2026.01.10 토요일
검색
'ISMS-P' 검색결과
기간검색
-
~
검색영역
검색어
-
1000만 명 정보 털리면 보안 인증 즉각 박탈... 정부 'ISMS 무용론' 칼 뺐다 [이코노믹데일리] 앞으로 1000만 명 이상의 개인정보 유출 사고를 일으킨 기업은 정부가 부여한 정보보호 인증이 즉각 취소된다. 형식적인 인증 유지로 면죄부를 주던 관행을 타파하고 실질적인 보안 태세를 갖추지 못한 기업에는 강력한 페널티를 부과하겠다는 정부의 의지다. 개인정보보호위원회(위원장 송경희)와 과학기술정보통신부(장관 배경훈)는 29일 한국인터넷진흥원(KISA) 및 금융보안원 등 관계 기관과 '정보보호 및 개인정보보호 관리체계(ISMS·ISMS-P) 인증 취소 관계기관 대책회의'를 열고 이 같은 내용의 인증 취소 기준 구체화 방안을 확정했다. 이번 대책은 최근 잇따른 대형 사이버 침해 사고에도 불구하고 해당 기업들이 ISMS 인증을 유지하고 있어 제도의 실효성에 의문이 제기된 데 따른 후속 조치다. 정부가 확정한 방안의 핵심은 '무관용 원칙' 적용이다. 개인정보보호법 위반으로 과징금 등의 처분을 받은 기업 중 위반 행위의 중대성이 큰 경우 인증이 박탈된다. 구체적으로 △1000만 명 이상의 피해 발생 △반복적 법 위반 △고의 및 중과실 위반행위 등으로 사회적 영향이 크다고 판단되면 원칙적으로 인증을 취소하기로 했다. 이는 대규모 유출 사고가 발생해도 인증이 유지돼 소비자에게 '안전한 기업'이라는 잘못된 신호를 주는 것을 막기 위함이다. 사후 관리 체계도 대폭 강화된다. 인증 기업이 연 1회 받아야 하는 사후 심사에서 △외부 인터넷 접점 자산 식별 △접근권한 관리 △패치 관리 등 사고와 직결되는 '핵심 항목'을 집중 점검한다. 점검 결과 해당 항목에서 중대 결함이 발견되거나 사후 관리를 거부하고 자료를 허위로 제출하는 경우 인증위원회 심의를 거쳐 즉시 인증을 취소한다. 단순한 서류 심사를 넘어 실제 보안 시스템이 작동하는지 현미경 검증을 하겠다는 뜻이다. 인증이 취소된 기업에 대한 제재와 회생 절차도 구체화했다. ISMS 인증 의무 대상 기업이 인증 취소를 당할 경우 취소 시점부터 1년간 재신청을 할 수 없게 '유예 기간'을 뒀다. 이는 사고 직후 형식적인 요건만 갖춰 급하게 인증을 다시 받는 꼼수를 차단하고 1년 동안 근본적인 보안 체질 개선을 유도하기 위함이다. 다만 정부는 이 기간 인증 의무 미이행에 따른 과태료는 면제해 기업이 보안 투자에 집중할 수 있도록 배려했다. 정보통신망법 위반 행위에 대한 제재 근거도 마련 중이다. 망법 위반 행위가 중대할 경우 인증을 취소할 수 있도록 법 개정을 추진하고 있으며 개정이 완료되는 대로 세부 기준을 수립할 예정이다. 양 부처는 지난 11월부터 합동 태스크포스(TF)를 운영하며 최근 발생한 보안 사고의 주요 원인을 분석해왔으며 이번 대책에 그 결과를 반영했다. 개인정보위 관계자는 "인증 기준에 미달하거나 중대한 위반이 있는 기업은 인증을 유지할 수 없도록 엄격히 관리하여 인증 제도의 신뢰성을 회복해 나가겠다"고 강조했다. 과기정통부 관계자 또한 "인증 사후 심사 시 기준에 미달하는 등 정보보호 관리체계 수준을 지속 유지하지 않는 경우 인증 취소를 적극 실시하여 정부 인증 제도의 실효성을 높이겠다"고 밝혔다. 업계에서는 이번 조치로 인해 기업들의 보안 경각심이 한층 높아질 것으로 보고 있다. 특히 최근 대규모 개인정보 유출 사태를 빚은 플랫폼 및 통신사들이 강화된 기준의 첫 적용 대상이 될지 이목이 쏠리고 있다.2025-12-30 00:07:28
-
김범석 의장 빠진 청문회에 여야 격분…쿠팡에 영업정지 검토 초강수 [이코노믹데일리] 정부가 최근 발생한 쿠팡의 대규모 고객 정보 유출 사고를 국민 일상을 위협하는 '중대한 사안'으로 규정하고 영업정지 명령까지 검토하는 등 전례 없는 고강도 대응에 나섰다. 3370만 명의 정보가 털린 사상 초유의 사태에도 불구하고 책임 회피성 태도를 보이는 쿠팡에 대해 범정부 차원의 칼을 빼 든 것이다. 배경훈 부총리 겸 과학기술정보통신부 장관은 지난 18일 정부서울청사에서 '제2회 과학기술관계장관회의'를 주재하고 긴급 안건으로 상정된 '쿠팡 사태 범부처 대응 방향'을 심도 있게 논의했다. 이날 회의에서는 쿠팡의 미온적인 사고 수습 태도와 반복되는 보안 이슈가 도마 위에 올랐다. 정부는 사안의 심각성을 고려해 과기정통부 제2차관을 단장으로 하는 '범부처 대응 태스크포스(TF)'를 즉각 구성하기로 했다. TF에는 과기정통부를 필두로 개인정보보호위원회와 방송미디어통신위원회, 금융위원회, 공정거래위원회, 국가정보원, 경찰청 등 7개 핵심 권력 기관의 국장급이 참여해 전방위적인 압박에 나선다. TF의 목표는 단순한 사고 원인 규명을 넘어 기업의 책임을 끝까지 묻는 데 있다. 구체적으로 △침해사고 조사 및 수사 △이용자 피해 구제 △정보보호 인증제도(ISMS-P)의 실효성 개편 △징벌적 손해배상 등 기업 책임 강화 방안을 중점적으로 다룬다. 특히 정부는 쿠팡에 대한 '영업정지' 처분 가능성을 열어두고 법리 검토에 착수했다. 전자상거래법에 따르면 소비자의 재산상 손해가 발생했음에도 사업자가 시정 조치를 이행하지 않거나 소비자 피해가 현저할 경우 공정위가 영업의 전부 또는 일부를 정지시킬 수 있다. 이는 지난 9일 이재명 대통령이 쿠팡 사태를 직접 거론하며 "국민에게 피해를 주면 회사가 문을 닫을 수도 있다는 생각이 들게 해야 한다"고 질타하며 공정위에 강제 조사권 부여를 지시한 것과 맥을 같이 한다. 업계에서는 정부가 실제로 영업정지 카드를 꺼낼 경우 쿠팡의 로켓배송 등 핵심 서비스가 마비될 수 있어 기업 존립에 치명타가 될 것으로 보고 있다. 정치권의 공세도 거세지고 있다. 더불어민주당은 지난 17일 진행된 국회 청문회에 실질적 오너인 김범석 쿠팡Inc 의장이 불출석한 것을 두고 "알맹이 없는 맹탕 청문회"라고 강하게 비판했다. 국회 과학기술정보방송통신위원회 소속 야당 간사는 "김범석 의장이 미국 상장사 의장이라는 이유로 한국 법인의 보안 사고 책임을 회피하는 것은 국민을 기만하는 행위"라며 "과방위뿐만 아니라 정무위와 산자위 등 유관 상임위원회가 모두 참여하는 '연석 청문회'를 추진해 김 의장을 반드시 증언대에 세우겠다"고 경고했다. 정부는 이번 사태를 계기로 플랫폼 기업의 '보안 불감증'을 뿌리 뽑겠다는 방침이다. 과기정통부 관계자는 "쿠팡이 보안 투자보다 사고 후 과태료를 내는 것이 이익이라고 판단하는 '도덕적 해이'에 빠져 있다"며 "TF를 통해 가능한 모든 법적 행정적 수단을 동원해 책임을 물을 것"이라고 밝혔다.2025-12-19 09:32:57
-
개인정보위, 개인정보 유출 기업에 매출 10% '징벌적 과징금'…"사후 약방문 없다" [이코노믹데일리] 개인정보보호위원회(이하 개인정보위)가 반복적인 개인정보 유출 사고를 일으킨 기업에 대해 매출액의 최대 10%를 과징금으로 부과하는 ‘징벌적 과징금’ 제도를 도입한다. 또한 최고경영자(CEO)에게 개인정보 보호 관리의 최종 책임을 묻고 피해자가 손해배상을 청구할 수 있는 단체소송 요건을 완화하는 등 제재 수위를 대폭 강화한다. 송경희 개인정보위원장은 12일 정부세종컨벤션센터에서 열린 ‘2026년 업무보고’ 브리핑에서 이 같은 내용을 골자로 하는 정책 추진 계획을 발표했다. 송 위원장은 “최근 3년간 개인정보 유출 사고가 20배 이상 급증하며 국민 불안이 커지고 있다”며 “기존의 사후 수습 중심에서 사전 예방과 실효적 제재로 정책 패러다임을 완전히 전환하겠다”고 밝혔다. 이번 대책의 핵심은 ‘강력한 억지력 확보’다. 개인정보위는 반복적이거나 중대한 법 위반 행위에 대해 현행 매출액 3% 수준인 과징금 한도를 최대 10%까지 상향하는 특례를 신설한다. 이는 기업들이 과징금보다 보안 투자 비용이 더 크다고 판단해 안전 조치를 소홀히 하는 관행을 깨기 위한 조치다. 아울러 기업 CEO를 최종 개인정보 보호 책임자로 명시해 경영진의 책임을 법제화하고 일정 규모 이상의 기업에는 정보보호최고책임자(CPO) 지정 신고제를 도입해 관리 체계를 강화한다. ‘사전 예방’ 체계도 구축된다. 정보보호 인증 제도인 ISMS-P를 현장 중심으로 개편해 예비 심사를 도입하고 핵심 기준 미달 시 심사를 즉시 중단하는 등 인증의 문턱을 높인다. 유통 및 플랫폼 등 대규모 개인정보를 처리하는 분야에 대해서는 사전 실태 점검을 정례화하고 ‘기술분석센터’를 신설해 상시 모니터링 체계를 가동한다. AI(인공지능) 시대에 맞춘 데이터 활용 기반도 마련한다. AI 학습용 원본 데이터 활용을 위한 특례를 도입하고 마이데이터 전송 서비스를 2026년부터 에너지, 교육 등 6대 분야로 확대해 데이터 경제를 활성화한다. 일상 속 프라이버시 보호를 위해 IP 카메라나 로봇청소기 등 스마트 기기의 보안 인증을 의무화하는 법적 근거도 마련한다. 특히 딥페이크 등 신종 위협에 대응해 AI 합성 콘텐츠에 대한 삭제 요구권과 유통 금지 조항을 신설해 국민 권익을 보호할 방침이다. 송 위원장은 “반복된 유출 사고는 기업의 생존을 위협하는 경영 리스크임을 인식해야 한다”며 “엄정 대응과 구조적 개선을 통해 국민이 체감할 수 있는 안전한 디지털 환경을 만들겠다”고 강조했다.2025-12-12 14:48:34
-
"정보보호 공시 우수"…호텔롯데, 과학기술정보통신부 장관 표창 [이코노믹데일리] 호텔롯데가 과학기술정보통신부 주최로 열린 ‘시큐리티 페스타 2025’에서 정보보호 산업 발전 유공으로 과학기술정보통신부 장관 표창을 수상했다. 4일 호텔롯데에 따르면 이번 표창은 국내 정보보호 산업 발전에 기여한 기관 및 개인에게 수여되는 상이다. 정보보호 공시제도는 안전한 인터넷 환경 조성과 보안 투자 활성화를 위해 기업의 정보보호 활동과 인력, 투자, 인증 현황을 대외에 공개하는 제도다. 롯데호텔앤리조트, 롯데면세점, 롯데월드 어드벤처 사업부로 구성된 호텔롯데는 공시 의무 대상이 아님에도 2022년부터 자율 공시 기업으로 참여하며 꾸준히 정보보호 현황을 공개했다. ‘ISO27001(정보보호 경영시스템)’과 ‘ISMS-P(정보보호 및 개인정보보호 관리체계)’ 인증을 모두 보유하며 국내외 보안 수준을 강화했다. 김재귀 호텔롯데 정보보호최고책임자(CISO)는 “고객 신뢰는 호텔롯데가 추구하는 본원적 가치고 이를 지키는 데 있어 정보보호는 무엇보다 중요하다”며 “글로벌 기준에 맞춘 보안 체계를 지속적으로 강화해 고객이 안심하고 다시 찾을 수 있는 서비스를 제공하기 위해 최선을 다하겠다”고 말했다.2025-12-04 17:15:00
-
동양생명, '정보보호 및 개인정보보호 관리체계' 인증 획득 [이코노믹데일리] 동양생명이 과학기술정보통신부·개인정보보호위원회가 주관하는 '국가 공인 정보보호 및 개인정보보호 관리체계(ISMS-P)' 인증을 획득했다고 4일 밝혔다. ISMS-P는 정보보호·개인정보보호 전반에서 총 101개 인증 기준에 대한 평가·검증을 통해 부여되는 국내 공인 인증 제도다. 동양생명은 △보험서비스(재무설계사) △홈페이지(웹·애플리케이션) △클라우드 인공지능(AI) 컨택센터 등 주요 디지털 보험서비스 영역에서 인증을 받았다. 동양생명은 디지털 전환 가속화·개인정보보호 중요성 확대에 맞춰 보안 정책·운영 체계 재정비, 개인정보 처리 전·후 관리체계 강화 등 전사적인 정보보호조치 정교화를 진행하고 있다. 동양생명 관계자는 "급변하는 디지털 환경에서 정보보호는 기업의 지속가능성을 좌우하는 핵심 영역으로 부상하고 있는 만큼 앞으로도 변화하는 금융 환경에 맞춰 보안 체계를 지속적으로 고도화해 나갈 것"이라고 말했다.2025-12-04 14:03:30
-
개인정보위 "쿠팡, '노출' 아닌 '유출'로 정정해 다시 알려라"… 행정지도 착수 [이코노믹데일리] 사상 최대 규모인 3370만명의 개인정보 유출 사고를 일으킨 쿠팡이 사태 초기 피해 사실을 '유출'이 아닌 '노출'로 축소 통지한 것에 대해 정부가 시정을 권고했다. 또한 정부는 이번 사태를 계기로 기업의 책임을 강화하기 위해 징벌적 손해배상제도를 현실화하고 무용론이 제기된 정보보호 인증 체계(ISMS-P)를 전면 개편하기로 했다. 개인정보보호위원회(이하 개인정보위)는 3일 긴급 전체회의를 열고 쿠팡에 개인정보 '노출' 통지를 '유출'로 정정하고 누락된 피해 항목을 포함해 이용자에게 재통지할 것을 권고했다고 밝혔다. 개인정보위 조사 결과 쿠팡은 지난달 18일 비정상적 접속으로 고객 정보가 외부로 빠져나간 사실을 확인했음에도 피해자들에게 보낸 문자메시지와 홈페이지 공지에는 '개인정보 노출'이라는 표현을 사용했다. 법적으로 '노출'은 정보가 누구나 볼 수 있는 상태를 '유출'은 통제권을 상실해 권한 없는 자에게 넘어간 상태를 뜻한다. 업계에서는 쿠팡이 집단소송이나 징벌적 배상 리스크를 줄이기 위해 의도적으로 표현을 순화한 것 아니냐는 비판이 제기돼 왔다. 이에 개인정보위는 이용자의 혼선을 막기 위해 용어를 '유출'로 명확히 수정하고 공동현관 비밀번호 등 당초 공지에서 빠진 항목까지 포함해 다시 알리도록 했다. 또한 홈페이지 초기 화면이나 팝업창에 피해 사실을 일정 기간 이상 게시하고 2차 피해 방지를 위한 전담 대응팀(Help Desk)을 확대 운영할 것을 주문했다. 송경희 개인정보위 위원장은 이날 국회 정무위원회 전체회의에 출석해 "과징금을 강화하고 징벌적 손해배상제도의 실효성을 강구할 수 있는 방안을 찾겠습니다"라고 밝혔다. 이는 전날 이재명 대통령이 "피해 규모가 3400만 건으로 방대한데도 사건이 발생하고 회사가 유출 자체를 파악하지 못했다는 게 참으로 놀랍다"며 관계 부처에 실효적인 대책 마련을 지시한 데 따른 후속 조치다. 송 위원장은 "3370만명의 개인정보가 유출됐고 이름, 이메일 주소, 배송지 정보, 주문정보 등이 유출된 것으로 확인됐다"며 "배송지 주소에는 회원뿐 아니라 가족, 지인, 받는 사람 주소와 일부 공동현관 비밀번호가 포함됐다"고 설명했다. 이어 "사업자가 개인정보 보호에 인적·물적 투자를 하도록 효과적인 유인체계를 만들겠다"고 강조했다. 정부는 이번 사고를 계기로 유명무실하다는 지적을 받아온 '정보보호 및 개인정보보호 관리체계 인증(ISMS-P)' 제도도 대대적으로 손질한다. 쿠팡은 ISMS-P 인증을 유지하고 있었음에도 이번 사고를 막지 못했다. 실제로 2020년 이후 ISMS-P 인증 기업에서 발생한 개인정보 유출 사고는 34건에 달한다. 정부는 향후 인증 심사를 기존 서류 중심에서 '모의 해킹'을 포함한 현장 심사 위주로 전환하고 중대 결함 발견 시 인증을 즉시 취소하는 ‘원스트라이크 아웃’ 제도를 도입할 방침이다. 김승주 고려대 정보보호대학원 교수는 “(정부가) ISMS-P를 현실화시키면서 모의 해킹 위주로 검토하는 것 같다”면서 “ISMS-P 평가자들이 있는데 우선 평가자들을 모아놓고 현장의 (여러) 의견을 들어봐야 한다”고 조언했다. 개인정보위 관계자는 "쿠팡이 개선 권고를 따를지 아니면 그렇지 않을지를 보면 (쿠팡이) 국내 소비자를 어떤 식으로 바라보는지 알 수 있을 것"이라며 "개인정보위로서는 우선 쿠팡에 ‘경고’를 한 셈인데 이번 개선 권고를 이행하지 않으면 나중에 실제 제재 때 영향을 줄 수 있다"고 밝혔다. 한편 쿠팡은 지난달 20일 4536개 계정 유출로 1차 신고를 했으나 이후 정밀 조사 과정에서 피해 규모가 3370만 개로 늘어나 지난달 29일 2차 신고를 접수했다. 현재 민관합동조사단이 정확한 유출 경위와 쿠팡의 보안 조치 위반 여부를 조사 중이다.2025-12-03 15:49:43
-
"정보보호 관리 우수"…교촌에프앤비, 치킨 업계 최초 ISO 인증 획득 [이코노믹데일리] 교촌에프앤비는 치킨프랜차이즈 업계 최초로 정보보호시스템 인증기관인 BSI(영국왕립표준협회) 코리아로부터 국제표준 정보보호 관리체계 ‘ISO/IEC 27001:2022’ 인증을 획득했다고 17일 밝혔다. ISO/IEC 27001은 국제표준화기구(ISO)와 국제전기기술위원회(IEC)가 제정한 가장 권위 있는 국제 정보보호 표준 인증이다. 교촌은 정보자산을 체계적이고 지속적으로 보호하기 위한 관리체계를 갖춘 자격을 인정 받아 BSI 코리아로부터 인증을 받았다. 교촌은 이번 국제 인증을 기반으로 국내 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증 추진, ISO27001 유지·갱신 체계 강화, 보안 프로세스 고도화 등을 통해 정보보호관리체계의 지속적 개선 활동을 이어갈 계획이다. 교촌에프앤비 관계자는 “이번 인증은 당사의 정보자산을 안전하게 관리하고, 고객과 시장으로부터 신뢰를 더욱 강화하기 위한 중요한 이정표”라며 “회사의 정보 자산 특히 고객 데이터를 안전하게 보호하는 보안 경영을 통해 신뢰받는 브랜드로 자리매김하겠다”고 말했다.2025-11-17 16:04:38
-
우리금융 그룹 공동 클라우드 플랫폼 완성...AX 전환 박차 [이코노믹데일리] 우리금융그룹이 AX(인공지능 대전환) 추진을 위한 그룹 공동 클라우드 플랫폼을 최종 완성하고 전 계열사로 확대 적용을 시작했다. 그룹 공동 클라우드 플랫폼은 디지털·인공지능(AI) 핵심전략을 신속하고 유연하게 실행할 수 있는 통합 기술 기반이다. 이 기술 위에서 선보인 'BaaS(Banking as a Service·서비스형 뱅킹)'와 '우리WON지갑(우리 WON뱅킹 내 생활·공공서비스 통합 디지털 지갑)'은 외부 제휴를 넓히고 생활 밀착형 서비스를 확대하고 있다. 이 플랫폼은 내부와 외부 클라우드를 병행하는 하이브리드 구조로 설계돼 금융권의 보안·규제 요건을 충족하면서도 디지털 서비스를 신속하게 개발·운영할 수 있다. 클라우드 자원을 효율적으로 관리하는 클라우드 포털과 퍼블릭 클라우드에 최적화한 그룹 표준 보안정책 기반의 운영 체계를 구축했으며 ISMS-P(정보보호·개인정보보호 관리체계)와 ISO/IEC27001(국제 정보보호 관리체계) 등 국내외 핵심 보안 기준을 반영했다. 특히 시중은행 최초로 금융감독기관의 안정성 요건을 충족하는 자동화 개발·배포(CI/CD) 체계를 도입했다. CI/CD는 소프트웨어 개발과 테스트 배포 과정을 자동화하는 기술로 서비스 품질 검증과 보안 심사 절차를 자동화해 운영 리스크를 최소화했다. 이번 사업은 우리금융 '미래동반성장 프로젝트'에서 제시한 AI 기반 경영시스템 대전환의 일환이다. 클라우드 플랫폼 완성을 계기로 계열사 간 기술 표준화와 디지털 역량을 한층 강화해 AX 전략을 단계적으로 실행할 계획이다. 우리금융은 2019년 그룹 공동 클라우드 플랫폼 도입 계획을 수립한 후 6년간 구축을 추진했다. 우리은행 관계자는 "그룹 공동 클라우드 플랫폼 완성을 통해 우리금융의 AX 추진 기반을 확고히 다지고 클라우드를 중심으로 한 디지털·AI 전략을 바탕으로 고객 중심의 혁신 금융 서비스를 지속 확대해나가겠다"고 말했다.2025-11-11 11:22:16
-
KT 해킹 부른 '펨토셀', '정부인증' 믿었는데…제도적 허점 드러나 [이코노믹데일리] KT 대규모 해킹 사태를 촉발한 초소형 기지국(펨토셀)이 정부의 핵심 정보보호 인증 제도의 사각지대에 놓여 있었던 것으로 드러났다. 국가 공인 인증을 받았음에도 대형 보안 사고가 터진 근본적인 이유가 제도적 허점 때문이었다는 비판이 나온다. 25일 국회 과방위 소속 이해민 의원(조국혁신당)이 한국인터넷진흥원(KISA)으로부터 제출받은 자료에 따르면 펨토셀은 정보보호관리체계(ISMS-P) 인증 범위에서 사실상 제외돼 있었다. ISMS-P는 기업의 정보보호 및 개인정보보호 관리 체계가 국가 인증 기준에 적합한지 심사하는 제도로 통신사 등 정보통신망서비스제공자(ISP)는 의무적으로 인증을 받아야 한다. 문제는 인증 범위의 해석과 적용에 있었다. KISA는 “인력과 예산의 한계로 코어망 중심으로만 인증이 진행되고 있다”며 “무선기지국은 중앙전파관리소가 관리하기 때문에 범위에 포함하지 않는다”고 해명했다. 하지만 중앙전파관리소의 무선기지국 검사는 전파의 간섭 여부 등 장비 성능 확인에 국한될 뿐 보안 취약점 점검은 전혀 이뤄지지 않는다. 결국 펨토셀을 포함한 무선 기지국 전체가 보안 검증의 공백 상태로 방치돼 있었던 셈이다. 이러한 형식적인 인증 제도는 결국 ‘종이호랑이’로 전락했다는 지적이다. 이해민 의원은 “해킹 피해를 본 기업은 대부분 ISMS나 ISMS-P 인증을 받은 곳”이라며 “국민은 정부 인증을 신뢰하고 기업 서비스를 이용하지만 현실과 동떨어진 인증 기준과 기업 자율에 맡긴 형식적 검토만으로 보안 수준을 높일 수 없다”고 비판했다. 이 의원은 근본적인 제도 개편을 촉구했다. 그는 “ISP 사업자의 경우 코어망 외부에서도 보안 사고가 발생하는 만큼 인증 범위를 확대해야 한다”며 “형식적인 서류심사나 체크리스트 위주의 인증이 아니라 실제 해킹 위협 시나리오를 토대로 보안관리 체계를 개편해야 한다”고 강조했다.2025-09-25 08:08:32
-
카드사 해킹에 증권사도 긴장…보안·공시 강화 '필수 과제' [이코노믹데일리] 최근 롯데카드 해킹 사고 이후 증권업계 전산 보안에도 '빨간불'이 켜졌다. 특히 올해 키움증권과 미래에셋증권, 토스증권, 메리츠증권 등에서 수차례 전산사고 등으로 인해 개인정보 유출에 대한 우려가 확대되고 있다. 24일 금감원에 따르면 최근 5년간 증권사에서 429건의 전산사고가 발생했다. 발생건수도 지난 2020년 66건에서 지난해 100건으로 매년 늘고있다. 올해 상반기에는 증권사에서 전년동기(40건) 대비 증가한 58건의 전산 사고가 발생해 투자자 불안이 높아지고 있다. 프로그램 오류로 인한 사고 발생수가 36.4%로 가장 많고 최근에는 외부요인(31%)으로 인한 사고가 증가하는 추세다. 정보보호 공시 종합 포털(KISA)에 따르면 △신한투자증권 △한국투자증권 △대신증권 △NH투자증권 △토스증권 등이 정보보호 관련 공시를 발표했다. 증권사는 정보보호 공시 의무 대상이 아니지만 특정 증권사들은 투자자 신뢰 구축에 필요하다는 판단에 자율적으로 공시를 수행하고 있다. 정보보호 공시 종합 포털은 과학기술정보통신부와 한국인터넷진흥원이 희망하는 기업들의 원활한 공시 이행을 위해 구축한 전자공시시스템이다. 신한투자증권은 지난 2022년 정보보호 투자금액으로 1592억원을 투자했지만 지난 2023년 1249억원으로 금액을 줄였다. 올해는 소폭 증가한 1381억원을 투자했다. 대신증권은 지난 2023년 4677억원, 올해 5641억원을 투자하며 정보보호 투자 비율을 높였다. NH투자증권과 한국투자증권은 올해 각각 9988억원, 1668억원을 투자했다. SK증권은 지난 2023년 378억원을 투자했으며 올해는 374억원으로 투자금액을 소폭 낮췄다. 토스증권은 지난 2021년 1441억원을 투자하며 처음으로 자율 공시에 나섰다. 올해는 7993억원으로 투자 금액을 대폭 강화했다. 신한투자증권의 정보보호 전담 인력은 지난 2022년 29명에서 현재 51명으로 조금씩 인력 증원에 나서고 있다. 대신증권은 지난 2023년 11명에서 올해 14명으로 감원했으며 NH투자증권과 한국투자증권은 올해 각각 33명과 42명을 확보하고 있다. SK증권은 지난 2023년 5명에서 올해 8명으로 인원을 증원했으며 토스증권은 지난 2021년 8명에서 올해 22명으로 인원을 한층 늘렸다. 신영진 배재대학교 소프트웨어학부 정보보안학과 교수는 "금융기관은 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증을 3년 주기로 최초심사·사후심사·갱신 절차를 거쳐 점검·관리하고 있다"며 "특히 최근에는 챗봇 등 인공지능(AI) 기반 서비스가 확대되면서 수집·처리되는 개인 정보가 늘어 인공지능 서비스에 특화된 정보보호 체계와 안전조치 마련도 시급하다"고 말했다. 한편 금융위는 23일 금융권 최고책임자들과 긴급회의를 열어 금융보안 체계를 근본적으로 개편하기 위한 종합적인 제도 개선을 추진한다는 입장을 내놓는 등 앞으로 보안 강화에 힘을 가할 것으로 보인다.2025-09-24 06:10:00
-
개인정보위, "유출사고 반복 기업 과징금 가중...'당근과 채찍'으로 기업 체질 개선 유도 [이코노믹데일리] SK텔레콤의 대규모 개인정보 유출 사태를 계기로 정부가 규제 패러다임을 ‘사후 제재’에서 ‘사전 예방’으로 전면 전환한다. 반복적으로 사고를 일으키는 기업에는 과징금을 가중하는 한편 평소 정보보호에 적극적으로 투자한 기업에는 과징금을 감경하는 방식으로 ‘당근과 채찍’을 병행해 기업의 자발적 보안 체질 개선을 유도한다는 방침이다. 개인정보보호위원회는 11일 이 같은 내용을 담은 ‘개인정보 안전관리 체계 강화 방안’을 발표했다. 최장혁 개인정보위 부위원장은 브리핑에서 “사후 땜질식 규제로는 급변하는 해킹 기술에 대응할 수 없다”며 “기업이 적극적으로 선제적 보호조치를 취할 수 있는 인센티브 중심 체계로 전환한다”고 밝혔다. ◆ ‘CEO 책임’ 명시, ‘CPO 권한’ 강화..반복 사고엔 ‘징벌적 과징금’ 이번 대책의 핵심은 기업의 상시적 내부통제 강화다. 개인정보 보호의 최종 책임이 최고경영자(CEO)에게 있음을 명확히 하고 개인정보보호책임자(CPO)의 실질적 권한을 대폭 강화한다. CPO 지정 신고제를 도입하고 이사회에 정기적으로 개인정보 보호 현황을 보고하도록 의무화해 CPO가 실질적인 컨트롤타워 역할을 할 수 있도록 제도를 정비한다. 또 대규모 개인정보를 처리하는 기업(매출 1500억원 이상, 100만명 이상 정보 처리)은 최소 1명 이상의 개인정보보호 전담 인력을 배치하고 전체 정보화 예산의 최소 10%를 개인정보보호 예산으로 확보하도록 기준을 제시했다. 이 기준을 충족하는 기업에는 과징금 감경 등 인센티브를 제공하는 방안도 검토 중이다. ‘채찍’도 강화된다. 같은 원인으로 유출 사고를 반복하는 기업에는 과징금을 가중하고 중장기적으로는 ‘징벌적 과징금’ 도입도 검토한다. 최 부위원장은 “징벌적 과징금 제도는 다른 법률과의 관계가 있어 연구를 통해 장기적으로 추진할 방침”이라면서도 “현재 과징금 부과 체계에도 다양한 가중·감경 제도가 있어 이를 적극 활용하면 법 개정 전에도 일정 효과를 낼 수 있다”고 설명했다. 피해자 구제도 실질화된다. 중대한 피해가 예상될 경우 실제 유출된 사람뿐 아니라 유출 가능성이 있는 사람에게까지 통지 의무를 확대하고 부과된 과징금을 피해자 구제기금으로 활용하는 방안도 추진한다. 이는 과징금이 국고로 귀속돼 피해자에게 실질적 도움이 되지 않는다는 지적을 반영한 것이다. 이 밖에도 △주요 개인정보처리시스템에 대한 공격표면 관리 강화 및 모의해킹 정례화 △전화번호·상세주소 등 민감 정보의 암호화 대상 확대 △개인정보보호관리체계(ISMS-P) 인증 단계적 의무화 △개인정보 유출 대비 보험상품 개발 유도 등 다각적인 대책이 포함됐다. 고학수 개인정보위원장은 “사업자들이 개인정보 보호를 위한 투자를 단순히 ‘불필요한 비용’으로 여기지 말고 고객 신뢰 확보를 위한 기본적 책무이자 전략적 투자로 인식해야 한다”고 강조했다.2025-09-11 18:10:04
-
개인정보위, SKT에 역대 최대 과징금 1347억 부과…개인정보 보호, 비용 아닌 투자다 [이코노믹데일리] 개인정보보호위원회가 SK텔레콤에 개인정보 유출 사고의 책임을 물어 역대 최대 규모인 1347억9100만원의 과징금을 부과했다. 개인정보위는 27일 전체회의를 열고 안전조치 의무 위반 등으로 2300여만 명의 개인정보 유출을 야기한 SK텔레콤에 이 같은 제재를 의결했다고 밝혔다. 이는 국내 개인정보 유출 사고 과징금으로는 사상 최고액으로 기업의 개인정보 보호 책임에 대한 강력한 경고 메시지로 풀이된다. 이번 사고는 이동통신 서비스의 핵심인 유심(USIM) 정보가 대규모로 유출됐다는 점에서 사회적 파장이 컸다. 조사 결과 SK텔레콤은 해커가 2021년 8월 내부망에 최초 침투한 이후 약 3년 8개월간 이를 인지하지 못했으며 이 기간 동안 2324만여 명의 휴대전화번호, 가입자식별번호(IMSI), 유심 인증키(Ki) 등 25종의 정보가 유출된 것으로 확인됐다. 개인정보위는 이번 사태의 원인을 SK텔레콤의 ‘총체적 관리 부실’로 규정했다. 조사 과정에서 △외부 침입에 취약한 방화벽 설정 △수천 개의 서버 계정정보 암호화 미비 △유심 복제의 핵심 정보인 인증키(Ki) 평문 저장 △2016년에 발견된 치명적 운영체제(OS) 보안 취약점 8년 이상 방치 등 기본적인 보안 조치조차 소홀히 한 사실이 드러났다. 특히 경쟁사인 KT와 LG유플러스가 각각 2014년, 2011년부터 인증키를 암호화해온 사실을 인지하고도 조치하지 않은 점은 심각한 문제로 지적됐다. 개인정보 보호책임자(CPO)의 역할이 IT 영역에만 한정돼 사고가 발생한 통신 인프라 영역은 관리·감독의 사각지대에 놓여 있었던 점, 유출 사실 인지 후 72시간 내 이용자에게 통지해야 하는 의무를 지키지 않은 점도 위반 사항으로 확인됐다. 이에 개인정보위는 과징금과 별도로 과태료 960만원을 부과하고 3개월 내 재발방지대책 수립을 명령했다. 시정명령에는 CPO의 실질적 역할 보장과 함께 사고가 발생한 이동통신 네트워크 시스템에 대한 정보보호관리체계(ISMS-P) 인증 취득 요구 등이 포함됐다. 고학수 개인정보위 위원장은 “이번 사건을 계기로 대규모 개인정보를 보유·처리하는 사업자들이 관련 예산과 인력의 투입을 단순한 비용 지출이 아닌 필수적인 투자로 인식하길 바란다”며 “데이터 경제시대 CPO와 전담조직이 기업경영에서 차지하는 역할과 중요성을 제고하여 개인정보 보호 체계가 한 단계 강화되는 계기가 되길 바란다”라고 말했다.2025-08-28 11:17:56
많이 본 뉴스
영상
Youtube 바로가기
![[데스크칼럼] 시도그룹 권혁 회장, 한국의 오나시스라는 비교가 다시 나오는 이유](https://image.ajunews.com/content/image/2026/01/09/20260109165701113010_518_323.jpg)