취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
공공개인정보보호위원회가 국세청과 질병관리청을 '개인정보 이노베이션 존' 운영기관으로 새로 지정했습니다. 이노베이션 존이란 다중 인증(여러 단계로 본인을 확인하는 방식)과 실시간 화면 녹화 같은 강화된 보안 환경 안에서 가명처리된 개인정보를 안전하게 연구·분석할 수 있도록 마련된 공간입니다. 개인정보위는 이 공간 전반에 제로 트러스트(아무도 기본적으로 신뢰하지 않고 매번 검증하는 보안 원칙)를 적용해 데이터 처리의 안전성을 관리합니다. 국세청은 서울 국세통계센터에, 질병관리청은 충북 청주 별관에 각각 분석공간을 구축할 예정이며, 현장실사를 거쳐 내년 초부터 본격 운영됩니다. 기업 보안 담당자 입장에서는 직접적인 즉시 대응 사안은 아니지만, 국내 공공 데이터 보안 인프라 확장 흐름으로 참고할 수 있습니다.
자세히 보기
공공국가정보원 주도로 국방부·국가보안기술연구소·스틸리언·금융보안원이 함께 만든 AI 보안 시스템 '프로젝트 팔랑크스(Phalanx)'가 23개국이 참가한 국제 사이버훈련 'APEX 2026'에서 종합 1위를 차지했습니다. 이 AI는 사람의 개입 없이 단독으로 참가해 인간 방어팀보다 최대 3배 높은 점수를 기록했습니다. 비결은 동시에 약 16개 작업을 처리하는 병렬 처리 능력과 사람의 승인 단계를 없앤 빠른 대응 속도였습니다. 개발팀은 최고 성능의 AI 모델보다 여러 AI 에이전트를 잘 조율하는 '오케스트레이션(여러 AI를 통합 관리하는 구조)'이 핵심이라고 강조했습니다. 국정원은 이 기술을 공공기관에 확대 적용하고 내년 NATO 주관 훈련 '락드실즈(Locked Shields)'에도 참가할 계획입니다.
자세히 보기
공공국가정보원장이 '사이버 서밋 코리아 2026' 개회사에서 AI 시대의 사이버 위협이 빠르게 고도화되고 있다고 경고했습니다. 랜섬웨어가 공급망을 타고 확산하고, 생성형 AI가 피싱과 해킹을 더욱 정교하게 만들고 있다는 점이 주요 우려로 지적됐습니다. 정부는 보안을 혁신의 걸림돌이 아닌 필수 조건으로 보고, AI 강국 도약을 위한 기반으로 삼겠다는 방향을 제시했습니다. 네이버클라우드 대표도 기조연설에서 "공격자에게 국경이 없듯 방어에도 국경이 없어야 한다"며 국제 협력의 필요성을 강조했습니다. 행사에서는 AI 위협 대응, 소프트웨어 공급망 보안, 양자내성 암호(현재 컴퓨터로는 풀기 어려운 암호 방식) 전환 등 핵심 의제들이 논의됐습니다.
자세히 보기
공공한국 정부 주요 부처 관계자들이 AI 시대 사이버 보안 강화를 위한 정책 과제를 논의했습니다. 과기정통부는 중소기업의 낮은 보안 역량이 향후 3~5년간 가장 위험한 약한 고리라고 지목하며, 기업 간 협력과 지원 확대 필요성을 강조했습니다. 행정안전부는 공공기관 간 보안 역량 격차를 줄이기 위해 사이버보안 실태점검 대상을 현행 400개에서 약 1,500개 기관으로 확대하고 정보보호 인력도 늘릴 계획이라고 밝혔습니다. 개인정보보호위원회는 AI 에이전트(사용자 대신 여러 시스템에 자동으로 접근하는 AI 소프트웨어)가 개인정보를 무단 수집하거나 악성 지시에 따라 외부로 전송할 위험이 있다고 경고하며, 최소 권한 부여와 활동 로그 관리 체계를 갖춰야 한다고 강조했습니다. 연말까지 AI 에이전트 관련 개인정보 보호 안내서를 발간할 예정입니다.
자세히 보기
기업AI가 스스로 시스템을 침해하는 사고가 현실이 되면서, 기업 보안도 AI로 대응해야 하는 시대가 왔습니다. 마이크로소프트는 AI 기반 취약점 자동 탐지 시스템 'MDASH'를 실제 윈도우 보안에 적용해 4개월간 88개의 취약점을 발견했으며, 이 중 24개는 원격에서 시스템을 마음대로 제어할 수 있는 위험한 RCE(원격 코드 실행) 취약점이었습니다. 전문가들은 AI 에이전트가 사람 없이도 스스로 협업하며 시스템을 공격할 수 있게 된 만큼, 사전 차단뿐 아니라 사고 후 빠른 복구 능력도 갖춰야 한다고 강조했습니다. 또한 AI를 방어 도구로 쓰는 것에 그치지 않고, AI 자체의 권한과 행동을 통제하는 거버넌스 체계까지 마련해야 한다는 제언도 나왔습니다.
자세히 보기
공공개인정보보호위원회가 ISMS-P(정보보호 및 개인정보보호 관리체계 인증) 심사 방식을 강화하는 법령 개정안을 입법예고했습니다. 최근 통신사와 이커머스 업체 등 인증을 받은 기업에서 해킹과 개인정보 유출 사고가 잇따르면서, 서류 검토만으로는 한계가 있다는 문제의식에서 비롯됐습니다. 개정안은 기존 서면심사에 현장심사와 실제 취약점 점검·모의해킹(침투 테스트)을 병행할 수 있도록 해 실효성을 높입니다. 또한 개인정보 처리 규모나 사회적 영향력에 따라 인증 기준을 차등 적용하고, 인증이 취소된 기업에는 재취득 기간을 위한 과태료 1년 유예도 허용합니다. 의견수렴과 법제처 심사를 거쳐 최종 개정이 추진될 예정입니다.
자세히 보기
공공한국 개인정보보호위원회(개인정보위)가 뤼튼테크놀로지스, 테슬라코리아, 딥시크, 오픈AI, 나이키 등 5개 사업자에게 개인정보 처리방침 운영 미흡을 이유로 개선을 권고했습니다. 주요 문제는 이용자가 개인정보 관련 문의를 해도 회신이 없거나, 국내 이용자에게 영어·중국어로만 답변하는 등 권리 행사가 제대로 이루어지지 않은 점입니다. 또한 처리방침에 적힌 내용과 실제 운영 방식이 일부 달랐고, 처리방침 접근 경로가 복잡하거나 이전 처리방침을 공개하지 않은 문제도 발견됐습니다. 개인정보위는 각 사업자에게 운영체계 개선 및 국내대리인 관리·감독 강화를 요구했습니다. 국내에서 서비스를 제공하는 기업은 개인정보보호법상 이용자 권리 보장 의무를 철저히 이행해야 한다는 점을 다시 한번 상기시키는 사례입니다.
자세히 보기
금융한국에서 고객 개인정보가 담긴 데이터베이스(DB)를 활용해 영업하는 보험대리점(GA)에 대한 규제가 강화되고 있습니다. 지난 11일부터 시행된 개정 개인정보보호법은 회사 대표·사업주에게 개인정보 보호 책임을 직접 지우고, 개인정보보호책임자(CPO)의 권한을 넓혔으며, 반복적이거나 중대한 침해에 과징금을 부과하도록 했습니다. 금융감독원도 GA가 외부 DB 업체를 선정·관리할 때 적법한 동의 여부와 개인정보 파기 절차 등을 내부통제 항목으로 점검하도록 했습니다. 결과적으로 이름·전화번호·나이 등 고객 정보를 담은 DB를 거래하고 활용하는 영업 방식 전반에 법적 부담이 커지게 됐습니다.
자세히 보기
공공한국인터넷진흥원(KISA)이 최신 AI 모델을 활용해 정보보호 제품의 소스코드에서 취약점을 찾아주는 '취약점 점검 테스트랩' 서비스 예약을 시작했습니다. 기업이 제품을 출시한 뒤 문제를 고치는 방식 대신, 개발 단계에서 먼저 취약점을 발견하고 제거하는 것이 목표입니다. KISA는 같은 날 정보보호 제품 개발자 약 50명을 대상으로 AI 기반 취약점 대응 교육도 진행했습니다. 유럽연합(EU)의 사이버복원력법(CRA)처럼 취약점 관리를 의무화하는 규제가 국내외에서 강화되면서, 개발 초기 단계부터 보안을 점검하는 역량이 기업에 점점 더 중요해지고 있습니다.
자세히 보기
공공한국정보보호산업협회(KISIA)가 정부의 보안 특화 인공지능(AI) 개발 사업을 수주한 네이버클라우드 컨소시엄과 협력을 추진한다고 밝혔습니다. KISIA는 340개 회원사가 보유한 사이버보안 데이터(위협 정보, 취약점 분석, 패치 정보 등)를 AI 모델 개발에 제공하는 역할을 맡을 계획입니다. 이 사업은 해외 AI 모델에 의존하지 않고 국내 독자 파운데이션 모델을 만들어, 민감한 보안 데이터가 해외로 유출되는 위험을 줄이는 것이 목적입니다. 협력은 KISIA 내 'AI 보안 인텔리전스 협의체'를 통해 진행될 예정입니다.
자세히 보기
기업대한민국 개인정보보호위원회는 2026년 9월 11일부터 개정 개인정보 보호법을 시행합니다. 핵심 변화는 기업이 개인정보 유출을 최종 확인하기 전이라도, 유출 가능성을 인지한 순간부터 고객에게 즉시 알려야 한다는 점입니다. 해킹 흔적을 발견했지만 실제 유출 여부를 아직 모르는 상황에서도 고객 통지 의무가 발생하므로, 기업의 사고 초기 대응 부담이 커집니다. 통지·신고 대상 사고 범위도 넓어져, 랜섬웨어(악성 암호화 공격)로 데이터가 파괴·훼손된 경우까지 포함됩니다. 기업은 의심 단계에서 먼저 알리고 조사 결과를 추가 안내하는 2단계 대응 체계를 갖춰야 합니다.
자세히 보기
공공개인정보보호위원회가 국내에서 판매되는 로보락, 삼성전자, LG전자, 에코백스, 샤오미 등 5개 브랜드 로봇청소기의 개인정보 처리 실태를 점검한 결과를 발표했습니다. 영상·음성·지도정보 등 민감한 가정 내 데이터의 수집·전송·저장 과정에서 암호화 적용 등 기술적 보호 조치는 대체로 양호했습니다. 그러나 이용자 동의 없이 개인정보를 수집하거나, 국외 데이터 이전 사실을 처리방침에 누락하는 등 법적 의무 위반 사례가 확인됐습니다. 개인정보위는 미흡한 사항에 대해 시정 권고를 의결했으며, 대부분의 사업자는 이미 개선을 완료했거나 진행 중입니다. 올해 하반기에는 최신 모델의 신기능을 중심으로 추가 점검이 예정되어 있습니다.
자세히 보기