Board

2025년은 대한민국 데이터 안보에 있어 전례 없는 ‘위 기의 해’로 기록될 것이다. 국내 1위 통신사에서 2천300만여 명의 개인정보가, 또 다른 통신사에서는 신종 네트 워크 공격으로 개인정보와 결합된 금융 피해가, 그리고 주요 카드사에서 약 300만 명의 개인정보와 민감 금융정 보가 유출되는 사상 초유의 사태가 연이어 발생했다.

정보통신기술이 국가 핵심 인프라로 자리 잡은 오늘날, 개인정보 유출은 더 이상 개별 기관의 관리 실패가 아니 라 국가 데이터 신뢰 체계의 구조적 위기로 인식되고 있다. 특히 통신사·금융사와 같이 방대한 개인정보를 보유 한 기관은 공격자의 1차 표적이 되고 있으며, 기존의 경계 보안 중심 체계만으로는 고도화된 공격을 막기 어렵다는 사실이 잇따른 사고를 통해 확인되고 있다. 따라서 지금 필요한 것은 단순한 사고 후 처벌 강화가 아니라, 데이터 보안 생태계 차원에서 공격 양상·데이터 구조·규제 환경 변화를 반영한 기술·정책·거버넌스 전반의 재정비다.​

- 데이터 규제 변화와 거버넌스 재정비

최근 개인정보보호법 개정은 매출액 연동 과징금 상향, 고위험 처리기업의 자가점검 의무, 처리방침 고지 강화 및 침해 통지 기한 명확화 등 책임성을 높이는 방향으로 이뤄졌다. 그러나 통신·금융·플랫폼 등 산업별 보유 정보 의 민감도와 위험도를 반영한 차등 기준은 여전히 충분히 정교하지 않다. 또한 개인정보보호법·신용정보법·정보통 신망법 등 다수 법령이 중첩되면서, 기업 입장에서는 ‘실 질 보호’보다는 ‘형식적 규정 준수’에 자원이 쏠릴 위험도 존재한다.

개인정보보호위원회를 중심으로 한 감독체계가 정착되 고 있으나, 클라우드·분산 환경·AI 시스템 등 복잡한 IT 구조를 반영한 기술 기반 점검 역량, 중견·중소사업자를 위한 예방 중심 지원·감독 체계, 침해사고·위협 정보의 상시 모니터링 인프라는 아직 충분하지 않다.​

한편, EU GDPR(일반 데이터 보호 규칙) 등 주요국의 규제는 정보주체 권리와 기업 책임, 침해 통지 의무를 지속적으로 강화하고 있다. 따라서 우리 역시 적정성 평가, 국제 데이터 이전, 글로벌 클라우드 활용 등 환경을 고려 할 때, 장기적으로는 국내 제도를 국제 기준과 조화시키 는 방향으로 데이터 보안 거버넌스를 정비해야 한다.

- 고위험 정보환경 대응을 위한 기술·정책 실행 방안

기관 차원에서는 다음과 같은 실행 과제를 들 수 있다.

첫째, 제로트러스트 기반 보안체계 전환이다. 내부망을 전제적으로 신뢰하는 방식에서 벗어나, 사용자·디바이 스·애플리케이션 단위의 지속 인증, 행위 기반 이상징후 탐지, 네트워크·시스템 마이크로세그멘테이션, 세분화된 권한 관리를 단계적으로 적용해야 한다.

둘째, 데이터 최소수집·보유 관리를 들 수 있다. 데이터 보유 현황을 정기적으로 점검하고, 서비스 목적과 무관하 거나 장기 미사용 데이터를 식별·정리하며, 보유기간 자동 만료, 파기 이력 관리 등 절차를 시스템화해야 한다.

셋째, 암호화·비식별화 및 접근기록에 대한 관리가 필요하다. 민감정보는 저장·전송 구간 모두에 대한 암호화, DB 레벨 암호화, HSM(Hardware Security Module) 기반 키 관리가 필요하다. 가명처리·비식별 조치는 재식별 가능성을 고려해 설계하고, 누가 언제 어떤 목적으로 데이터 에 접근했는지 로그·증적을 체계적으로 관리해야 한다.

넷째, 침해사고 대응 체계를 고도화해야 한다. 침해사 고 대응훈련을 정례화하고, 기술대응(CSIRT), 위협정보 공유체계(CTI:Cyber Threat Intelligence) 적극 활용, 규제기관 보고·정보주체 통지 등의 역할을 명확하게 규정 한 위기대응 매뉴얼을 점검해야 한다. 외부 포렌식 기관 과의 협력 체계를 미리 구축해 두는 것도 중요하다.

정부·감독기관 차원에서는 다음과 같은 정책적 제언을 하고자 한다. 첫째, 위험 기반·산업별 보호조치 기준를 확립해야 한다. 보유 정보의 민감도와 처리 규모에 따라, 고위험 기관에는, 강화된 암호화·접근통제, 상시 모니터링· 위협 인텔리전스 활용, 침해사고 보고·통지 의무 강화 등을 포함하는 위험 기반 보호조치 체계를 적용할 필요가 있다.

둘째, 중소규모 사업자에게 보안 역량을 지원해야 한다. 중소기업이 자체 인력을 확보하기 어려운 현실을 고려해, 클라우드 기반 보안(SaaS형 등) 기술 도입 지원, 업종별 보안 가이드라인과 모범사례 제공, 저비용 컨설팅· 교육 프로그램 등을 통해 전체 보안 생태계의 평균 보안 수준을 끌어올려야 한다.

셋째, 침해·위협 정보 공유체계를 강화해야 한다. 표준 기반의 위협정보공유체계(CTI)를 고도화하고, 통신사· 금융사·플랫폼 기업이 자발적으로 참여하는 협의체를 활성화해, 공유 정보가 실제 방어체계 개선으로 이어지도록 인센티브를 부여할 필요가 있다.

넷째, 국제 기준과 정합성을 확보해야 한다. 역외 이전, 데이터 보호 영향평가, 정보주체 권리 보장 등 핵심 제도 를 국제 기준과 조화시키면서 국내 기업의 법적 불확실성 을 줄이고 글로벌 서비스 경쟁력을 확보할 수 있도록 지원해야 한다.

개인 이용자의 역할도 다시 한번 강조하지 않을 수 없다. 개인정보보호는 기관의 책임이 중심이지만, 이용자의 기본적인 보안 습관은 2차 피해를 막는 데 매우 중요하다.

2025년의 연쇄적 유출 사태는 우리 사회가 데이터의 ‘가치’에만 몰두한 나머지, 그 ‘책임'과 ‘보안’에는 얼마나 소홀했는지를 보여줬다. AI 시대의 근간이 되는 데이터 에 대한 신뢰가 무너지면, 우리가 쌓아 올린 모든 혁신은 사상누각에 불과하다. 개인정보보호는 이제 개별 기업의 자율에 맡길 수 있는 사안이 아니라, 국민의 재산과 안전, 나아가 국가 경쟁력과 직결된 핵심 민생·안보 과제인 것이다.

[관련출처: 국회매거진 국회보​]