[한국정보공학기술사 보안을 論하다–48] 왜 개인정보 유출사고는 반복되는가?

보안 기술은 매년 진화하고 있다. 인공지능 기반 탐지(SIEM, Security Information and Event Management), 확장형 탐지·대응(XDR, Extended Detection and Response), 보안 오케스트레이션·자동화 대응(SOAR, Security Orchestration, Automation, and Response), 클라우드 네이티브 애플리케이션 보호(CNAPP, Cloud-Native Application Protection Platform), 소프트웨어 구성명세관리(SCA, Software Composition Analysis)처럼 기업이 선택할 수 있는 보안 기술 수단은 과거와 비교할 수 없을 만큼 진화하고 있지만 개인정보 유출사고는 반복되고 있다. 더 뼈아픈 사실은 반복되는 사고의 원인이 항상 고도화된 신종 공격기법만은 아니라는 점이다. 많은 유출사고가 계정관리, 접근권한 회수, 망 분리, 로그 모니터링, 공급망 통제와 같은 정보보호의 기본 원칙이 무너진 결과로 나타나고 있다.

2025년 이후 국내 주요 기업과 플랫폼에서 발생한 침해사고는 이 문제를 극명하게 보여주고 있다. SKT, KT·LGU+, 쿠팡, TVING, CU 등의 사례는 정보보호 관리체계 인증을 보유하고 있거나 인증 범위에 포함될 수 있는 부서임에도 실제 운영 단계에서는 자격증명 관리, 퇴직자 권한 회수, 이상징후 탐지, 공급망 관리가 충분히 작동하지 않았다는 공통점을 갖고 있다. 이는 인증마크가 사이버 위협으로부터 안전함을 증명하는 마크가 아니라는 점을 보여주는 중대한 사건이며, 인증 획득 자체보다 지속적인 보안 관리와 운영이 더욱 중요함을 시사하고 있다.

따라서 질문은 '인증을 받았는데도 왜 사고가 났는가?'가 아니라, '개인정보 유출 등 리스크를 최소화하기 위한 활동이 실제 운영 과정에서 지속적으로 작동하고 있는가?'로 바뀌어야 한다. 개인정보 유출사고의 반복은 기술 부족의 문제가 아니라, 리스크를 최소화하기 위한 보안 활동이 일상 운영 현황과 연결되지 못하고, 위험이 실시간으로 관리되지 않으면서 경영진이 위험 정보를 바탕으로 책임 있게 판단하지 못하는 구조적 문제에서 출발하는 것이다.

반복되는 유출의 핵심 고리

주요 사고 사례에서 본 반복되는 개인정보 유출사고의 핵심 연결고리는 세 가지로 압축된다. 첫째, '통제의 존재'와 '통제의 작동'이 분리되어 있다. 문서상 접근통제 정책, 계정관리 절차, 사고 대응 체계는 존재하지만 실제 현장에서는 평문 비밀번호 방치, 퇴직자 키 미 회수, 장기 유효 인증서, 비정상 접속 방치가 반복되고 있다. 이는 보안 통제가 설계되어 있어도 운영 현황 데이터로 검증되지 않으면 언제든 실패할 수 있음을 보여주는 것이다.

둘째, 보안 가시성이 단절되어 있다. 자산, 계정, 권한, 로그, 취약점, 외부자, 클라우드, API 호출 정보가 각기 다른 시스템에 흩어져 있으면 조직은 위험을 통합적으로 볼 수 없다. 공격자는 이런 단절을 이용해 횡적으로 이동(Lateral Movement)하고, 정상 사용자처럼 위장해, 오랜 기간 탐지되지 않은 상태로 데이터를 수집하게 된다. 주요 사고 분석에서도 수개월에서 수년간 이상징후가 식별되지 못한 사례가 확인되고 있다.

셋째, 인증심사 및 점검, 컨설팅 등이 '연 1회 행사'로 인식되고 있다. 관리체계는 본래 위험을 식별하고 통제하며 개선하는 지속적 검증 프로세스여야 한다. 그러나 실제 현장에서는 인증 준비 기간에 문서와 증적을 정리하고, 심사 이후에는 다시 일상으로 돌아가는 패턴이 반복되고 있으며 이런 구조에서는 문서와 증적이 심사를 통과하기 위한 산출물로만 남게 된다.

결국 사고의 반복은 '기준이 없어서'가 아니라 '기준이 현장의 실시간 현황 데이터와 연결되지 않아서' 발생하는 것이다. 따라서 해결책은 기준을 더 많이 만드는 데 그쳐서는 안 된다. 통제가 실제로 작동하는지, 권한이 적시에 회수되는지, 비정상 행위가 즉시 탐지되는지, 공급망 접근이 검증되는지 등을 지속적으로 증명할 수 있는 체계가 필요한 것이다.

▲보안시스템 발전 흐름도 [출처: 문정환 기술사]

사고 사례에서 확인되는 3대 원인

앞서 언급한 주요 사고의 개인정보 유출의 원인은 ①접근권한·취약점·개인정보 처리 흐름 등 기본 보안 통제의 운영 실패 ②자산·계정·로그·API·외부 연계 정보에 대한 상시 모니터링과 통합 가시성 부재 ③인증·거버넌스·공급망·사후 대응의 단절로 요약된다.

SKT 사례는 평문 자격 증명과 관리 망 접점 관리 실패가 내부 횡적 이동으로 이어질 수 있음을 보여주고 있다. KT·LGU+ 사례는 단말 인증과 공급망 통제의 결함이 핵심 망 위험으로 확산될 수 있음을 보여주고 있다. 쿠팡 사례는 퇴직자 권한 관리와 API 이상 탐지 실패가 대규모 개인정보 노출로 연결될 수 있음을 보여주고 있다.

주요 개인정보 유출사고는 발생 원인과 침해 경로는 다르지만 대부분 기본 보안 통제의 운영 실패, 통합 가시성 부족, 그리고 거버넌스와 공급망 관리의 단절이라는 공통된 구조적 문제를 가지고 있다.

이러한 구조적 문제는 최근 발생한 사고사례에서도 반복적으로 확인되고 있으며, 개인정보 유출사고의 주요원인으로 지적되고 있다. TVING 사례는 개인정보 저장 DB에 대한 비인가 접근과 클라우드 접근통제 정책 미흡, DB 접속 모니터링 강화 필요성이 플랫폼 서비스 환경에서 얼마나 중요한지를 보여주고 있다. CU 사례에서는 웹 취약점을 악용한 공격자의 비인가 접근으로 회원정보가 유출됐다.

이 사례들의 공통점은 명확하다. 사고는 어느 한 지점의 취약점에서 시작되지만, 대형 유출로 확대되는 과정에는 항상 '연결되지 않은 통제'가 존재하고 있다. 계정은 자산과 연결되지 않았고, 권한은 인사 정보와 연결되지 않았으며, 로그는 위험 시나리오와 연결되지 않았고, 인증은 실시간 운영 상태와 연결되지 않았다. 이것이 반복된 개인정보 유출사고의 구조적 핵심인 것이다.

증명할 수 없는 보안은 보안이 아니다

앞으로의 보안은 '하고 있다'고 말하는 수준을 넘어 '작동하고 있음을 증명'하는 단계로 변화돼야 한다. 인증서, 정책서, 점검표만으로는 실질적 안전을 설명할 수 없다. 경영진은 조직의 핵심 개인정보 자산이 어디에 있고, 누가 접근할 수 있으며, 어떤 권한이 과도하고, 어떤 외부자와 공급망이 위험하며, 어떤 로그가 이상징후를 말하고 있는지를 한눈에 볼 수 있어야 한다. 현장은 이 정보를 근거로 조치되고, 감사와 인증은 그 조치의 이력과 효과를 검증해야 한다.

정부도 대규모 개인정보 유출, 반복 위반, 고의·중과실 사고 등에 대해 인증 취소 기준과 사후 심사를 강화하는 방향으로 제도를 손보고 있다. 그러나 사후 제재만으로 반복되는 유출사고를 막을 수는 없다. 제재는 필요조건이지만 충분조건은 아니다. 핵심은 조직 내부에 상시적 위험관리 체계를 내재화하는 것이다. 즉, 관리체계 인증업무를 '심사 대응'에서 '운영 플랫폼 관리'로 전환해야 하는 것이다.

정보보호포털은 운영 플랫폼이 되어야 한다

반복 유출을 끊기 위한 실질적 해법으로 정보보호포털이 제시된다. 여기서 말하는 정보보호포털은 과거의 결재·문서관리 시스템이 아니다. 조직의 보안 활동, 자산 정보, 계정·권한, 취약점, 로그, 위협 인텔리전스, 공급망 정보, 인증 증적을 하나의 운영 화면에서 연결하는 '보안 거버넌스 운영 플랫폼'이다. 이를 위해 정보보호포털은 통합보안관제(SIEM)와 확장형 탐지·대응(XDR)의 탐지 데이터, 보안 오케스트레이션·자동화 대응(SOAR)의 조치 데이터, 클라우드 네이티브 애플리케이션 보호(CNAPP)의 클라우드 위험 데이터, 소프트웨어 구성 명세(SBOM)의 공급망 데이터를 통합적으로 연계해야 한다. 정보보호포털은 CISO와 실무자, 현업 부서, 감사·인증 대응 담당자가 같은 데이터를 보고 같은 위험을 판단하게 만드는 공통 언어가 되어야 하는 것이다.

정보보호포털은 ISMS·ISMS-P 기준을 단순 체크리스트로 관리하는 것이 아니라, 각 통제 항목을 실제 운영 데이터와 연결해야 한다. 예를 들어 퇴직자 권한 회수 항목은 인사시스템, 계정관리시스템, 접근권한 승인 이력, 미 회수 계정 현황과 연결되어야 한다. 자산관리 항목은 서버·클라우드·API·단말·외부 인터넷 접점 목록과 연결돼야 하며, 사고 대응 항목은 탐지 이벤트, 조치 이력, 보고 체계, 포렌직 증적 보존 상태와 연결돼야 한다.

통합보안관제(SIEM)는 조직 전반의 로그와 이벤트를 모아 위험 신호를 식별하고, 확장형 탐지·대응(XDR)은 엔드포인트·네트워크·클라우드 전반의 위협 흐름을 연결한다. 보안 오케스트레이션·자동화 대응(SOAR)은 반복적인 대응 절차를 자동화하고, 정보보호포털은 이 도구들이 생산하는 탐지·조치 데이터를 경영·감사·인증·운영 관점으로 재구성해야 한다. 공격 탐지 이벤트가 어떤 자산, 어떤 개인정보 처리 업무, 어떤 인증 통제 항목과 연결되는지 보여줄 때 보안은 비로소 조직의 언어가 될 수 있다.

클라우드와 공급망 환경에서는 자산의 경계가 빠르게 변하고 있다. 클라우드 네이티브 애플리케이션 보호(CNAPP)는 클라우드 설정, 워크로드, 권한, 코드 위험을 통합적으로 관리하고, 소프트웨어 구성 명세(SBOM)는 소프트웨어 구성요소와 취약한 라이브러리의 영향을 추적한다.

정보보호포털은 이 데이터를 자산관리시스템과 연결해 '어떤 자산이 어떤 개인정보를 처리하고, 어떤 취약점과 공급망 리스크에 노출되어 있으며, 어떤 조치가 지연되고 있는지'를 보여주어야 한다.

과거 정보보호포털의 실패를 반복해서는 안 된다

정보보호포털은 새로운 개념이 아니다. 과거에도 많은 기관이 정보보호포털, 보안관리시스템, ISMS 관리시스템을 구축했다. 그러나 상당수는 기대한 효과를 내지 못했다. 실패의 원인은 기술 그 자체가 아니라 운영 설계의 실패에 있다.

첫째, 수작업 데이터 입력에 의존하면서 정확성이 상실되었다. 담당자가 엑셀을 업로드하거나 수기로 점검 결과를 입력하는 구조에서는 데이터가 최신성을 잃고, 포털은 현실을 반영하지 못하는 보고용 화면으로 전락하게 되었다.

둘째, 업무 결재 시스템으로 고착화됐다. 위험을 식별하고 조치하는 플랫폼이 아니라, 예외 승인과 보고서 결재를 위한 시스템으로 운영되면서 현장의 사용성이 떨어지게 됐다.

셋째, 연 1회 인증, 감사/점검, 컨설팅 등의 산출물 중심의 경직된 아키텍처에 머물렀다. 인증 준비 시기에만 데이터가 정리되고, 심사 이후에는 운영 데이터와 분리되면서 지속적 개선 체계로 확장되지 못했다.

넷째, 단편화된 데이터 표현에 그쳤다. 자산, 계정, 로그, 취약점, 공급망 정보가 서로 연결되지 않아 '위험의 흐름'을 설명하지 못했다.

다섯째, 파편화된 보안 도구의 한계를 인지하지 못했다. 각 도구는 자기 영역의 이벤트를 보여주지만, 조직 전체의 위험 우선순위와 책임 소재를 설명하지 못한다. 이제는 파편화된 도구를 단순히 더 도입하는 것이 아니라, 실질적 상시 가시성을 확보하고, 보안 전담 인력과 AI 활용 보안시스템에 대한 투자를 확대해야 한다.

최근의 변화는 자율 보안과 지능형 포털로 향하고 있다

최근의 흐름은 분명히 달라지고 있다. 기관과 금융권은 단순 규제 준수 방식에서 벗어나, 스스로 보안수준을 진단하고 개선하는 자율 보안 체계로 이동하고 있다. 금융보안원의 금융보안 수준 진단 프레임워크는 거버넌스, 식별, 보호, 탐지, 대응, 복구, 공급망 등 보안 전 영역을 성숙도 관점에서 평가하고 개선 목표를 제시한다는 점에서 의미가 있다. 이는 연 1회 점검용 체크리스트를 넘어, 현재 수준과 목표 수준의 간극을 관리하는 방식으로 전환하고 있음을 보여주는 것이다.

AI 기반 정보보호포털의 핵심 방향은 단순한 화면 통합이 아니라, 보안 업무의 지능화와 자동화다. AI는 점검 결과를 요약하고, 유사 사고 패턴을 찾아내며, 미 조치 위험을 우선순위화하고, 인증 기준과 실제 조치 증적 사이의 누락을 식별하는 데 활용될 수 있다.

금융권 자율 보안 프레임워크 도입은 규제 준수 중심 보안에서 자율 진단·자율 개선 중심 보안으로 이동하는 신호다. 특히 거버넌스, 식별, 보호, 탐지, 대응, 복구, 공급망을 하나의 성숙도 체계로 다루는 접근은 정보보호포털이 지향해야 할 운영모델과도 맞닿아 있다.

성공적인 정보보호포털은 상시 증명 체계가 되어야 한다

문정환 기술사/한국정보공학기술사회

성공적인 정보보호포털의 첫 번째 조건은 자동 수집이다. 사람의 입력이 아니라 시스템 연계를 통해 자산, 계정, 권한, 로그, 취약점, 클라우드 설정, 공급망 정보를 지속적으로 수집해야 한다. 두 번째 조건은 거버넌스 통제 항목과 운영 데이터의 연결이다. 예를 들어 ISMS·ISMS-P 프레임 기준으로는 정책, 지침 문서가 아니라 실제 조치와 결과 증적으로 연결돼야 한다. 세 번째 조건은 위험 기반 우선순위화다. 모든 미흡 사항을 동일하게 다루는 것이 아니라 개인정보 영향도, 외부 노출 여부, 공격 가능성, 조치 지연 기간을 종합해 우선순위를 산정해야 한다. 네 번째 조건은 AI 활용이다. AI는 이상징후 요약, 로그·조치 이력 분석, 유사 사고 추천, 정책 미 준수 탐지, 감사 증적 자동 분류, 보안 질의응답에 활용될 수 있다. 특히 보안 인력이 부족한 조직에서는 AI가 반복 업무를 줄이고, 담당자가 판단과 조치에 집중하도록 도울 수 있다. 다섯 번째 조건은 경영진 대시보드다. 보안은 더 이상 실무 부서만의 문제가 아니다. 경영진은 조직의 핵심 위험, 미해결 과제, 인증기준 미 충족 영역, 사고 대응 준비 수준을 실시간으로 확인하고 책임 있게 의사결정해야 한다.

개인정보 유출사고가 반복되는 이유는 공격자가 강해서만이 아니라 우리가 우리 조직의 상태를 충분히 보지 못했고, 위험을 제때 조치하지 못했거나 조치한 사실을 지속적으로 증명하지 못했기 때문이다. 이제 필요한 것은 더 많은 종이, 더 많은 체크리스트, 더 많은 일회성 심사가 아니라 상시 가시성, 자동화된 증적, 위험 기반 의사결정, 그리고 이를 하나로 묶는 정보보호포털이다.

보안은 인증서에 존재하지 않는다. 보안은 매일의 운영 데이터 속에서 증명된다. 증명할 수 없는 보안은 보안이 아닌 것이다.

[글_ 문정환 기술사/한국정보공학기술사회]

필자 소개_ 한국정보공학기술사회 미래융합기술원 위원

• 개인정보보호위원회 가명정보전문가 1, 2기

• KISA, 한국토지공사, 한국지능정보사회진흥원 과업심의 위원, 평가자문 위원

• 정보관리기술사, ISMS-P 선임심사원, PIA, CISA, CISSP, CPPG, PMP, ITIL, SCNA, Project+ 등