← 포트폴리오 · 트렌비

개인정보 유출 사고 대응

사고 발생부터 규제기관 현장점검까지 지휘해 과징금 없이 과태료 270만 원으로 종결했습니다.

출발점 — 개인정보보호 전담 조직이 따로 없었고, CPO·CISO·SRE Lead를 한 사람이 겸하고 있었습니다. 서비스 이용약관에 고지된 공식 선임 CPO로서, 개인정보 처리방침과 위탁 현황에 대한 대외 책임을 직접 부담하는 자리였습니다.

문제

개인정보 유출 사고가 발생했습니다.

사고 대응에서 조직이 무너지는 지점은 대개 기술이 아닙니다.

• 신고 시한이 있습니다. 원인을 다 파악한 뒤에 신고하려다 시한을 놓칩니다.
• 고객 통보 문구를 두고 회의가 길어집니다. 법무·홍보·경영진 의견이 갈리면 통보가 늦어지고, 늦은 통보가 다시 문제가 됩니다.
• 현장점검에서 답을 못 합니다. "언제 알았고 무엇을 했는가"에 대한 기록이 없으면, 적절히 대응했다는 주장 자체가 성립하지 않습니다.

제약

• 전담 조직 없음. 대응 인력을 새로 뽑을 시간은 당연히 없었습니다.
• 규제기관 신고 시한.
• 서비스는 계속 돌아가야 했습니다.

대응

1. 대응 매뉴얼 즉시 발동

판단하기 전에 정해진 것부터 실행했습니다.

• 고객 통보 · 응대 — 통보 대상 식별과 채널 확보, 응대 라인 개설
• KISA 신고 등 초기대응 주도

사고 직후의 시간은 결정하는 시간이 아니라 실행하는 시간이어야 합니다. 무엇을 할지 그 자리에서 정하기 시작하면 시한을 넘깁니다.

2. 규제기관 현장점검 대응전략 프레임워크

개인정보보호위원회 · KISA 현장점검에 대해 대응전략 프레임워크를 수립하고 이행했습니다.

점검은 개별 질의에 개별적으로 답하는 방식으로는 감당이 안 됩니다. 점검 항목을 구조화하고, 각 항목에 대해 무엇이 있었고 무엇을 했는지를 근거와 함께 매핑하는 체계가 필요합니다. 이 방식은 이후 ISMS-P 심사 대응에서 쓴 것과 같은 방법론입니다 — 통제 항목 × 구현 근거 매핑.

3. 개인정보 처리위탁 계약 검토와 수탁사 관리

수탁사 현황과 위탁 처리 절차를 정리하고, 위탁계약의 개인정보 보호조치·재위탁 제한·점검권 조항을 검토해 통제 요구사항을 계약과 정기 점검 체계에 반영했습니다.

개인정보는 대개 조직 밖으로도 흐릅니다. 내부만 점검하면 점검하지 않은 경로가 남습니다.

4. 종결 이후 — 약 3년간의 대외 보고

사고 대응은 종결 공문으로 끝나지 않았습니다.

• 1차년도 — 시정조치 이행보고 완료
• 이후 — 지속 모니터링 체계로 개선권고 이행 보고를 이어감

일회성 소명이 아니라, 사고 이후 수년에 걸친 법정 보고 사이클을 책임자로서 끝까지 운영했습니다. 조치를 했다는 사실보다, 그 조치가 유지되고 있음을 주기적으로 입증하는 쪽이 실제로는 더 긴 일이었습니다.

결과

과징금 없이 과태료 270만 원으로 종결

• 초기대응 · 통보 · 신고가 시한 내에 이뤄졌습니다
• 현장점검에서 대응 경과를 근거와 함께 설명할 수 있었습니다
• 처리위탁 경로까지 포함한 통제 현황이 정리됐습니다
• 시정조치 이행보고와 개선권고 이행 보고를 약 3년에 걸쳐 완료했습니다

회고

사고 대응에서 배운 것은 속도보다 기록이었습니다. 무엇을 언제 알았고 무엇을 했는지가 남아 있어야 현장점검에서 설명이 됩니다. 빠르게 대응했다는 주장은 기록이 없으면 성립하지 않습니다.

이 경험이 이후 장애관리 프레임워크의 Scribe 역할과 타임라인 강제로 이어졌습니다. 장애 대응에 기록 전담 역할을 따로 둔 건 사고 대응에서 기록의 값을 치러봤기 때문입니다.

겸임 구조가 오히려 도움이 된 부분이 있었습니다. CPO·CISO·SRE Lead가 한 사람이라 "기술적으로 무엇이 일어났는가"와 "규제상 무엇을 해야 하는가" 사이에 번역 단계가 없었습니다. 다만 이건 조직 규모 때문에 가능했던 것이고, 권장할 구조는 아닙니다.

관련 케이스 — 클라우드 보안 프레임워크 · ISMS-P · 전사 장애관리 프레임워크

CPO 개인정보보호법 개인정보보호위원회 KISA 처리위탁 현장점검 대응