디지털 시대를 살아가는 우리는 다양한 서비스를 이용하면서 수많은 개인정보를 기업이나 기관에게 제공하게 됩니다. 그런데, 뉴스만 틀면 나오는 개인정보 유출 사고소식 .. 왜 이렇게 자주 일어나는걸까요 ?

 

 

보유 정보의 과잉과 관리 미흡

많은 기업과 기관이 서비스 제공과 마케팅, 빅데이터 분석 등을 위해 필요 이상의 개인정보를 수집 보유하고 있습니다. 그러나 보관만 하고 관리 체계는 허술한 경우가 많습니다.

개인정보보호법 제16조(개인정보의 수집 제한) ① 개인정보처리자는 제15조제1항 각 호의 어느 하나에 해당하여 개인정보를 수집하는 경우에는 그 목적에 필요한 최소한의 개인정보를 수집하여야 한다. 이 경우 최소한의 개인정보 수집이라는 입증책임은 개인정보처리자가 부담한다.

(사례) 카드3사 개인정보 유출(2014) - 당시 신용카드 3사가 마케팅 업무를 위해 불필요하게 많은 고객정보를 보관하다가 외주업체 직원이 USB로 대량 복사해 판매한 사건 발생

 

 

2. 기술적 관리적 보호조치 미흡

암호화, 접근권한 관리, 로그 기록 등 보호 조치를 제대로 이행하지 않거나 최신 보안 업데이트를 소홀히하게 되면 해커에게 쉽게 공격당하게 됩니다.

개인정보보호법 제29조(안전조치의무) 개인정보처리자는 개인정보가 분실 · 도난 · 유출 · 위조 · 변조 또는 훼손되지 아니하도록 내부관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적 · 관리적 및 물리적 조치를 하여야 한다.

(사례) 인터파크 해킹 사고 (2016) - 쇼핑몰 인터파크는 암호화 등 보안조치를 미흡하게 적용한 탓에 해커에게 관리자 계정이 탈취되어 개인정보가 유출되었습니다.

 

 

3. 내부자 부주의 또는 고의 유출

권한이 있는 내부 직원의 실수나 고의적 유출도 빈번하게 발생하고 있습니다. 접근 권한을 최소화하고 로그를 철저히 관리해야하지만 실무에서는 시스템으로 통제하더라도 사람이 가장 큰 약점이 되는것 같습니다.

(사례) 국세청 퇴직자 개인정보 유출 (2021) - 국세청 전산실 퇴직 직원이 삭제되지 않은 접근권한으로 과세정보를 열람 반출한 사건이 있었습니다. 접근권한 회수 등 기본관리에 문제가 있었습니다.

 

 

4. 외부 공격 기법의 지능화

랜섬웨어, 피싱 메일 등 공격 방법은 점점 정교해지고 있습니다. 기업은 최신 공격 패턴에 대응하지 못하면 개인정보의 대량 유출 사고가 발생할 수 있습니다.

(사례) 글로벌 호텔체인 해킹(2018) - 세계적인 호텔 체인인 메리어트는 고객 예약정보가 해커에게 탈취되었습니다. 해커는 수년간 내부 시스템에 잠복해 정보를 모았고, 여권번호와 결제정보까지 유출되면서 문제가 되었습니다.

 

5. 개인정보 처리 위탁과 공유 과정의 허점

클라우드, 외부 업체 등 외부에 개인정보 처리 업무를 위탁할 경우 계약서에 보안조치에 대한 명확한 내용을 기재하지 않거나 위탁사의 관리가 미흡하여 사고가 발생하기도 합니다.

(사례) 대형 통신사 위탁사 해킹(2012) - 한 통신사는 콜센터 운영업체를 통해 고객정보를 위탁 처리했는데, 위탁업체의 보안이 허술하여 개인정보가 외부 해킹으로 유출되었습니다.

 

 

그렇다면, 개인정보 침해 사고를 어떻게 예방할 수 있을까요 ?

수집 최소화 및 불필요한 정보는 파기

암호화, 접근 권한 관리 등 보호조치 강화

정기적인 보안 점검과 모의해킹

내부 직원 보안 교육 및 윤리 의식 강화

위탁사의 관리계획 수립 및 정기 감사

 

개인정보 유출사고는 단순한 기술적인 문제가 아닙니다. 개인정보는 우리 모두의 신뢰와 직결되므로, 기업과 기관은 관련 법령과 가이드라인을 철저히 준수하고 정보주체의 권리를 우선해야 합니다.