취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
공공한국의 개인정보보호위원회가 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증심사 방식을 서류 위주에서 현장 직접 검증 중심으로 바꾸는 법령 개정안을 2026년 9월 16일부터 입법예고했습니다. 가장 큰 변화는 침해사고나 개인정보 유출이 발생한 기업에 대해 전문 기술인력이 현장에서 취약점 진단과 모의침투(해커처럼 직접 시스템을 공격해 허점을 찾는 테스트)를 수행할 수 있게 된다는 점입니다. 또한 개인정보 처리 규모가 크거나 사회적 파급력이 큰 기업에는 더 엄격한 보호 기준이 적용될 수 있는 근거도 마련됩니다. ISMS-P 인증 의무 대상 기업이 인증 취소를 받더라도 재취득 준비 기간 1년 동안 과태료 부과가 유예되는 규정도 새로 생깁니다. 의견 제출 기한은 10월 26일까지이며, 연내 고시 개정을 통해 제도 전반을 강화할 예정입니다.
자세히 보기
공공개인정보보호위원회가 ISMS-P(정보보호 및 개인정보보호 관리체계 인증) 심사 방식을 강화하는 법령 개정안을 입법예고했습니다. 최근 통신사와 이커머스 업체 등 인증을 받은 기업에서 해킹과 개인정보 유출 사고가 잇따르면서, 서류 검토만으로는 한계가 있다는 문제의식에서 비롯됐습니다. 개정안은 기존 서면심사에 현장심사와 실제 취약점 점검·모의해킹(침투 테스트)을 병행할 수 있도록 해 실효성을 높입니다. 또한 개인정보 처리 규모나 사회적 영향력에 따라 인증 기준을 차등 적용하고, 인증이 취소된 기업에는 재취득 기간을 위한 과태료 1년 유예도 허용합니다. 의견수렴과 법제처 심사를 거쳐 최종 개정이 추진될 예정입니다.
자세히 보기
공공한국 개인정보보호위원회(개인정보위)가 뤼튼테크놀로지스, 테슬라코리아, 딥시크, 오픈AI, 나이키 등 5개 사업자에게 개인정보 처리방침 운영 미흡을 이유로 개선을 권고했습니다. 주요 문제는 이용자가 개인정보 관련 문의를 해도 회신이 없거나, 국내 이용자에게 영어·중국어로만 답변하는 등 권리 행사가 제대로 이루어지지 않은 점입니다. 또한 처리방침에 적힌 내용과 실제 운영 방식이 일부 달랐고, 처리방침 접근 경로가 복잡하거나 이전 처리방침을 공개하지 않은 문제도 발견됐습니다. 개인정보위는 각 사업자에게 운영체계 개선 및 국내대리인 관리·감독 강화를 요구했습니다. 국내에서 서비스를 제공하는 기업은 개인정보보호법상 이용자 권리 보장 의무를 철저히 이행해야 한다는 점을 다시 한번 상기시키는 사례입니다.
자세히 보기
공공개인정보보호위원회가 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증 제도를 강화하기 위해 '개인정보 보호법 시행령' 개정안을 입법예고했습니다. 핵심 변경 사항은 지금까지 서류 검토 위주였던 심사 방식에 더해, 침해사고나 개인정보 유출이 발생한 기업에 대해 전문 인력이 직접 현장을 방문해 취약점 진단과 모의침투(해커처럼 실제로 시스템에 침입을 시도해 보는 테스트)를 수행할 수 있게 된다는 점입니다. 또한 기업 규모와 개인정보 처리량에 따라 인증 기준을 다르게 적용할 수 있는 근거도 마련됩니다. ISMS-P 인증 의무 대상 기업은 매년 받는 사후 심사에서도 이 강화된 현장 점검이 적용될 수 있어, 형식적 인증에 그치지 않도록 실질적인 보안 수준 검증이 이루어질 전망입니다.
자세히 보기
금융한국에서 고객 개인정보가 담긴 데이터베이스(DB)를 활용해 영업하는 보험대리점(GA)에 대한 규제가 강화되고 있습니다. 지난 11일부터 시행된 개정 개인정보보호법은 회사 대표·사업주에게 개인정보 보호 책임을 직접 지우고, 개인정보보호책임자(CPO)의 권한을 넓혔으며, 반복적이거나 중대한 침해에 과징금을 부과하도록 했습니다. 금융감독원도 GA가 외부 DB 업체를 선정·관리할 때 적법한 동의 여부와 개인정보 파기 절차 등을 내부통제 항목으로 점검하도록 했습니다. 결과적으로 이름·전화번호·나이 등 고객 정보를 담은 DB를 거래하고 활용하는 영업 방식 전반에 법적 부담이 커지게 됐습니다.
자세히 보기
중요금융롯데카드에서 고객 297만 명의 개인 신용정보가 해킹으로 유출된 사고로, 금융당국이 내린 1.5개월 영업정지 처분이 9월 15일 종료됐습니다. 금융감독원 조사 결과 보안 패치 미적용, 주민등록번호와 비밀번호 암호화 미이행, 백신 소프트웨어 미설치 등 기본적인 보안 의무 위반이 확인됐고, 로그 파일에 개인정보가 평문으로 기록돼 있었습니다. 금융위원회와 개인정보보호위원회는 각각 50억 원, 96억 2천만 원의 과징금을 부과했습니다. 해킹으로 인한 정보유출을 이유로 금융회사가 업무정지를 받은 것은 이번이 처음으로, 금융권 전체에 보안관리 책임을 강화하는 선례가 됐습니다. 9월 11일부터는 개정 개인정보보호법이 시행돼 반복·고의 유출 시 전체 매출액의 최대 10%까지 징벌적 과징금이 부과될 수 있습니다.
자세히 보기
기업대한민국 개인정보보호위원회는 2026년 9월 11일부터 개정 개인정보 보호법을 시행합니다. 핵심 변화는 기업이 개인정보 유출을 최종 확인하기 전이라도, 유출 가능성을 인지한 순간부터 고객에게 즉시 알려야 한다는 점입니다. 해킹 흔적을 발견했지만 실제 유출 여부를 아직 모르는 상황에서도 고객 통지 의무가 발생하므로, 기업의 사고 초기 대응 부담이 커집니다. 통지·신고 대상 사고 범위도 넓어져, 랜섬웨어(악성 암호화 공격)로 데이터가 파괴·훼손된 경우까지 포함됩니다. 기업은 의심 단계에서 먼저 알리고 조사 결과를 추가 안내하는 2단계 대응 체계를 갖춰야 합니다.
자세히 보기
중요공공한국 개인정보보호위원회(개인정보위)가 구글을 대상으로 공식 조사에 착수했습니다. 디지털성범죄(불법 촬영물 등) 피해자들이 구글에 콘텐츠 삭제를 요청하면서 제출한 민감한 개인정보가 외부 웹사이트에 공개된 것이 확인됐기 때문입니다. 개인정보위는 지난 7일 구글에 자료 제출을 요구했으며, 정보가 유출된 규모·경위·기간, 그리고 개인정보 보호법 위반 여부를 집중 조사할 예정입니다. 피해자 동의 없이 제3자에게 민감정보가 전달됐을 가능성이 핵심 쟁점으로, 2차 피해가 우려되는 중대 사안으로 보고 있습니다. 조사 중 즉각 삭제·차단이 필요한 사항이 발견되면 구글과 해당 웹사이트 운영기관에 곧바로 시정을 요구할 방침입니다.
자세히 보기
공공한국개인정보보호책임자협의회(KCPO)가 개인정보보호위원회, KISA와 함께 'CPO(개인정보 보호책임자) 지정·신고 실무 매뉴얼'을 발간했습니다. 개정 법령에 따라 연 매출 1,800억 원 초과 기업, 대형 대학, 상급종합병원, 주요 공공기관 등은 CPO를 지정하거나 변경·해제할 때 이사회 의결을 거쳐 6개월 이내에 신고해야 합니다. 매뉴얼에는 신고 대상·자격 요건·절차·Q&A 등 실무에 필요한 내용이 망라되어 있습니다. 다만 2027년 12월 31일까지는 계도기간으로, 위반 시에도 과태료가 부과되지 않습니다.
자세히 보기
중요기업한국 정부가 개인정보 보호법을 대폭 개정해 2026년부터 반복적·중대한 개인정보 침해에 대한 과징금 상한을 매출액의 3%에서 최대 10%로 올렸습니다. 반면 사전에 보안 인력·예산·설비에 투자한 기업은 과징금을 최대 40%까지 깎아주는 인센티브도 함께 도입해, 기업이 사고 이후 수습보다 사전 예방에 투자하도록 유도합니다. 특히 CEO(최고경영자)를 개인정보 처리·보호의 최종책임자로 법에 명시해, 보안사고가 발생하면 실무진뿐 아니라 경영진의 관리·감독 의무 이행 여부까지 따질 수 있게 됐습니다. CPO(개인정보 보호책임자)는 이사회에 보안 현황을 보고하고, 일정 규모 이상 기업은 CPO 변경 시 이사회 의결 및 개인정보위 신고가 의무화됩니다. 기업 보안팀은 이번 개정에 맞춰 예방 투자 근거 문서화, 경영진 보고 체계 정비, CPO 역할 재정립을 서둘러야 합니다.
자세히 보기
중요기업2026년 9월 11일부터 개정 개인정보 보호법이 시행되면서 국내 개인정보 보호 규제가 대폭 강화됩니다. 가장 큰 변화는 과징금 상한이 전체 매출액의 3%에서 최대 10%로 올라간다는 점으로, 반복·중대 위반이나 1,000만 명 이상 피해 사고 시 적용됩니다. CEO가 개인정보 보호의 최종 책임자로 법에 명시되어, 사고 발생 시 경영진이 직접 책임을 지게 됩니다. 반대로 보호 예산·인력·설비에 투자한 기업은 과징금을 감경받을 수 있어, 사전 예방 투자가 실질적인 리스크 관리 수단이 됩니다. 올해 상반기 개인정보 유출 신고가 이미 432건으로 작년 연간 수준에 근접한 만큼, 기업들의 신속한 대응 체계 정비가 시급합니다.
자세히 보기
중요공공한국 개인정보보호법과 시행령이 2026년 9월 11일부터 시행되며, 기업의 개인정보 보호 의무가 대폭 강화됩니다. 가장 큰 변화는 CEO(대표자)의 최종 책임을 법으로 명시하고, CPO(개인정보보호책임자)의 권한과 독립성을 높인 것입니다. 고의·반복적 개인정보 유출 사고에는 전체 매출액의 최대 10%까지 징벌적 과징금을 부과할 수 있게 됐습니다. 반면 보안에 사전 투자한 기업에는 과징금을 최대 40% 감경해 주는 인센티브도 도입됩니다. 또한 개인정보 유출이 확정되기 전이라도 유출 가능성이 높다고 판단되면 72시간 이내에 당사자에게 통지해야 하는 '유출 가능성 통지제'가 처음으로 도입됩니다.
자세히 보기