. 2.9.1 암호화 적용 (개인정보보호법 시행령 제21조 제1항) 고유식별정보, 비밀번호, 바이오정보는 암호화 저장이 법적 의무사항이다. 심사 시 △DB 내 암호화 컬럼 현황 △전송구간 SSL/TLS 적용 △암호키 분리보관 여부를 점검한다. 1,953만 건이라는 대규모 유출은 평문 저장 또는 취약한 암호화 알고리즘 사용 가능성을 시사한다.

3. 2.10.4 침해사고 탐지 및 대응 (개인정보보호법 제34조) 개인정보 유출 징후를 실시간 탐지할 수 있는 모니터링 체계와 대응 절차가 마련되어야 한다. △SIEM·IDS 등 탐지도구 운영 △이상징후 알람 설정 △대응팀 비상연락망 및 모의훈련 실시 기록을 확인한다. 사고가 계열사로 확산되었다는 점은 초기 탐지·차단 실패를 의미한다.

CPPG·ISMS-P 연계 포인트

개인정보 안전성 확보조치 (개인정보보호법 제29조, 시행령 제30조) 개인정보처리자는 개인정보의 분실·도난·유출·위조·변조·훼손 방지를 위해 ①접근통제 ②암호화 ③접속기록 보관·점검 ④보안프로그램 설치·운영 등 기술적·관리적·물리적 안전조치를 취해야 한다. CPPG 시험에서는 각 조치의 구체적 방법과 법적 의무 범위를 문제로 자주 출제한다.

개인정보 제3자 제공 및 업무위탁 시 보호조치 (개인정보보호법 제17조, 제26조) 계열사 간 개인정보 이동은 '제3자 제공' 또는 '업무위탁'에 해당하며, 동의 획득·고지·안전성 확보 의무가 발생한다. ISMS-P 심사에서는 제공·위탁 목록, 계약서 내 보안 조항, 수탁자 관리·감독 기록을 필수 증적으로 요구한다. 티빙→CJ원 확산 경로가 이 지점에서 통제 실패했을 가능성이 높다.