티빙 개인정보 유출 사고 분석: 직원 265명에 보안인력 4명, ISMS-P 인증기준 위반 쟁점

핵심 요약

- 티빙 개인정보 유출 사고 당시 전체 직원 265명 중 정보보호 전담인력은 4명에 불과 - 업무용 PC 백신 소프트웨어 설치 및 최신 버전 관리 등 기본적인 보안점검 미흡 - ISMS-P 인증기준상 요구되는 조직·기술적 보호조치 의무 이행 여부 논란

주요 내용

2026년 9월 현재, OTT 업계의 주요 사업자인 티빙에서 발생한 대규모 개인정보 유출 사고의 구조적 원인이 드러나고 있다. 조사 결과에 따르면 사고 당시 티빙의 전체 직원 수 265명 중 정보보호 전담인력은 단 4명 내외에 불과했던 것으로 확인됐다. 이는 개인정보보호법 및 정보통신망법에서 요구하는 적정 수준의 보호조치 의무를 충족했는지에 대한 근본적인 의문을 제기한다.

더욱 심각한 것은 기본적인 보안 위생(Security Hygiene) 관리조차 제대로 이루어지지 않았다는 점이다. 업무용 PC에 대한 백신 소프트웨어 설치 및 최신 버전 유지, 정기적인 보안점검 등 기초적인 기술적 보호조치가 미흡했던 것으로 드러났다. 이는 단순히 인력 부족의 문제를 넘어 정보보호 관리체계 자체의 부재를 시사한다.

특히 해킹 사고 발생 후 관련 기관에 대한 신고도 지연되었던 것으로 알려져, 사고 대응 절차와 거버넌스 측면에서도 중대한 결함이 있었음을 보여준다. 개인정보보호법 제34조는 개인정보 유출 사실을 알게 된 때로부터 24시간 이내에 이용자 및 개인정보보호위원회 등에 신고하도록 규정하고 있으나, 이러한 법적 의무 이행에도 문제가 있었던 것으로 판단된다.

2026년 현재 OTT 서비스는 수백만 명의 개인정보와 결제정보를 보유한 핵심 인프라로 자리잡았다. 그럼에도 불구하고 정보보호에 대한 투자와 관리가 사업 규모에 비해 현저히 부족했다는 점에서, 이번 사고는 국내 디지털 서비스 산업 전반의 보안 거버넌스를 재점검해야 할 필요성을 드러낸다.

전문가 시각

ISMS-P 선임심사원으로서 이번 사고를 분석하면, 가장 근본적인 문제는 정보보호 거버넌스의 부재다. 전체 인력 대비 1.5%에 불과한 보안 전담인력 구성은, 정보보호 활동이 조직 내에서 얼마나 낮은 우선순위에 있었는지를 명확히 보여준다. ISMS-P 인증심사 시 우리는 단순히 인력 수만 평가하는 것이 아니라, 해당 인력이 실제로 정보보호 업무를 전담할 수 있는 구조인지, 경영진의 지원은 충분한지, 타 부서와의 협업 체계는 구축되어 있는지를 종합적으로 검토한다. 4명의 인력으로 265명 규모 조직의 정보자산을 보호한다는 것은 현실적으로 불가능하며, 이는 경영진의 정보보호 인식 수준을 반영한다.

실무 기업들이 이번 사례에서 얻어야 할 교훈은 명확하다. 첫째, 정보보호 인력은 사업 규모, 처리하는 개인정보의 민감도, 정보자산의 중요도에 비례하여 배치되어야 한다. 둘째, 백신 관리, 패치 관리 등 기본적인 기술적 통제는 자동화 도구를 활용하여 누락 없이 이행되어야 한다. 셋째, 사고 대응 절차(IR Plan)는 단순히 문서로 존재하는 것이 아니라 정기적인 모의훈련을 통해 실효성을 검증해야 한다. 티빙 사례는 이 세 가지 모두에서 실패했으며, 그 결과가 대규모 개인정보 유출로 이어졌다.

ISMS-P 심사원 체크포인트

1. 조직의 구성 (ISMS-P 인증기준 2.1.3)

**심사 시 확인사항:** 정보보호 최고책임자(CISO) 지정, 전담조직 구성, 업무 분장의 적정성을 평가한다. 특히 정보보호 인력이 조직 규모, 보유 개인정보 규모, 서비스 특성 대비 적정한지 확인한다. 티빙 사례처럼 265명 조직에 4명의 보안인력은 ISMS-P 심사 시 '부적합' 판정 사유가 될 수 있다.

관련 법령: 개인정보보호법 제31조(개인정보 보호책임자의 지정), 정보통신망법 제45조의3(정보보호 최고책임자의 지정 등)에서 일정 규모 이상 사업자는 전담인력 및 전담조직 구성을 의무화하고 있다.

2. 시스템 및 서비스 보안 (ISMS-P 인증기준 2.8.2)

**심사 시 확인사항:** 악성코드 감염 예방을 위한 백신 소프트웨어 설치, 최신 버전 유지, 실시간 감시 기능 활성화 여부를 점검한다. 또한 정기적인 전수 조사 및 패턴 업데이트 이력을 증빙자료로 요구한다. 티빙 사례처럼 업무용 PC에 대한 백신 관리가 미흡한 경우 중대한 취약점으로 간주된다.

관련 법령: 개인정보의 안전성 확보조치 기준(개인정보보호위원회 고시) 제4조(접근통제), 제6조(악성프로그램 등 방지)에서 기술적 보호조치를 구체적으로 규정하고 있다.

3. 침해사고 대응 (ISMS-P 인증기준 2.10.3)

**심사 시 확인사항:** 침해사고 탐지·대응·복구 절차의 수립 및 이행, 유관기관 신고 체계, 사고 발생 시 24시간 이내 신고 프로세스의 실효성을 검증한다. 티빙의 경우 해킹 신고 지연은 개인정보보호법 제34조(개인정보 유출 통지 등) 위반으로 과징금 및 과태료 부과 사유에 해당한다.

CPPG·ISMS-P 연계 포인트

정보보호 조직 구성의 적정성 평가 기준

CPPG(개인정보보호 전문가) 시험에서는 개인정보 처리 규모에 따른 보호조치 수준을 묻는 문제가 출제된다. 핵심은 '일일 평균 이용자 수 100만 명 이상' 또는 '정보통신서비스 부문 전년도 매출액 100억 원 이상' 기업은 개인정보보호법상 개인정보 보호책임자를 의무적으로 지정해야 하며, ISMS-P 인증 의무대상이 된다는 점이다. 티빙과 같은 대형 OTT는 당연히 해당되며, 이 경우 전담 조직과 충분한 인력을 갖추지 않으면 법적 제재 대상이 된다.

기술적 보호조치의 3대 필수 요소

ISMS-P 인증심사 및 CPPG 시험 모두에서 강조되는 것은 **접근통제, 암호화, 접근기록 관리**의 3대 기술적 보호조치다. 여기에 더해 악성코드 방지(백신 설치·업데이트)는 가장 기본적인 보안 위생 관리로 간주된다. 티빙 사례는 이러한 기본 통제의 부재가 어떻게 대규모 유출 사고로 이어지는지를 보여주는 전형적인 실패 사례로, 시험 출제 시 사례형 문제의 소재가 될 수 있다.