검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'개인 정보 보호'통합검색 결과 입니다. (167건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

남부발전, 발전사 첫 '저탄장 스마트 출입관리 시스템' 구축…안전사고 '제로' 도전

한국남부발전(사장 김준동)은 삼척빛드림본부에 옥내저탄장 안전사고 제로화와 안전한 일터 조성을 위해 GPS 기반 '스마트 출입관리 시스템'을 구축하고, 13일부터 본격 운영에 들어갔다고 밝혔다. 옥내저탄장은 일산화탄소(CO) 등 유해가스 발생 우려로 인해 준밀폐공간으로 관리 되고 있지만, 국내 화력 발전사의 저탄장 출입 시스템은 인적 통제에 의존해 그간 안전 사각지대로 인식돼 왔다. 남부발전은 기존의 사람에 의존하는 관리 체계를 탈피해 실시간 입출입 관리, 비상알람이 가능한 '스마트 출입관리 시스템'을 5개 발전사 최초로 구축했다. 이 시스템은 GPS 기술로 저탄장 작업자 위치를 자동 감지해 실시간으로 송수신해 저탄장 내 정확한 작업자 위치를 알려줄 뿐 아니라, 비상상황 발생 시 즉시 현장 관리자에게 알람을 보내 신속한 안전 구호조치를 가능하게 한 것이 특징이다. 남부발전은 지난 6월부터 9월까지 120일간 시범운영을 하며 성능을 검증했다. 시범운영 결과 ▲위치 측위 정확성 ▲비상 알람 정확성 ▲플랫폼 관제·데이터 신뢰성 등 세 가지 자체 평가 기준 모두 96% 이상을 달성했다. 또 시범운영 중에는 협력사 의견을 수차례 수렴해 개인정보 보호를 위한 보안 강화, 사용자 편의 기능 추가 등을 완료해 현장 근로자와 협력사가 편리하고 안심하게 사용할 수 있는 환경을 갖췄다. 남부발전은 앞으로 시스템의 완벽한 운영 정착을 위해 출입 절차 교육과 지침 제정을 이어가고, 시스템을 지속 고도화해 현장 안전관리 수준을 높여 나갈 계획이다. 임경규 남부발전 삼척빛드림본부장은 “내 가족이 근무한다는 마음가짐이 발전소 안전의 시작”이라며 “스마트 기술을 활용한 사전 예방 중심의 안전관리 체계를 마련해 안전사고 제로를 달성하겠다”고 말했다.

2026.10.13 17:18주문정 기자

개인정보보호위원회 이름 변경을?...박민규 의원 "보호 떼라"고 제안

개인정보보호위원회 명칭을 '보호'를 떼어내고 개인정보위원회로 바꾸자는 제안이 13일 이뤄진 국감에서 나왔다. 박민규 민주당 의원은 이날 국회에서 열린 개인정보보호위원회 국감에서 "기술 개발을 위한 개인정보 이용 등 정보 취재 권리를 보장하며 안전한 정보 처리를 위한 기반 조성 확대 차원에서 개인정보보호위원회 명칭을 개인정보위원회로 바꾸자"고 송경희 개인정보보호위원회 위원장에게 제안했다. 박 의원은 이미 2007년에 소비자보호원이 소비자보호원으로 개명한 사례가 있다면서 "소비자보호원의 업무가 단순한 소비자 보호가 아닌 소비자 권익을 대변하는 적극적 업무로 전환, 소비자보호원에서 소비자원으로 바뀌었다"고 설명했다. 이에 송경희 위원장은 "여러 측면에서 검토해보겠다"고 답했다. 오전 질의에서는 조정훈 국민의 힘 의원이 정부24와 권익위 자료 유출과 우리 국민 개인정보 유출을 거론하며 "왜 이렇게 한국은 개인정보 유출이 취약한가?"라고 물었다. 이에 송 위원장은 "무거운 책임감을 느낀다"면서 "전반적인 환경 자체가, 우리나라의 개인정보 가치가 높아지고 또 IT가 고도화하면서 표적이 된 면이 있다"고 답했다. 또 오후 질의에서 서일준 국민의 힘 의원은 최근 5년간 공공에서 개인정보 유출이 128건 일어났지만 과징금 등이 민간에 비해 미약했다고 물었고, 송 위원장은 "징계부터 과징금 등을 강화하고 있다. 다만 공공 부문은 매출액이 없다보니 정액 과징금을 부과하고 있다"고 말했다. 밈병덕 민주당 의원은 이번 금융권 공격에 IP가 800~1000개가 동원됐고, AI해킹이 증가하는데 개보위 대책이 안보인다며, AI공격에 대한 대응책이 있는지, 모의훈련 등을 제대로 하고 있는지 물었다. 답변에 나선 송 위원장은 AI해킹으로 속도가 빨라지고 있다면서 "접근 권한 통제와 데이터 암호화를 안하는 등 기본을 지키지 않아서 사고가 주로 일어난다"면서 "AI해킹에 따른 개인정보 유출은 초동 대응이 중요하며, 예방 활동에 중점을 두고 있다"고 답했다.

2026.10.13 15:32방은주 기자

개보위 "개인정보 보호 체계 전반 재정립 패러다임 전환 필요"

"개인정보보호 체계 전반을 재정립하는 패러다임 시프트가 필요합니다." 임종철 개인정보보호위원회 공공실태점검단장은 7일 서울 코엑스에서 열린 '대한민국 사이버보안 컨퍼런스 2026'에 참석해 "사이버범죄 산업화와 공격기술 고도화로 개인정보 침해 위협이 지속적으로 증대하고 있다"며 이 같이 밝혔다. 임 단장은 이날 '개인정보 관련 실태와 주요 정책 방향'을 주제로 발표했다. 개인정보보호위원회(개보위)는 정책의 무게중심을 사고 발생 후 수습과 처벌에 머물던 과거 방식에서 벗어나, 사전에 취약점을 차단하고 투자를 유도하는 '사전 예방 중심' 체계로 전환하고 있다. 단순 적발식 점검을 넘어 기업과 기관이 자발적으로 보안 체계를 다지도록 제도적인 유인책과 제재 수단을 함께 재정비하는 모양새다. 임 단장은 개인정보 정책 분위기 변화에 앞서 빈번히 발생하는 유출 사고 원인을 짚었다. 그는 "개인정보 보호를 다룰 때 해킹이 전부가 아니다"라며 "지난해에는 해킹 이슈가 많았지만, 올해 금융권 사고 이전까지만 해도 내부 직원의 일탈이나 부주의, 과실에 따른 개인정보 유출이 큰 화두였다"고 지적했다. 이어 "취약점이라는 것은 외부 해킹 공격 외에도 내부 일탈이나 부주의로도 발생된다"며 "해킹 방어뿐 아니라 내부 관리 작업이 반드시 병행돼야 한다"고 덧붙였다. 현장에서 드러난 기본 보안 조치의 미흡함도 언급했다. 임 단장은 "현장에 나가보면 AI를 활용한 신종 공격이나 정교한 해킹 기법을 논하기에 앞서, 이미 널리 알려진 보안 취약점 점검이나 기본 패치 관리조차 제대로 이행하지 않은 곳이 적지 않다"며 "새로운 기술 도입 이전에 가장 기본적인 조치를 충실히 갖추는 것이 급선무"라고 강조했다. 보안 실무 현장의 고충에 대해서도 현실적인 진단을 내놓았다. 임 단장은 "민간이든 공공이든 현장에 나가면 공통으로 인력과 예산에 대한 한계를 토로한다"고 전했다. 실제로 지난해 기준 민간 기업의 IT 예산 대비 정보보호 투자 비중은 6.3%, 전담 인력은 평균 0.8명에 불과했다. 공공 부문 역시 정보보호 투자 비중이 7.3%, 전담 인력은 0.3명에 그쳐 열악한 보안 여건을 드러냈다. 다만 자원 한계만을 이유로 사고 예방을 늦춰선 안 된다고 선을 그었다. 임 단장은 "정부 차원에서도 범부처 협력을 통해 공공 부문 인력을 늘리는 노력을 기울이고 있지만, 0.5명이나 1명 늘어난다고 해서 극적인 변화를 기대하기는 어렵다"며 "보안 담당자의 가장 큰 고민은 먼 미래에 확보될 예산과 인력이 아니라, 당장 지금 발생하지 말아야 할 사고를 막는 데 있어야 한다"고 말했다. 이어 "현재 주어진 환경 안에서 기존 취약점을 계속해서 확인하고 보완하는 현실적인 조치를 우선 실행해야 한다"고 당부했다. 이에 발맞춰 정부는 개인정보 보호 정책의 초점을 사후 처벌에서 사전 예방으로 전환하고 있다. 개인정보보호위원회(이하 위원회)는 '유출 대응 1차 개인정보 보호법 개정'에 따라 지난달 11일부터 반복적이거나 고의적인 중대 위반 행위에 전체 매출액의 최대 10%까지 부과하는 징벌적 과징금 제도를 시행하고 있다. 이와 동시에 예산과 인력, 설비 등 사전 예방 투자를 성실히 이행한 기업에는 사고 발생 시 과징금을 의무적으로 깎아주는 필수 감경 제도를 함께 도입했다. 단순 사후 처벌보다 사전 투자와 성실한 관리가 기업에 실질적인 이익이 되도록 하겠다는 취지다. 사전 예방 차원에서 조직 내부의 책임 구조도 손질했다. 대표(CEO)에게 관리·감독의 최종 법적 의무를 부여하고, 개인정보보호책임자(CPO)가 실질적으로 업무를 책임질 수 있도록 권한을 강화했다. 특히 매출 1800억원 및 100만명 이상 개인정보를 처리하는 기업을 비롯해 상급종합병원, 재학생 2만명 이상 대학, 공공시스템 운영기관에서는 CPO 지정신고제와 임명 및 면직 시 이사회 의결 절차를 도입하도록 했다. 정부 차원의 예방 점검 체계도 구체화됐다. 위원회는 사고 발생 후 조사에 착수하던 기존 관행에서 벗어나, 고위험 분야를 중심으로 취약점을 미리 살피는 '사전 실태점검'을 본격화하고 있다. 점검 과정에서 문제점을 발견하더라도 즉각적인 처벌보다는 시정 권고를 우선 내려 기업 스스로 보안 취약점을 개선하도록 유도하는 방식이다. 제도적인 안전망도 함께 보강한다. 제품과 서비스 기획·설계 단계부터 보안 요소를 반영하는 '개인정보보호 중심 설계(PbD)' 원칙과 인증제를 법제화하고, 주요 공공기관과 기업 시스템을 대상으로 정보보호 관리체계(ISMS-P) 인증 취득을 단계적으로 의무화해 예방 체계를 완성해 나갈 방침이다. 임 단장은 "유출 사고가 발생했을 때 정보주체의 피해를 구제하고 원인을 제공한 자에게 확실히 책임을 묻는 것도 중요하지만, 사고가 발생하지 않도록 사전 예방 정책을 추진하는 것이 위원회의 핵심 방향"이라며 "위원회가 끌고 나가는 사전 예방 정책에 대해 현장에서도 지속적인 관심을 두고 지켜봐 달라"고 말했다.

2026.10.08 10:37진성우 기자

과기정통부 "AI가 찾는 취약점 급증…독자 보안 모델로 대응"

과학기술정보통신부가 AI로 급증하는 사이버 위협에 대응하기 위해 취약점 관리 체계를 강화하고 독자적인 사이버보안 특화 AI 모델 개발을 추진한다. 공격자가 취약점을 찾아내는 속도가 빨라진 만큼 이를 보완하는 방어 역량도 높여야 한다는 취지다. 이종혁 과기정통부 정보보호산업과장은 7일 서울 코엑스에서 열린 '대한민국 사이버보안 컨퍼런스 2026'에서 'AI 시대를 지탱하는 정보보호 정책 방향'을 주제로 발표하며 이 같은 방향을 설명했다. 이 과장은 AI가 해킹의 진입 장벽을 낮추고 공격의 속도와 규모를 키우고 있다고 진단했다. 해킹 전용 AI 모델이 등장하고 악성코드가 빠르게 생성되는 데다, AI의 학습 과정이나 입력을 조작해 서비스의 안전성을 위협하는 공격도 나타나고 있다는 설명이다. 특히 고성능 AI가 대량의 취약점을 찾아내면서 보안 대응의 핵심 과제가 달라지고 있다고 짚었다. 과거에는 공격자가 취약점을 발견하는 데 시간이 걸렸지만, 이제는 쏟아지는 취약점을 얼마나 빠르게 보완하느냐가 중요해졌다는 것이다. 이 과장은 “공개된 취약점을 언제 우리가 패칭해서 보완할지가 문제”라며 적극적인 대응이 필요하다고 강조했다. 자료에 따르면 한국인터넷진흥원(KISA)에 접수된 침해사고 신고는 2017년 287건에서 지난해 2383건으로 약 8배 늘었다. 과기정통부는 올해 5월 발표한 AI 사이버위협 대응 민간 정보보호 추진계획에 따라 민관군 합동 대응 체계를 마련하고 취약점관리센터를 신설했다. 센터는 취약점 수집·탐지·분석과 정보 공유, 보안 패치 관리 및 기술 지원 등을 수행한다. 독자적인 사이버보안 특화 AI 모델 개발도 시작했다. 이 과장은 해외 AI 모델에 의존할 경우 활용에 제약이 생길 수 있다며 “우리만의 독자 기술로 사이버보안 모델을 만들어야겠다는 문제 인식에서 출발했다”고 말했다. 개발에는 33개 산학연이 참여하는 네이버클라우드 컨소시엄이 선정됐으며, 올해 고성능 GPU 256장을 지원한다고 밝혔다. 보안 체계는 내부망과 외부망의 경계를 지키는 방식에서 사용자 권한과 데이터 이동을 지속적으로 검증하는 제로트러스트 방식으로 전환할 필요가 있다고 설명했다. 하나의 소프트웨어 취약점이 고객사와 협력사 등으로 확산할 수 있는 만큼 공급망 차원의 관리도 강조했다. 기업의 보안 투자와 중소기업 지원도 주요 과제로 제시했다. 이 과장은 보안 인증을 받은 기업에서도 사고가 발생하고, 보안을 여전히 비용으로 인식해 자발적인 투자가 부족한 현실을 지적했다. 정부는 정보보호 공시 의무 기업 확대와 최고정보보호책임자(CISO) 권한 강화, 보안 사각지대 지원 등을 추진하고 있다고 설명했다. 이 과장은 “사이버보안은 한순간의 방심이 정말 큰 피해로 이어질 수 있다”며 기업 전략과 일상에서 보안을 함께 고려해 달라고 당부했다.

2026.10.07 15:32류승현 기자

정부, AI 협력체계 재가동…이해민 AI수석 "부처 간 쟁점 챙길 것"

정부가 약 9개월 만에 범정부 인공지능(AI) 정책 협의체를 재가동하고 국가 AI 전략 실행을 위한 부처 간 조율에 나섰다. 이날 이해민 AI미래기획수석비서관이 취임 후 첫 협의회를 주재해 참여 기관을 확대 계획을 발표했다. 국가AI전략위원회는 2일 오후 4시 서울스퀘어에서 제5차 인공지능책임관(CAIO) 협의회를 주재했다고 밝혔다. 이해민 AI수석을 비롯한 42개 중앙행정기관 CAIO, 분과위원회·특별위원회·전담조직 위원장 13명 등이 대리 참석자를 포함해 참여했다. CAIO 협의회가 열린 것은 올해 1월 이후 약 9개월 만이다. 이 수석은 협의회가 부처별 보고를 듣는 데 그치지 않고 부처 간 쟁점을 조정하고 결정하는 역할을 하도록 직접 챙기겠다는 방침을 밝혔다. 참석 범위는 기존 28개 장관급 기관에서 42개 중앙행정기관으로 확대됐다. 인사혁신처·법제처·국가데이터처 등 14개 차관급 기관이 새로 참여했다. 앞으로 협의회를 정례적으로 열고 각 부처가 제안하는 협업 과제도 다룰 계획이다. 이날 회의에는 AI 입법 방향과 '모두의 AI' 서비스 출시 준비 상황을 비롯해 범정부 데이터 공유와 공공부문 개인정보 보호 등 네 가지 안건이 상정됐다. 올해 1~2분기 대한민국 인공지능행동계획 이행점검 결과는 서면으로 보고됐다. AI전략위는 AI기본법 시행 이후 늘어난 입법 수요에 대응하기 위해 '대한민국 AI 입법 프레임워크(안)'을 보고했다. AI기본법 중심 입법과 국방·안보 분야 입법 공백 해소를 비롯해 사업자 예측 가능성 제고와 역기능 발생 시 즉시 대응을 네 가지 기본 방향으로 제시했다. 이를 토대로 AI 발전과 산업 융합 촉진·안전 및 신뢰 확보·오남용 방지 등 분야별 입법 원칙을 담았다. 이날 과학기술정보통신부는 오는 12월 전 국민 대상 정식 출시를 앞둔 '모두의 AI' 서비스 준비 상황을 공유했다. 공공 AI 에이전트 탑재를 위해 기존에 개방한 공공 응용프로그램 인터페이스(API) 연계와 미개방 API·데이터의 추가 개방을 요청했다. AI 에이전트의 개인정보 처리·활용 기준 마련과 서비스 보안·안전성 검증에도 관계기관의 협조를 구했다. 행정안전부는 지난달 18일 개통한 범정부 데이터 파이프라인과 관련해 부처별로 활용 가치 높은 데이터를 등록하고 공유해 달라고 요청했다. 여러 데이터를 결합해 활용할 수 있는 수요 발굴도 협조 과제로 제시했다. 개인정보보호위원회는 최근 잇따른 공공·민간의 대형 해킹과 정보 유출 사고에 대응하기 위한 관리체계 강화 방안을 논의했다. 부처별 개인정보 보호·보안 종합 관리체계 구축과 개인정보보호책임자(CPO) 역할 강화가 주요 내용이다. 위험 수준을 고려한 정보자산 식별과 취급자 관리 강화 등 대책 마련과 이행도 요청했다. 이 수석은 "CAIO협의회는 부처와 부처 간 이음매를 잇는 자리"라며 "협의회가 보고를 듣는 데 그치지 않고 부처 간 쟁점을 조정하고 결정하는 협의체가 될 수 있도록 의장으로서 직접 챙기겠다"고 밝혔다.

2026.10.02 16:00김미정 기자

'사이버보안 컨퍼런스 2026' 7일 개막...금융 등 잇단 해킹 해법 모색

국내외에서 해킹 사고가 잇달으고 있는 가운데 공공과 민간의 국내 사이버보안 현주소를 알 수 있는 행사가 오는 7일 오후 서울 코엑스 3층 300호에서 열린다. 오후 1시 30분에 시작하는 이 행사는 AI페스타조직위원회와 서울시 정보보안과가 공동으로 주관한다. 행사 명칭은 '대한민국 사이버보안 컨퍼런스 2026'이다. 특히 이 행사는 국내 최대 인공지능(AI) 행사로 과기정통부의 AI주간에 열리는 'AI 페스타 26'이 열리는 기간에 동시에 개최된다. 6~8일 열리는 'AI페스타 2026'과 함께 열려..."미토스 이후 AI와 보안은 한몸처럼 움직여" 'AI페스타 2026'은 급변하는 AI 기술 전환기를 맞아 글로벌 빅테크와 국내 대표 기업들이 AI 생태계의 현주소와 다가올 미래를 조망하는 자리다. 오는 6일 코엑스에서 개막해 8일까지 3일간 열린다. 구글 딥마인드와 AWS, 앤트로픽, 화웨이, 젠스파크, IBM, 퍼플렉시티, 유니티, 밀라(Mila) 등 글로벌 AI 기업 및 기관에서 연사로 참여한다. 또 KT, 삼성SDS, 야놀자, 롯데이노베이트, 두산로보틱스, 메가존클라우드, NHN클라우드, 한컴그룹, 티맥스소프트, 더존비즈온 등 국내 주요 기업들도 대거 합류, AI 산업 전반의 최신 흐름을 공유한다. 지난 7월 등장한 '미토스' 이후 AI와 보안은 한 몸처럼 움직이는 형국이여서 이번 '대한민국 사이버보안 컨퍼런스 2026'에 시선이 더 쏠린다. 국내 산업계와 공공은 지난해에 이어 올해도 고도화한 사이버 공격과 보안 위협으로 몸살을 앓고 있다. 최근만해도 신한은행과 KB국민은행에서 해킹으로 고객 정보가 유출되는 사고가 발생했다. 국민 대상 포털서비스인 '정부24'도 지난 8월 시스템 취약이 나타났다. 이 외에도 올 1월 A그룹의 대규모 랜섬웨어 감염이 있었고, 3월에는 B회사도 랜섬웨어 공격을 당했다. 6월에는 국내 대형 OTT 플랫폼 티빙(TVING)에서도 침해사고가 발생했다. AI기술 발전으로 해커의 공격 표면이 크게 넓어진데다 큰 지식이 없어도 해킹을 할 수 있는 환경이 도래, 공공과 민간없이 언제 어디서나 대형 보안 사고가 터질 수 있는 상황이다. 와중에 열리는 '대한민국 사이버보안 컨퍼런스 2026'에서는 공공과 민간의 사이버보안과 개인정보보호 현황과 과제, 이와 관련한 신기술과 신제품을 다룬다. 이종혁 과기정통부 과장 'AI시대를 지탱하는 정보보호' 주제 발표 행사는 전국 보안공무원 단체 회장인 백종현 서울시 정보보안과장이의 환영사로 시작한다. 백 과장은 500곳이 넘는 전국보안공무원 및 공공기관이 참여하고 있는 전국보안공무원정책협의회(정보협) 회장이다. 한국인터넷진흥원(KISA) 출신 사이버보안 전문가인 그는 지난 7월1일 서울시 정보보호 과장으로 취임했다. 전자서명과 인증, 국제표준화 활동에 매진해온 전문가로 ITU-T SG17 Q6 의장을 지냈다. 2010년 8월 KISA 무선인터넷팀장으로 재직 당시 '마르퀴즈 후즈후 인 더 월드(Marquis Who'sWho In The World)' 2011년 판에 등재된 바 있다. 오는 7일 행사에서는 서울시의 정보보호 정책과 '정보협'의 운영 방안을 설명한다. 이어 축사는 과기정통부 최우혁 실장과 개인정보보호위원회 양청삼 사무처장이 한다. 이후 본격적인 세션 발표로 이어진다. 세션1은 사이버보안 정책을, 세션2는 기술 트렌드를 다룬다. 세션1에서는 과기정통부 이종혁 정보보호산업과장과 개인정보보호위원회(개인정보위) 임종철 공공실태점검단장, 서울시 백종현 정보보안과장이 연사로 나선다. 과기정통부 산하 정보보호산업과는 국내 정보보호산업 성장과 활성화를 견인하는 조직이다. 정보보호네트워크정책관 아래에 있는 과 단위 조직으로, 정보보호산업과 외에 정보보호기획과와 사이버침해대응과가 속해 있다. 과기정통부는 지난 4월 16일 제7회 과학기술관계장관회의에서 '정보보호산업 육성 방안'을 발표한 바 있다. 방안에 따르면, '글로벌 정보보호산업 강국 도약'이라는 비전을 실현하기 위해 오는 2030년까지 정보보호산업 매출 규모 30조 원 달성, 매출액 500억 원 이상의 중대형 정보보호기업 80개사 육성, 수출액 5조 원 확대, 현장·실전형 최정예 보안인력 9천 명 확보에 나선다. 이날 이 과장은 'AI 시대를 지탱하는 정보보호 정책 방향'을 주제로 발표한다. 국내 사이버보안의 현 주소를 점검하고 AI 시대 사이버위협 환경 변화를 진단한 후 이에 대응하는 정책 방향을 소개한다. 임종철 개인정보위 공공실태점검단장 '개인정보보호 정책 방향' 설명 이 과장에 이어 임종철 개인정보위 공공실태점검단장이 '개인정보 보호 정책방향'을 들려준다. AI시대를 맞아 개인정보 정책 여건이 이전과 달라졌다. AI 해킹 등 신종 사이버 공격 확산으로 침해위협이 증가하고 있고, 전방위적 AI 전환과 데이터 활용 수요가 급증했다. 반면 민간과 공공 모두 개인정보 보호 투자 및 인력이 부족한 실정이고, 최고프라이버시임원(CPO)의 조직 내 책임 및 역할도 제한적이다. 개인정보 보호 체계의 대전환도 필요하다. 플랫폼, 공공기관 등 대규모 유출 파급력에 상응하는 높은 책임을 부여하고, 서면 중심과 형식적 점검에서 벗어나 현장중심과 실질적 보안 전환을 위한 예방보호투자를 촉진해야 한다. 불법유통 등에 대한 제재근거 마련과 적법처리근거 정비도 요구된다. 올해 개인정보위의 개인정보 보호 정책방향인 ▲사전예방 중심 보호 체계 강화 ▲ CEO와 CPO 중심 개인정보 관리체계 확립 ▲PbD(Privacy by Design, 설계 단계부터 개인정보 보호) 내재화 원칙 및 PbD 인증제 법제화 ▲선제적 점검 및 사후관리 강화 ▲실효적 제재 및 보호투자 인센티브 강화 ▲AX 혁신 개인정보 법제 개선 ▲국민 생활 속 프라이버시 보호 강화(스마트 디바이스, 딥페이크 등) ▲불법유통 등 국민 권리침해 대응 강화 ▲공공분야 개인정보 보호 강화 등으로, 임 단장은 이에 대한 상세한 설명을 한다. 올 하반기 입법과제인 개인정보보호법 개정 주요내용도 함께 소개한다. 임 단장이 맡고 있는 개보위 산하 공공실태점검단은 정부·지자체·공공기관이 국민 개인정보를 제대로 보호하고 있는지를 현장에 가 들여다보는 조직이다. 개보위가 강조하는 것이 사전예방이다. 즉, 기존에는 개인정보 유출 사고가 발생하면 조사하고 과징금·과태료·시정조치 등을 하는 사후 대응의 성격이 강했는데, 이제는 위험한 시스템을 찾고 → 사전에 취약점을 점검하고 → 문제를 발견하면 개선시키고 → 반복적으로 취약한 기관은 집중 관리하는 방식으로 바뀌었다. 임 단장은 이러한 개보위의 활동과 정책을 상세히 들려줄 예정이다. 임 단장 발표 후에는 백종현 서울시 정보보호과장이 서울시 정보보호 정책 및 전국정보보호정책협의회 현안을 발표한다. 앞서 서울시는 지난 8월 '사이버보안에 관한 조례 시행규칙안'을 입법예고 하는 등 16개 광역시도 중 선도적인 사이버보안 정책을 마련, 추진하고 있다. 최근에는 'AI 기반 사이버 위협 대응체계 전 기관 확대' 방안을 발표했다. 전국 보안 담당 공무원들 정보협 주요 현안 등 논의 이날 백 과장은 ▲서울시 정보보안·개인정보보호 주요 정책 및 추진현황 ▲사이버보안 조례 시행에 따른 시행규칙 제정 추진 ▲서울시 사이버보안 5개년 기본계획 수립 및 발전방향을 설명한다. 또 전국정보보호정책협의회 주요 현안으로 ▲전국정보보호정책협의회 회장 소개 ▲전국정보보호정책협의회 2026년 추진성과 공유 ▲지자체 정보보호 분야 공통 현안 및 향후 발전방향 을 논의한다. 두번째 세션인 기술트렌드에서는 스마트엠투엠 김호원 대표와 옥타코 유장현 팀장, 에브리존 홍승균 대표, 엔플러스랩 곽승희 이사가 각각 연사로 나선다. 김호원 스마트엠투엠대표는 부산대컴퓨터공학과 교수로 현재 한국정보보호학회 회장이기도 하다. 김호원 스마트엠투엠 대표 "미토스 능력은 어디서?...LLM 보안 등 설명" 김 대표는 이번 발표에서 ▲미토스(Mythos) 능력은 어디서 나오는지 ▲프론티어급 LLM이 보안취약성을 잘 찾는 이유는 무엇인지 ▲프론티어급 LLM을 국내에서 만든다면? ▲프론티어급AI의외부API를 활용할 경우 어떻게 되는 지를 설명한다. 또 LLM의 기술적 대안으로 부상한 에이전트오케스트레이션 기반의 소형특화모델(sLLM) 활용과 마이크로소프트(MS)의 'MDASH' 5단계 자율보안 분석 파이프라인과 중국 Qihoo(치후) 360의 Tulongfeng(투룽펑) 사례도 들려준다. 이외에 스마트엠투엠(SmartM2M)의 핵심 기술인 '스마트X(SmartX)'와 '스마트밸리더스(SmartValidus)'도 상세히 설명한다. '스마트X'는 사이버보안 분야에 특화한 모델과 멀티에이전트 구조로 이뤄졌다. '스마트밸리더스'는 LLM 모델 보안성을 검증하는 기술이다. 김 대표에 이어 옥타코 유장현 팀장은 'AI 에이전트 시대, 신뢰는 어떻게 검증되는가?'를 주제로 발표한다. AI시대를 맞아 접속 주체가 기존 '사람'에서 '사람+Agent'로 확장했다. 이 여파로 보안 사고도 증가 추세다. 공격자의 공격 표면이 이전과 달리 크게 확대됐기 때문이다. 유 팀장은 "AI에이전트 위험은 '모델'보다 '행동 권한'에서 더 크다"며 에이전트의 검증 문제를 진단한다. 홍승균 에브리존 대표는 국내외서 점점 기승을 부리는 랜섬웨어 해킹 동향과 자사의 랜섬웨어 대응 보안 제품(화이트디펜더)을 소개한다. '화이트디펜더'는 100% 시그니처리스(Signature-less) 행위 기반 탐지 보안 솔루션이다. 기존 백신처럼 이미 알려진 악성코드의 패턴을 찾아내는 방식에만 의존하지 않고, 파일 대량 변경·비정상적인 암호화·확장자 변조 등 랜섬웨어의 공격 행위 자체를 실시간으로 감시한다. 알려지지 않은 신·변종 랜섬웨어나 파일리스 공격에도 대응할 수 있게 설계했다. 홍승균 에브리존 대표 "랜섬웨어 대응 이렇게"...엔플러스랩, N2SF 적용 방안 설명 엔플러스랩 곽승희 이사는 'AI 시대 공공분야 N2SF 적용방안'을 설명한다. 올해 '국가 사이버보안 기본지침' 개정과 국가 망 보안체계(N2SF, National Network Security FRAMEwork) 도입으로, 기존의 획일적인 망분리 중심 보안정책이 정보 중요도에 따른 차등 보안체계로 전환됐다. 공공에서 AI와 클라우드 등 신기술 활용을 늘리기 위한 것이다. 신기술을 안전하게 활용하기 위해서는 기술 도입과 함께 기관의 업무환경과 정보의 중요도에 맞는 적절한 보안통제 방안을 마련해야 한다. 이번 행사에서 곽 이사는 N2SF 기본 개념과 적용 절차를 살피고, 공공기관에서 신기술 도입 시 고려해야 할 보안 이슈와 대응 방안을 데이터 'C/S/O' 등급분류와 보안 솔루션 적용 관점에서 설명한다. 이들 전문가 발표 외에 푸짐한 경품도 마련됐다. 추첨을 통해 1등에는 소니 핸드폰(WH-1000XM6)을 준다. 2등은 갤럭시 버즈4를, 3등은 네스프레소 버츄오 팝과 심라오라진바이더위켄드 각 1개를 준다. QR코드를 통해 참석명단을 제출하면 추첨을 통해 경품 수령자를 뽑는다.

2026.10.02 15:03방은주 기자

위장취업 조직원 배민 고객정보 악용…개보위 "법 위반 보기 어려워"

배달의민족 운영사 우아한형제들이 고객센터 외주 협력사 상담사의 개인정보 무단 조회·유출 사건과 관련해 개인정보보호위원회로부터 개인정보보호법 위반으로 보기 어렵다는 판단을 받았다. 1일 관련업계에 따르면 개인정보위는 개인정보 무단 조회와 유출 정황은 인정하면서도 우아한형제들이 개인정보보호법상 안전조치 의무 등을 위반했다고 보기는 어렵다고 판단했다. 이에 지난 9월 9일 전체회의에서 우아한형제들에 '개선 권고'를 의결했다. 해당 사건은 사적 보복 대행 조직이 조직원을 배민 고객센터 외주 협력사에 상담사로 위장 취업시킨 뒤 이름과 주소 등 고객정보를 무단 조회·유출한 사건이다. 조직은 확보한 정보를 이용해 피해자 주거지 현관에 오물을 묻히고 래커로 욕설을 쓰는 등의 범행을 저질렀다. 개인정보위는 다만 우아한형제들이 안전조치 의무 등 개인정보보호법을 위반했다고 보기는 어렵다고 판단했다. 이에 지난 9월 9일 전체회의에서 우아한형제들에 대해 '개선 권고'를 의결했다. 개선 권고는 시정권고·시정명령이나 과징금 부과보다 낮은 수준의 조치다. 우아한형제들은 사건을 인지한 직후 개인정보 악용 사실을 개인정보위에 신고하고 경찰 수사에도 협조했다고 설명했다. 문제가 발생한 외주업체에 대해서는 전수 감사를 진행한 뒤 계약을 해지했다. 이후 전체 수탁사를 대상으로 보안 점검도 강화했다. 기존 31개였던 점검 체크리스트를 53개 항목으로 늘리고 사고 모의훈련과 재발방지 대책, 데이터손실방지(DLP)·네트워크접근제어(NAC) 적용 현황, 디스크 폐기 이력 등을 점검 항목에 추가했다. 상담사의 개인정보 조회 방식도 변경했다. 개인정보 조회가 가능한 기간을 줄이고 상담 중 주문내역을 확인할 때는 전화번호가 아닌 주문번호로만 조회할 수 있도록 했다. 기존 다운로드·외부 전송 차단에 더해 상담 화면에는 워터마크를 적용했다. 고객센터 업무 계약 시 작성하는 정보보호 합의서 내용을 보완하고 신규 상담센터 개설 시 개인정보 보호 사항을 사전에 점검하는 절차도 강화했다. 수탁사별 월간 보안점검 보고 체계도 마련했다. 이와 함께 모의 침투 테스트와 개인정보 모니터링, 보안관제를 추가로 도입했다. 우아한형제들 관계자는 “이용자의 소중한 개인정보를 보호하기 위한 조치를 꾸준히 강화해 나가겠다”고 말했다.

2026.10.01 16:41류승현 기자

통신 3사 CEO, 보안사고 예방 직접 챙긴다…"국민 신뢰 쌓을것 "

통신 3사가 '개인정보 보호'를 최고경영자(CEO)와 이사회가 직접 챙기는 핵심 경영 과제로 끌어올린다. 개인정보 유출 사고 이후 대응하는 방식에서 벗어나 서비스 기획 단계부터 위험을 차단하는 사전 예방 체계를 강화하고, AI 서비스에도 개인정보 보호 중심 설계(PBD)를 내재화한다. 개인정보보호위원회는 28일 서울 중구 한국프레스센터에서 송경희 개인정보위원장과 정재헌 SK텔레콤 대표·박윤영 KT 대표·홍범식 LG유플러스 대표가 참석한 가운데 간담회를 열고 '국민이 신뢰하는 AI·디지털 사회를 위한 공동선언문'을 발표했다. 간담회는 송 위원장 취임 이후 기업 CEO들과 가진 첫 공식 소통 자리다. 최근 통신 분야에서 개인정보 유출 사고가 잇따른 가운데 개인정보 보호 책임을 담당 부서에 국한하지 않고 CEO와 이사회 중심으로 높이고, AI 시대 데이터 활용과 보호를 위한 민관 협력 방안을 논의하는 데 초점이 맞춰졌다. 송 위원장은 “통신 분야 개인정보 보호는 데이터를 지키는 것을 넘어 국민의 일상과 디지털 사회의 신뢰를 지키는 일”이라며 “사고 이후 신속한 대응도 중요하지만 사고가 나기 전에 미리 위험을 들여다보고 선제적으로 대응하는 예방 중심의 개인정보 보호 체계로 전환해야 한다”고 말했다. 이어 “이제 개인정보 보호는 담당 부서만의 문제가 아니라 CEO가 직접 챙기고 전사가 함께 책임지는 경영의 핵심 과제가 돼야 한다”면서 “공동선언이 선언으로 그치지 않고 현장의 투자와 실천으로 이어질 때 국민 신뢰가 쌓일 것”이라고 강조했다. 통신 3사는 공동선언을 통해 개인정보 보호를 기업의 최우선 경영 가치로 삼고 CEO와 이사회가 개인정보 보호 현황을 상시 관리·점검하는 책임 거버넌스를 확립하기로 했다. 개인정보 보호 투자와 전문인력을 확대하고 서비스 기획·개발·운영 전 과정에 PBD를 적용하는 한편 개인정보 보호 강화 기술(PET) 연구개발에도 힘을 싣는다. SKT, 5년간 7000억원 투자…“개인정보 보호는 AI 신뢰 인프라” 정재헌 SK텔레콤 대표는 사고 발생 이후 대응보다 위험을 사전에 차단하는 데 개인정보 보호의 중심을 둬야 한다고 강조했다. 정 대표는 “개인정보 사고는 발생한 이후 아무리 잘 대응하더라도 잃어버린 신뢰를 완전히 회복하기 어렵다”며 “가장 좋은 개인정보 보호는 위험을 미리 확인하고 선제적으로 차단하는 것”이라고 말했다. 이를 위해 SK텔레콤은 향후 5년간 7000억원 규모의 정보보호 투자를 추진한다. 정 대표는 “'프라이버시 퍼스트'를 전 임직원의 업무 원칙으로 삼고 서비스 기획부터 개발, 운영에 이르기까지 개인정보 보호가 업무의 출발점이 되도록 문화를 바꾸고 있다”고 설명했다. AI 서비스에도 별도의 사전 관리 체계를 적용하고 있다. AI 기획부터 개발·출시·운영까지 전 과정에서 개인정보와 AI 위험을 사전에 확인하고 관리하는 AI 거버넌스를 운영하는 방식이다. 정 대표는 “AI가 발전할수록 활용되는 데이터는 많아지고 이에 따른 기업의 책임도 함께 높아질 것”이라며 “개인정보 보호는 AI 혁신을 가로막는 장벽이 아니라 AI 산업이 더욱 크게 성장할 수 있도록 뒷받침하는 신뢰의 인프라”라고 강조했다. 이어 “정부는 기술 발전에 맞는 명확하고 예측 가능한 원칙을 만들어 주고 기업은 이를 기술과 서비스 안에서 실질적으로 구현하면서 함께 새로운 기준을 마련해야 한다”고 말했다. KT, 5년간 2조 2000억원…“IT 인프라 현대화” KT는 개인정보 보호와 보안 체계를 근본적으로 손보기 위해 향후 5년간 2조 2000억원을 투입한다. 보안 투자뿐 아니라 보안의 기반이 되는 IT 인프라 현대화까지 투자 범위에 포함했다. 박윤영 KT 대표는 “개인정보 보호를 경영의 최우선 원칙으로 삼고 5년간 2조 2000억원을 투자해 보안은 물론 보안의 근간이 되는 IT 현대화까지 근본적인 체계를 바로잡고 있다”고 말했다. KT는 전문성과 독립성을 갖춘 개인정보보호책임자(CPO) 체계를 확립하고 대표이사와 이사회가 주요 위험과 투자 계획을 직접 점검하는 책임 거버넌스를 운영한다. 향후 정보보호 및 개인정보보호 관리체계 인증(ISMS-P) 범위도 네트워크와 미디어 인프라까지 확대한다. 박 대표는 “서비스 기획부터 개발·운영까지 전주기에 개인정보 보호를 반영해 사후 대응이 아닌 사전 예방 중심 체제로의 전환을 가속화할 것”이라며 “외부 전문가로 구성된 개인정보보호자문위원회와 함께 이행 수준을 지속적으로 살피고 고도화하겠다”고 밝혔다. 지난해 발생한 개인정보 유출 사고에 대해서는 직접 사과했다. 박 대표는 “지난해 발생한 유출 사고로 국민과 정부에 심려를 끼쳐 KT 대표이사로서 다시 한번 사과드린다”며 “같은 사고가 되풀이되지 않도록 재발 방지에 모든 역량을 다하겠다”고 약속했다. LGU+, 5년 최소 7000억원…“AI 혁신과 보호 함께 가야” LG유플러스는 서비스 전 과정에 개인정보 보호 중심 설계(PBD)를 적용하고 CEO와 경영진, CPO가 개인정보 보호 체계를 지속적으로 점검하기로 했다. 최소 5년간 7000억원 투자 기조를 이어간다는 방침이다. 홍범식 LG유플러스 대표는 “AI와 디지털 전환이 가속화될수록 개인정보 보호는 기술적 과제를 넘어 기업의 책임 경영 영역이 된다”며 “CEO와 모든 경영진, CPO가 지속적으로 점검하고 사전 보호 체계를 강화해 나가겠다”고 말했다. 이어 “사고 발생 이후 대응에 머무르지 않고 사전 예방 중심의 보호 체계를 구축하기 위해 적극적인 투자와 전문 역량을 확보하겠다”며 “서비스 전 과정에 개인정보 보호 중심 설계, 이른바 '프라이버시 바이 디자인'을 내재화하겠다”고 밝혔다. AI 분야에서는 이용자에 대한 투명성과 책임성을 높이는 데 방점을 찍었다. 홍 대표는 “AI 시대에는 혁신과 보호가 함께 가야 한다”며 “책임과 신뢰를 바탕으로 투명성과 책임성을 높이고 이용자 권리 보장에 힘쓸 것”이라고 말했다. 이어 “안전한 AI 생태계를 위해 민관 협력을 확대하고 산업 현장의 경험과 우수 사례를 공유해 기준과 제도 발전에도 지속적으로 협력하겠다”고 덧붙였다. 개인정보위와 통신 3사는 이날 통신 유통망의 개인정보 관리 강화와 개인정보 보호 전문인력 양성, PET 개발, AI 관련 제도 개선 방안도 논의했다. 개인정보위는 통신사-대리점-판매점으로 이어지는 유통 구조에서 개인정보 관리가 취약해질 수 있다며 통신사가 유통망 전반에 대한 관리·감독을 강화해달라고 요청했다. 통신 3사는 PET 기술 개발과 계약학과 등을 통한 개인정보 보호·사이버보안 전문인력 양성에도 정부와 협력하기로 했다. 통신업계에서는 2027년 3월 시행되는 개인정보 보호법상 AI 특례의 효과적인 운영을 위한 사전 협의 체계와 공개정보·가명정보·정당한 이익 등 기존 개인정보 처리 근거의 명확화도 요청했다. 개인정보위는 관련 제도 개선과 함께 가칭 '에이전틱 AI 개인정보 처리 안내서'를 연내 마련할 예정이다. 송 위원장은 “오늘 통신 3사 대표의 공동선언이 현장에서 실질적인 변화와 개선으로 이어지길 바란다”며 “통신 분야의 보호 수준을 한 단계 더 높이고 국민 신뢰를 회복하는 계기가 될 수 있도록 책임감 있게 이행해 달라”고 말했다.

2026.09.28 16:17박수형 기자

아일랜드 DPC, GDPR 위반한 구글에 6000억원 과징금 부과

아일랜드 데이터보호위원회(DPC)가 자체 조사한 결과 구글 아일랜드 법인이 이용자 위치정보를 처리하는 과정에서 일반개인정보보호법(GDPR)을 위반한 사실을 발견했다. DPC는 구글의 유럽연합 GDPR 위반을 확인하고 4억 300만 유로(약 6000억원)의 과징금을 부과했다고 21일(현지시간) 밝혔다. DPC는 2018년 5월 25일부터 2020년 2월 4일까지 구글의 '웹 및 앱 활동', '위치 기록', '위치 정확도' 기능을 조사했다. 이번 조사는 유럽 소비자단체들의 민원으로 2020년 2월 시작됐다. 조사 결과 구글은 위치정보를 수집·활용하는 방식과 목적을 이용자에게 충분히 알리지 않은 것으로 나타났다. 일부 위치정보를 필요한 기간보다 오래 보관했으며 관련 처리가 GDPR에 부합한다는 점도 충분히 입증하지 못했다. DPC는 구글에 6개월 안에 위치정보 처리 방식을 개선하라고 명령했다. 전체 결정문은 추후 공개될 예정이다. 이번 조사 대상인 웹 및 앱 활동은 검색·방문 기록과 위치정보를 저장하는 기능이다. 위치 기록은 이용자의 이동 경로와 방문 장소를 기록하며 위치 정확도는 GPS 등을 활용해 기기의 위치를 더 정확하게 파악하는 기능이다. DPC는 위치정보가 단순한 현재 위치를 넘어 개인의 이동 경로, 자주 방문하는 장소, 관심사와 생활 패턴까지 드러낼 수 있는 민감한 정보라고 지적했다. 이런 개인 정보가 이용자에게 충분히 안내되지 않은 상태에서 광고 제공이나 관심사 분석 등에 활용되거나 필요한 기간보다 오래 보관되면 개인정보가 어떻게 쓰이는지 통제하기 어려워질 수 있다는 설명이다. DPC는 구글이 위치정보의 수집·활용 목적과 보관 방식 등을 이용자에게 충분히 알리지 않아 개인정보 보호와 통제권을 약화시켰다고 판단했다. 그레이엄 도일 DPC 부위원장은 "구글의 관리 미흡으로 이용자들은 자신의 위치정보가 광고 제공이나 관심사 추정 등에 활용되고 있다는 사실을 충분히 인지하지 못했을 수 있으며, 개인정보에 대한 통제권을 잃을 수 있었다"며 "필요한 기간보다 오래 위치정보를 보관한 것은 이러한 통제권 상실을 더욱 악화시켰다"고 지적했다.

2026.09.22 09:52남혁우 기자

[인사] 개인정보보호위원회

◆위촉 ▲개인정보보호위원회 위원 권건보, 김광수, 윤영미

2026.09.21 20:38방은주 기자

쿠팡, '정보보호 자문위원회' 출범…내외부 전문가 7명 참여

지난해 11월 3367만명의 대규모 개인정보 유출 사건을 겪었던 쿠팡이 신뢰할 수 있는 정보보안 체계를 구축하고자 내·외부 전문가들로 구성된 '정보보호 자문위원회'를 공식적으로 발족한다. 쿠팡은 15일 객관적이고 신뢰할 수 있는 정보보안 체계를 구축하기 위한 노력의 일환으로, 각계 각층의 외부 전문가들이 참여하는 '정보보호 자문위원회'를 공식 출범한다고 밝혔다. 쿠팡은 회사의 보안 체계를 근본적으로 혁신하고 대외 신뢰도를 제고하기 위해 자문위원회를 출범했다. 쿠팡은 위원회를 통해 사내 보안 정책을 객관적으로 검증하고 고객 보호를 위한 보안 수준을 끌어올릴 방침이다. 정보보호 자문위원회는 정보보호·법률·경영·IT 등 외부 전문가 7명이 참여한다. 자문위원회 공동위원장으로 허성욱 CPO 포럼 회장과 브렛 매티스 쿠팡 정보보호 최고책임자(CISO)가 선임됐다. 허 회장은 과학기술정보통신부 네트워크정책실장과 정보통신산업진흥원장을 역임했다. 위원으로는 ▲강유민 김·장 법률사무소 고문 ▲곽진 아주대학교 교수 ▲김현경 서울과학기술대학교 교수 ▲안정호 법무법인 세종 변호사 ▲양제열 경희대학교 교수 ▲장항배 중앙대학교 교수가 위촉됐다. 위원회는 이날 첫 번째 회의를 시작으로 매분기 정기회의를 개최한다. 최신 법과 제도 변화, 보안 위협 동향을 파악하고 회사의 보안 현안 및 정책 전반에 대해 자문한다. 쿠팡은 자문 결과를 사내 보안 정책 및 업무 프로세스에 적극적으로 반영해 업계 최고 수준의 보안 스탠다드를 확립하겠다는 구상이다. 쿠팡은 위원들에게 그동안 추진해 온 고객 데이터 보호와 관련한 활동내용 등을 공유했으며, 이를 바탕으로 향후 활발한 소통을 이어 나갈 방침이다. 쿠팡 관계자는 "최고 전문가들의 탁월한 경험과 지식을 적극 수용해 보안 체계 개선 활동을 거듭해 갈 것"이라며 "글로벌 스탠다드를 뛰어넘는 수준의 노력을 기울이겠다"고 말했다.

2026.09.15 15:18박서린 기자

700~800명 지정CPO들 '권한' 강화...CEO는 '책임' 강화

현행 법상 기업 및 기관이 의무적으로 두게 돼 있는 700~800명 추정 지정 CPO들의 권한과 책임이 11일부터 대폭 강화된다. 또 해킹에 따른 개인정보보호 책임과 관리체계 강화 차원에서 사업주와 대표자(CEO)의 최종 책임을 법으로 명확히 했다. 특히 기업 및 기관의 사전예방 투자에는 인센티브를 주고, 개인정보 유출 가능성 통지제도를 처음으로 도입하는 한편 유출통지 항목 및 대상도 확대한다. 이 같은 내용을 담은 개인정보보호법, 시행령, 고시가 내일(11일)부터 발효한다. 앞서 지난 3월 개정한 '개인정보 보호법'과 위임사항을 구체화한 개정 '개인정보 보호법 시행령을 이날부터 시행하는 것이다 이와 관련, 10일 기자브리핑을 한 양청삼 개인정보위 사무처장은 "국민 일상생활과 밀접한 분야에서 최근 대규모 개인정보 유출사고가 연이어 발생하면서 국민들의 불안과 우려가 지속되고 있어 새로운 법과 시행령을 마련했다"고 밝혔다. 이번 개정법에 따르면, 개인정보 유출에 엄정 대응하고 선제 예방 투자를 촉진하기 위해 ▲반복적이거나 고의·중과실로 인한 개인정보 유출에 대해 징벌적 과징금(전체 매출액 10% 이내)을 도입하고 ▲사전 예방적 개인정보 보호 투자와 연계한 과징금 의무 감경제를 도입했다. 또 개인정보 보호 책임과 관리체계를 강화하기 위해 ▲사업주·대표자(이하 'CEO')의 최종책임을 명시하고 ▲개인정보 보호책임자(이하 'CPO')의 직무권한을 강화(전문인력 관리·예산 확보, 이사회 보고 의무)했으며 ▲개인정보처리자의 CPO 지정·변경·해제 시 이사회 의결 및 신고를 의무화했다. 아울러, 정보주체의 피해구제를 강화하기 위해 ▲개인정보 유출 가능성 통지제를 신설하고 ▲유출통지 항목(분쟁조정 신청, 손해배상 청구 방법도 통지)을 확대했으며 ▲개인정보의 위조·변조·훼손(랜섬웨어 등)도 유출신고·통지 대상에 포함했다. 특히 법 개정을 통해 공공·민간 부문 중요 개인정보처리자에 대해 개인정보 보호(ISMS-P) 인증을 의무화하는 내용도 포함했다. 단, 이 개정 규정은 ISMS-P 인증 취득을 위한 기업·기관의 예산 확보에 소요되는 기간을 고려, 내년 7월 1일부터 시행한다. 법 개정과 함께 마련한 이번 시행령 개정안은 ▲과징금 부과 기준과 절차 ▲선제적 예방투자에 대한 과징금 감경기준 ▲CPO 지정·변경·해제 시 이사회 의결 및 신고가 의무화되는 대상 기준과 신고 방법 ▲개인정보 유출 가능성 통지 요건·절차 등 개정법에서 위임한 사항을 구체화했다. 개정시행령 및 고시 세부 내용은 다음과 같다. 개인정보 보호책임자(CPO) 권한·책임과 독립성 강화 법 개정으로 CPO를 지정·변경·해제할 때 이사회 의결을 거치고 개인정보위에 신고해야 하는 의무를 신설했다. 또 의무 부여 대상 기준을 시행령 개정으로 구체화했다. 이와함께 주요 개인정보처리자를 중심으로 CPO 권한과 책임을 높이기 위해, 이사회 의결·신고 의무 대상은 현행법상 전문 CPO 지정 의무 대상과 동일하게 했다. 개인정보위는 "현행법상 전문 CPO 지정 의무 대상은 700~800곳으로 추정된다"고 이날 밝혔다. 지정 의무 대상은 크게 4가지로 ▲연 매출액 또는 수입이 1800억 원을 초과하면서 5만 명 이상의 민감정보·고유식별정보 또는 100만 명 이상의 개인정보를 처리하는 자 ▲재학생 수 2만 명 이상인 대학 ▲상급 종합병원 ▲공공시스템운영기관(시행령 제30조의2제1항에 따른 주요 공공시스템을 운영하는 기관) 등이다 이들 신고 대상 개인정보처리자는 법 시행 이후 CPO를 지정·변경·해제하려는 경우 이사회 의결을 거쳐야 한다. 또 신고 사유가 발생한 날로부터 6개월 이내에 개인정보위에 신고서를 제출해야 한다. 법 시행 전에 지정한 CPO에 대해서는 별도 이사회 의결을 거치지 않아도 되며, 법 시행일(9.11.)부터 6개월 이내 개인정보위에 신고해야 한다. 다만, 경영상 이유로 이사회 소집이 어려운 경우 등 부득이한 사유가 있다고 개인정보위가 인정하는 경우에는 개인정보처리자의 요청에 따라 최대 1년까지 신고 기간을 연장할 수 있다. 또 기존 'CPO 경력 인정에 관한 고시'를 개정해 CPO 지정‧변경‧해제 신고서를 마련하고 신고 절차를 구체화했다. CPO 지정 신고 방법은 개인정보 포털 'privacy.go.kr'에 접속 후 '기업‧공공 서비스'메뉴의 'CPO 신고'를 선택해 신고 항목을 입력하고 증빙자료를 첨부하는 등 신고 절차를 하면 된다. 개인정보위는 신규 CPO 제도 도입에 따른 대상기관의 부담을 완화하고 제도의 안정적 정착을 도모하기 위해 내년 12월 31일까지 계도기간을 운영할 예정이다. 계도기간 중에는 ▲CPO 미지정 ▲CPO 자격요건 미비 ▲이사회 의결 의무 위반 ▲신고 해태 등 법령 위반에 대해 과태료를 부과하지않는다. 아울러, 제도 시행 초기 현장 적용성을 강화하고 대상기관이 의무를 준수할 수 있게 CPO 제도 전반에 대한 설명과 신고 방법, 주요 FAQ를 담은 'CPO 지정‧신고 실무 매뉴얼'을 마련해 공개하는 한편 한국CPO협의회 등 유관 협회와 협업해 현장 안내를 지속할 계획이다. 반복적·중대한 개인정보 유출에는 엄정 대응하고, 예방 노력은 적극 반영 반복적이거나 중대한 개인정보 침해행위에 대해서는 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 한 과징금 특례가 시행됨에 따라 과징금 부과·감경 절차와 기준 등 세부사항을 구체화했다. ▲고의·중과실로 3년 내 위반행위를 반복하거나 ▲고의·중과실로 1천만명 이상의 대규모 피해를 발생시킨 경우 ▲시정명령을 이행하지 않아 개인정보 유출사고가 발생하는 등 개정법 제64조의2제2항 각 호의 어느 하나에 해당하는 경우, 위반행위 내용·정도와 경위 및 정보주체 피해규모 등을 종합 고려해 기준금액을 산정하고, 이후 가중·감경 등을 통해 전체 매출액의 10% 이내에서 부과 과징금을 산정할 수 있도록 체계적 절차를 마련했다. 또 개인정보 보호를 위해 사전에 적극 투자하고 보호체계를 강화한 노력은 과징금 산정 과정에서 충분히 반영하고 ▲개인정보 보호를 위한 예산·인력·설비·장치 등에 대한 투자 규모·비율과 지속성 및 증가 정도와 ▲CEO·CPO 및 전문인력 등 개인정보 보호체계의 내용과 수준 ▲법상 의무사항 이외의 안전성 확보조치에 관한 추가적 노력 등을 고려, 과징금 부과 기준금액의 40% 범위에서 감경할 수 있게 했다. 과징금 감경 시 고려사항 등 제도와 관련한 주요 사항에 대해 '과징금 투자 감경제도 안내서'를 발간해 새롭게 시행하는 제도가 현장에서 제대로 안착할 수 있게 했다. 안내서는 개인정보위 누리집에서 내려받기가 가능하다. 한편, 기존 과징금 가중·감경 체계도 사전 예방과 사후 신속 대응을 중심으로 변화를 줬다. 우선 반복 위반에 대해서는 가중 비율을 상향, 제재를 강화하는 한편 유출 등 신고와 통지를 법정기한 내에 이행하지 않고 정보주체의 피해 확산 방지 조치도 하지 않는 경우 과징금을 가중(최대 30%)했다. 즉 현재는 1회(+15%), 2회이상(+30%)인데 이를 개정해 (1회)+20%, (2회)+40%, (3회이상)+80%로 높였다. 투자감경 도입과 함께 ISMS-P 인증, 자율규약 등 개인정보 보호 노력에 대한 과징금 감경 비율을 조정해 현실화하는 한편, 높은 수준의 개인정보 관리 책임성이 요구되는 주요 공공기관에 대해서는 업무 형태·규모에 따른 과징금 감경을 하지 않도록 명확히 규정했다. (현행) ISMS-P(최대 50%), 자율규약(최대 40%), 보호수준 평가등 (최대 30%) → (개정) ISMS-P(최대 30%), 자율규약(최대 20%), 보호수준 평가등 (최대 15%) 아울러, 사전 예방 뿐만 아니라 사후 신속 대응 노력도 과징금 감경에 반영한다. 사고 발생에 대비한 대응 체계를 구축·운영하고, 사고 시 조기 탐지, 신속 신고·통지 및 피해 확산 방지 조치를 이행하는 등 안전한 개인정보 보호체계로 신속하게 회복·개선한 경우 과징금을 감경(최대 40%)한다. 부과 과징금 결정 시 위반행위의 구체적인 내용, 정도와 피해규모 및 영향 등을 고려해 추가적으로 감경(최대 50%)할 수 있게 하는 등 비례성을 강화하고, 영세·중소기업 등의 경미한 위반에 대해서는 기술지원을 받아 시정하는 경우에도 과징금을 면제할 수 있게 해 처분 부담을 경감했다. 개인정보 유출 가능성 단계부터 국민에게 신속히 통지 개인정보 유출에 따른 국민 피해를 최소화하기 위해 유출 사실이 최종적으로 확인되기 전이라도 객관적으로 유출 가능성이 높다고 합리적으로 판단되는 경우에는 정보주체에게 이를 통지하도록 하는 유출 가능성 통지제를 도입, 요건·절차·항목 등을 구체적으로 마련했다. ▲개인정보처리시스템, 개인정보취급자가 이용하는 기기에 불법적인 접근이 발생해 개인정보 유출 등이 의심되나 정보주체를 특정하기 곤란한 경우 ▲개인정보가 불법적으로 거래되는 등 일부 개인정보 유출이 확인돼 다른 정보주체의 개인정보도 유출 가능성이 있다고 인정되는 경우 해당 사실을 알게 된 때부터 72시간 이내에 정보주체에게 통지(개인정보 항목, 의심시점 및 경위, 피해최소화 방법, 피해구제절차, 피해신고 연락처, 유출 등 확정시 추가통지하겠다는 사실 등)해야 한다. 이 때 통지 항목은 유출 등 통지에 준하는 수준으로 알려야 한다. 또 유출 등 사고 시 대응 및 국민 피해구제가 보다 신속히 이루어질 수 있게 법 개정사항을 반영하고 구체적 기준 및 사례 안내 등을 보강해 '개인정보 유출 등 대응 안내서'를 개정했다. 대응 안내서는 개인정보위 누리집의 정책‧법령->법령정보->안내서에서 내려받기가 가능하다. 송경희 개인정보위 위원장은 “이번 개정법과 시행령 시행을 계기로 사전예방 중심의 개인정보 보호, 강화된 안전관리 체계가 확립되고, 개인정보 보호를 위한 투자를 '비용'이 아니라 고객 신뢰 확보와 기업 이익 확대를 위한 '선제적 투자'로 인식이 전환될 것으로 기대한다”고 밝혔다. 이어 " 개정법령 시행을 통해 개인정보 유출 등 침해에 대한 기업·기관의 책임이 강화되고, 국민들은 개인정보 유출 위험을 보다 신속하게 안내받을 수 있게 된다"면서 "아울러 개인정보 보호 사전예방 투자와 연계한 과징금 감경제 도입, CEO·CPO 책임 강화를 통해 개인정보처리자의 상시적인 개인정보 안전관리 체계가 정착될 수 있을 것으로 기대한다"고 덧붙였다. 한편 개인정보위는 새로 시행하는 제도가 현장에서 안정적으로 운영되고 기업·기관과 국민이 쉽게 이해할 수 있게 지속적으로 안내할 계획이다.

2026.09.10 21:16방은주 기자

[AI는 지금] AI 개인정보 특례 내년 3월 시행…기업들, 데이터 관리체계 손질해야

인공지능(AI) 개발 과정에서 개인정보를 활용할 수 있도록 한 특례가 내년 3월 시행된다. 법률 공포로 제도 시행 시점이 확정되면서 기업들은 개인정보보호위원회 심의 준비뿐 아니라 위험요인평가, 접근권한과 로그 관리, 데이터 보관·파기 등 실제 운영 단계의 관리체계를 미리 정비해야 할 것으로 보인다. 10일 법조계에 따르면 AI 기술 개발을 위한 개인정보 처리 특례를 담은 '개인정보 보호법' 일부개정법률이 지난 8일 법률 제21910호로 공포됐다. 개정법은 공포 후 6개월이 지난 2027년 3월 9일부터 시행된다. 이번 개정안은 지난달 20일 국회 본회의를 통과한 뒤 국무회의 의결 등을 거쳐 법률로 확정됐다. 법제처 자구 정비 과정에서 일부 문구가 다듬어졌지만 주요 내용에는 변화가 없다. 기업들이 가장 먼저 준비해야 할 부분은 AI 개발에 사용하는 개인정보 데이터셋을 구분하는 작업이다. 특례는 모든 AI 학습 데이터에 적용되는 것이 아니라 익명·가명처리만으로 기술 개발이 어려운 개인정보를 대상으로 한다. 대표적으로는 영상·음성·이미지·자연어 등 비정형 데이터가 꼽힌다. 만약 가명처리 과정에서 사람의 행동이나 주변 맥락, 발화 특성 등 AI가 학습해야 할 정보까지 훼손될 경우 특례 활용을 검토할 수 있다. 다만 해당 데이터를 활용해야 하는 이유는 기업이 구체적으로 설명해야 한다. 데이터 유형과 처리 규모, 민감도, 보관 기간, 접근 권한, 국외 이전 여부 등을 정리하고 익명·가명처리로는 개발 목적을 달성하기 어려운 이유도 제시해야 한다. AI 개발 목적의 공익성도 중요한 심사 요소다. 개정법은 공익 증진이나 정보주체·제3자의 이익 보호, 사회적 이익 증진 가운데 하나를 목적으로 하고 개인정보 침해 우려가 현저히 낮은 경우에 특례를 적용하도록 했다. 이에 따라 기업들은 서비스 편의성이나 개발 효율성만 제시하기보다 이용자 보호, 보안 강화, 접근성 개선, 사회적 비용 절감 등 AI 개발에 따른 사회적 효과를 구체적으로 소명할 필요가 있다. 민감정보나 고유식별정보를 다루는 사업은 준비 부담이 더 커질 수 있다. 대통령령에서 정하는 기준에 해당하면 개인정보위 심의에 앞서 위험요인평가를 실시하고 결과를 제출해야 하기 때문이다. 위험요인평가는 개인정보 침해 가능성뿐 아니라 과도한 식별 위험, 제3자 권리 침해 가능성 등을 점검하는 방식으로 구체화될 가능성이 있다. 기업 입장에선 기존 개인정보 영향평가나 보안성 검토 절차와 AI 특례 평가 절차를 연계하는 방안도 검토할 수 있다. 심의를 통과한 이후에도 관리 의무가 이어진다. 개인정보위는 특례 적용 기업이 심의·의결 조건을 제대로 이행하고 있는지 주기적으로 관리·감독할 수 있다. 특히 심의·의결을 받은 뒤 특별한 사유 없이 6개월 이내 AI 개발을 위한 개인정보 처리를 시작하지 않으면 개인정보 처리가 제한될 수 있다. 허위나 부정한 방법으로 심의를 받거나 특례 요건을 충족하지 못한 경우 개인정보위가 부과한 조건을 지키지 않은 경우도 처리 제한 대상이다. 이에 따라 특례 신청 시점과 AI 개발 일정도 함께 맞춰야 한다. 심의·의결을 먼저 받아두고 실제 개인정보 처리를 장기간 미루는 방식은 제한될 수 있다는 의미다. AI 학습·검증 과정에서 개인정보가 어떻게 사용됐는지 추적할 수 있는 체계도 필요하다. 접근권한 통제와 이용기록, 데이터 보관·파기 내역, 내부 점검 결과 등을 지속적으로 관리해야 향후 개인정보위 감독에도 대응할 수 있다. 기업들은 실제로 적용해야 할 세부 기준이 아직 남아 있다는 점도 고려해야 한다. 클라우드 환경에서 요구되는 추가 안전조치와 위험요인평가 대상·방법, 개인정보위 심의 절차, 기존 승인 사례와 유사한 사업의 간소화 기준 등은 시행령과 고시에서 구체화될 예정이다. 법무법인 태평양은 "기업들은 법 시행 전 AI 개발에 사용하는 개인정보 현황을 점검하고 개발 목적과 데이터 활용 필요성, 익명·가명처리가 어려운 사유, 안전조치와 위험 완화 방안 등을 사전에 체계화할 필요가 있다"며 "향후 시행령과 개인정보위 고시에서 확정되는 세부 기준도 내부 절차에 신속히 반영해야 한다"고 조언했다.

2026.09.10 11:26장유미 기자

"개인정보 유출땐 큰 일"...과징금 10% 시대

중대하거나 반복적인 개인정보 유출사고 발생 시 관련 매출액의 10%까지 부과할 수 있는 개인정보보호법 개정안 시행이 3일 앞으로 다가왔다. 전문가들은 법 시행에 앞서 일부 아쉬움을 내비치면서도 기업들의 철저한 대비를 주문했다. 8일 개인정보보호위원회(개인정보위)에 따르면 징벌적 과징금 도입과 개인정보 보호책임자 역할 강화 및 개인정보보호 관리체계(ISMS-P) 인증제도 개선을 통한 개인정보 보호 책임 강화를 내용으로 하는 개인정보보호법 개정안이 오는 11일 시행될 예정이다. 기존 과징금 제도인 관련 매출액의 3% 이하의 기준과 비교하면 부과될 수 있는 최대 과징금 비율이 크게 높아진다. 과징금 부과는 ▲최근 3년간 고의 또는 중대한 과실로 위반행위를 반복한 경우 ▲고의 또는 중대한 과실로 대규모(1000만 명 이상) 피해를 초래한 경우 ▲시정명령 불이행으로 인한 개인정보 유출 등 사고가 발생한 경우 등에 해당한다. 과징금의 기준이 되는 매출액의 경우는 '직전 사업연도 매출액'과 '3년 평균 매출액' 중 높은 금액이 적용된다. 위반행위가 있었던 사업연도 직전 3개 사업연도의 연평균 매출액만을 기준으로 하던 것에서 직전 사업연도 매출액이 더 높은 경우 더 큰 금액이 반영된다. 개정안은 과징금 경감안도 담았다. 개인정보 보호를 위한 예산, 인력, 설비, 장치 등의 투자 및 운영 등이 이루어진 경우 과징금을 최대 40% 범위에서 감경해준다. 다만 고의 또는 중대한 과실, 즉 최대 10%까지 부과될 수 있을 만한 유출사고의 경우에는 투자 감경 대상에서 제외된다. 이 외에도 개정안에는 CPO 이사회 의결 및 개인정보위 신고 의무 구체화, 정보보호관리체계 및 개인정보보호관리체계(ISMS-P) 인증 의무 대상 구체화 등의 내용도 담고 있다. 정보보호 전문가들은 법 시행을 앞두고 일부 아쉬운 부분을 지목했다. 권헌영 고려대 정보보호대학원 교수는 "이번에 개정되는 개인정보보호법에 여전히 모호한 부분이 있다. 매출액이 어떻게 선정되는지 등이다"라며 "이같은 문제들은 지금 상황에서는 예측하기가 어렵고 추상적 범위가 많다"고 말했다. 권 교수는 이어 "유출사고에 대한 정부의 개입이 과도하다. 정부의 규제 방식으로 진행하는 것보다는 유출사고에 대한 법원에서의 손해배상액으로 결정하는 것이 더 바람직하다"면서 "과징금을 상향하는 식의 과징금 위주의 유출사고 대응은 현재 개인정보 이용 환경과는 걸맞지 않을 수 있다"고 진단했다. 그는 "과징금 규체 체계는 좀 더 과학적으로 운영될 필요가 있는데, 과징금이 상향됨에 따라 기업들의 고민은 깊어지고 소비자들은 만족할 만한 정보보호 서비스를 체감하지 못하고 있다"며 "심지어 유출사고가 발생해도 피해를 입은 소비자들의 손해배상금이 늘어나는 것도 아니기 때문에 과징금 위주의 정부 개입은 바람직하지 않아 보인다"고 강조했다. 최경진 가천대 법학과 교수는 "개인정보보호법 개정안의 핵심 내용인 매출액 10%의 징벌적 과징금에서 주목하고 있는 10%라는 기준보다, 유출사고가 발생한 기업에 얼마나 합리적이고 비례적인 책임을 물을 수 있느냐가 관건"이라며 "개인정보 유출 건수 규모뿐 아니라 여러 요소를 종합적이고 비례적으로 고려해 과징금을 산정해야 한다"고 말했다. 개정안에 대한 여러 아쉬움이 나오고 있는 상황이지만, 당장 기업들은 유출사고 발생 시 짊어져야 하는 부담은 크게 늘어난 상태다. 따라서 당장 대비해야 하는 만큼 전문가들은 정보보호의 기본을 충실히 지켜야 한다고 당부했다. 바른ICT연구소장을 맡고 있는 김범수 연세대 정보대학원 교수는 "과징금 부담이 크게 높아졌기 때문에 보안의 기본을 지키지 않았을 때 지는 리스크가 많아졌다"면서 "더 이상 예산이 없어서, 인력이 없어서 등의 이유는 통하지 않는다. 그간 미뤄뒀던 보안 투자나 인력을 확충해 보안의 기본을 지켜야 한다"고 제언했다.

2026.09.08 16:31김기찬 기자

티빙 "침해사고에 따른 피해 시 1인당 300만원 보상"

티빙이 사이버 침해사고에 따른 고객 신뢰 회복을 위해 최대 300만원을 보상하는 안심보험을 비롯한 고객 보상 패키지를 내놨다. 정보보호 투자도 2030년까지 직전 5년 대비 약 4배로 확대하고, 보안 전문인력을 향후 5년 간 현재의 3배 수준으로 늘린다. 티빙은 3일 개인정보 유출에 따른 민관합동조사단 발표 직후 서울 광화문 코리아나호텔에서 설명회를 열어 고객 보상 계획과 중장기 정보보호 혁신 방안을 발표했다. 최주희 티빙 대표는 “민관합동조사단의 조사 결과를 겸허히 수용한다. 이번 침해사고로 고객 여러분께 심려와 불안을 끼쳐드린 점 진심으로 사과드린다”며 “고객의 신뢰를 회복할 수 있도록 재발방지 대책을 책임 있게 이행하겠다”고 약속했다. 티빙이 마련한 고객 보상 패키지는 ▲해킹 피싱 안심보험 ▲프리미엄급 시청환경 업그레이드 ▲티빙 포인트 ▲엔터테인먼트 쿠폰 등으로 구성됐다. 안심보험은 1년간 제공한다. 해킹과 피싱으로 발생한 사이버 금융사기는 물론 인터넷 쇼핑몰 사기와 개인 간 직거래 사기까지 1인당 최대 300만원을 보상한다. 시청 환경은 별도 신청 없이 프리미엄급으로 자동 업그레이드한다. 최신 영화 등을 개별 구매할 때 사용할 수 있는 티빙 포인트 5000원도 지급한다. '웨이브 AVOD 1개월 이용권'과 'CGV 콤보 3종 5000원 할인 쿠폰' 가운데 하나를 선택할 수 있는 엔터테인먼트 쿠폰도 제공한다. 보상 패키지는 7일부터 30일까지 신청을 받아 10월6일부터 적용한다. 구체적인 내용과 신청 방법은 티빙 공식 앱과 홈페이지에서 안내한다. 보상과 함께 정보보호 체계도 대대적으로 손본다. 티빙은 ▲정보보호 투자 보안 인력 확대 ▲제로 트러스트 기반 보안 체계 재구축 ▲조직 거버넌스 및 보안 문화 재정립 ▲외부 협력을 통한 전문성 강화 등 4대 전략을 추진한다. 우선 2030년까지 정보보호 투자를 직전 5년 대비 약 4배로 확대한다. 보안 조직은 프로덕트 보안과 클라우드 보안, 전사 IT 보안, 컴플라이언스 보안체계로 세분화한다. 전문인력도 향후 5년간 현재의 3배 수준으로 확충한다. 보안의 기본 원칙은 제로 트러스트로 전환한다. 인증과 접근 통제 과정에서 단계별로 검증하는 전사 보안 표준을 마련하고 직무와 목적에 따라 필요한 범위에서만 권한을 부여하는 최소 권한 원칙을 적용한다. 내부 침해를 전제로 시스템과 네트워크 영역을 분리하고 개인정보 등 중요 데이터 보호도 강화한다. AI 기반 지능형 탐지와 실시간 자동 대응 체계를 고도화해 위험이 감지되면 즉시 차단·격리할 수 있도록 할 계획이다. 보안 거버넌스도 개편한다. CEO-CISO·CPO 체계 아래 실무 보안협의체를 신설하고 보안 이슈 발굴부터 의사결정, 실행, 점검까지 이어지는 체계를 구축한다. 직무 맞춤형 보안 교육과 실전형 모의훈련도 정례화한다. 외부 전문가의 검증도 상시화한다. CEO 직속 '정보보호혁신 자문위원회'를 통해 보안 정책과 시스템 전반을 점검하고 개선 방안을 마련할 계획이다. 최 대표는 “이번 사고를 뼈아프게 반성하고 보안체계 전반을 근본부터 다시 세우겠다”며 “정보보호를 플랫폼의 가장 중요한 책임이자 경쟁력으로 삼고 고객 신뢰 회복에 최선을 다하겠다”고 강조했다.

2026.09.03 16:23박수형 기자

개인정보위, GS리테일에 과징금 128억원... "166만명 개인정보 유출"

사전에 수집한 계정 정보를 무차별 대입해 접속을 시도하는 '크리덴셜 스터핑' 공격으로 총 166만명의 개인정보가 유출된 GS리테일에 128억원 규모의 과징금이 부과됐다. 개인정보보호위원회는 GS리테일 및 3개 사업자에 대해 총 129억 5444만원의 과징금 및 1020만원의 과태료를 부과한다고 31일 밝혔다. 이와 함께 재발 방지 대책 마련 등 시정명령 및 해당 사업자 홈페이지에 결과를 공표할 것을 의결했다. 조사 결과 신원 미상 해커는 GS리테일이 운영하는 GS샵 홈페이지에 대해 지난 2024년 6월 21일부터 2025년 2월 13일까지, GS25 홈페이지에 대해 2024년 12월 26일부터 2025년 1월 4일까지 각각 크리덴셜 스터핑 공격을 시도해 로그인에 성공했다. 이후 회원정보 수정 페이지에서 GS샵 158만 1025명, GS25에서 7만 9128명의 이름, 성별, 생년월일, 연락처, 주소, 이메일 등 개인정보를 유출했다. 크리덴셜 스터핑은 사전에 확보한 다수의 아이디, 비밀번호 정보를 무차별 대입해 로그인을 시도하는 공격 방식으로 로그인 시도 횟수와 로그인 실패율이 급증하는 특징을 보인다. 개인정보위는 GS리테일이 짧은 시간 동안 동일 IP주소에서 대규모 로그인 시도가 발생하는 경우 이를 탐지·차단할 수 있는 대책을 마련하지 않았고 로그인 시도 및 로그인 실패가 급격하게 증가하는 이상징후가 발생했음에도 이를 인지하지 못해 장기간 유출이 지속됐다고 판단했다. 또 GS리테일이 GS25 홈페이지에서의 유출을 지난해 1월 4일 최초로 인지했지만, 유출사고 대응에 소홀해 GS샵 홈페이지에서도 같은 공격이 발생하고 있던 사실을 지난해 2월이 돼서야 추가 인지한 것으로 조사됐다. 최초 유출 인지 이후에도 개인정보가 유출된 것이다. 아울러 사고 당시 개인정보 전담조직의 부재 및 이원화된 보안 운영 등 개인정보 보호 조직의 구성·운영이 미흡했고, 최초 유출통지 이후 조사 과정에서 유출 대상자 1599명이 추가 확인됐지만 정당한 사유 없이 72시간을 경과해 유출 통지한 사실도 확인됐다. 이에 개인정보위는 GS리테일에 과징금 128억 3600만원과 과태료 300만원을 부과하고 사업자 홈페이지에 처분받은 사실을 공표하도록 명령했다. 개인정보위는 유사 사고 재발을 막기 위해 서비스 접속량·패턴을 분석해 비정상 접속을 식별할 수 있는 보안정책을 적용하는 등 재발방지 대책을 수립·시행하고 개인정보 보호 전담 인력 배치 및 CPO 권한과 책임 명확화 등 거버넌스 체계 전반을 점검·개선해야 한다고 제언했다. 이날 회의에서는 엔라이즈와 SK텔레콤, 에이토즈 등에 대한 과징금·과태료 부과도 의결됐다. 신원 미상의 해커는 엔라이즈가 운영하는 데이팅 앱 서비스의 본인인증 취약점을 이용해 지난 2023년 3월 23일부터 27일까지 1만 6803개의 휴대전화번호로 로그인을 시도해 736개 계정의 개인정보를 유출했다. 유출된 개인정보는 ▲닉네임 ▲성별 ▲프로필 사진 ▲생년월일 ▲성격 ▲학력 ▲직업 ▲키 ▲혈액형 등이다. 엔라이즈는 앱 내 존재하는 본인인증 취약점에 대한 점검·조치를 소홀히 하고 동일 IP에서의 과다 접속에 대한 차단 정책을 설정하지 않는 등 안정성 확보 조치 의무를 위반했다. 이에 개인정보위는 엔라이즈에 과징금 1억 1844만원, 과태료 360만원을 부과했다. SK텔레콤은 과태료 360만원과 시정명령을, 에이토즈는 경고 조치가 내려졌다. 에이토즈는 SK텔레콤으로부터 '이프랜드' 서비스의 이벤트 진행을 위탁받아 이벤트용 웹사이트를 제작·운영하는 과정에서 2022년 11월 21일부터 2023년 1월 3일까지 관리자 페이지가 검색엔진에 노출돼 1140명의 개인정보(이름, 휴대전화번호)가 유출됐다. 조사 결과 에이토즈는 관리자 페이지에 대한 IP주소 제한 등 접근통제 조치를 하지 않았다. SK텔레콤은 24시간을 경과해 개인정보 유출통지·신고한 사실이 확인됐다.

2026.08.31 11:00김민아 기자

4회 개인정보보호 모의재판 경연...서울대 '개보박두'·고대 '정법사' 대상 영예

개인정보보호위원회(개인정보위)가 27일서울시립대학교 모의법정에서 '제4회 개인정보보호 모의재판 경연대회'를 개최했다 치열한 경연 끝에 법학전문대학원생 부문 대상 영광은 '개보박두(서울대)'팀에게 돌아갔다. '로스쿨고행길(연세대, 부산대)'팀이 최우수상을 받았다. 대학(원)생 부문에서는 '정법사(고려대)'팀이 영예의 대상을, '라바(LAVA)(건국대, 한양대, 성균관대)'팀이 최우수상을 각각 차지했다. 최우수발표자상은 박지연 씨(개보박두/서울대 법학전문대학원 1학년), 정현우 씨(정법사/고려대 2학년)에게 돌아갔다. 개인정보위는 개인정보 관련 법률적·기술적 지식을 두루 갖춘 청년 인재를 발굴하고 개인정보 현안에 대한 사회적 관심을 높이기 위해 2023년부터 매년 경연대회를 개최하고 있다. 올해 경연대회는 '인공지능 시대의 개인정보 보호와 활용'을 주제로 열렸다. 인공지능 학습 및 개발과정에서 에이전틱 인공지능에 의한 자율 처리에서의 책임 귀속, 인공지능이 추론·생성한 허위 민감정보의 개인정보 해당 여부, 서비스 개선 과정에서의 개인정보의 국외 이전 등의 다양한 개인정보 관련 이슈가 논의됐다. 이번 대회는 총 54개 팀(법학전문대학원생 부문 24개 팀, 대학(원)생 부문 30개 팀)이 지원해 예선을 거쳤다. 부문별 4개팀이 본선에 진출했다. 본선 진출팀은 경연에 앞서 국내 기업의 인공지능 전문가들과 국내 대형 법무법인 변호사들의 도움을 받아 변론 내용의 완성도를 높였다. 기업 자문은 삼성전자, LG전자, 카카오, 비바리퍼블리카(토스), 현대자동차가 법무법인 자문은 김앤장 법률사무소, 법무법인(유) 세종, 법무법인(유) 태평양, 법무법인(유) 광장, 법무법인(유) 화우가 했다. 본선 경연은 김진환(법률사무소 웨일앤썬 대표) 개인정보보호위원회 위원이 재판장 역할을 맡아 진행했다. 학계·법조계로 구성한 전문심사위원단과 지난해 제3회 모의재판 경연대회에서 수상한 학생들로 구성한 배심원들의 평가를 종합해 최종 수상팀을 선정했다. 송경희 개인정보위 위원장은 “생성형 인공지능 시대를 지나, 에이전틱 인공지능, 피지컬 인공지능 등으로 발전하는 거대한 기술적 전환기를 지나며 개인정보의 안전한 이용에 대한 사회적 요구가 더욱 강해질 것”이라며 “경연대회 기간 중 치열하게 고민하고 토론한 경험을 통해 참가자들이 인공지능 시대 개인정보 활용과 보호를 이끌어 갈 주역으로 성장할 것으로 기대한다"며 참가자들을 격려했다.

2026.08.28 12:00방은주 기자

"개인정보보호, 규제 대응 넘어 경영 전략으로"…이상헌 교수 신간 출간

출판사 박영사가 개인정보보호를 단순한 법률 준수를 넘어 기업의 전략과 리스크 관리, 조직 신뢰를 좌우하는 경영의제로 재구성한 실전 전략서 '개인정보보호는 경영이다'(저자 이상헌, 2만 3000원)를 출간했다. 인공지능(AI)과 데이터가 기업 경쟁력의 핵심이 된 지금, 개인정보 유출 사고는 특정 기업만의 예외적 사건이 아닌 일상의 경영 리스크가 됐다. 그러나 많은 조직에서는 여전히 법무·사업·IT 부서가 서로 다른 목표와 언어로 움직이며 개인정보보호를 '규제 기관의 제재를 피하는 일'로만 취급하고 있다. 이 책은 “이것이 법에 맞습니까?”라는 과거의 질문에서 벗어나 “어떻게 하면 법도 지키면서 사업도 할 수 있을까?”라는 질문에 답한다. 개인정보보호의 책임을 CEO와 경영진의 전략적 의사결정 영역으로 끌어올린다. 개인정보보호는 경영이다 책의 가장 큰 특징은 30년 동안 데이콤, LG전자, SK텔레콤 등 ICT 현장을 거친 전직 임원이이자 현 고려대학교 정보보호대학원 산학협력교수인 저자의 경험에 SK그룹의 '일처리 방법론'을 접목했다는 점이다. ▲상황파악 ▲KFS(핵심성공요인) 도출 ▲목표수준 설정 ▲문제점 및 장애요인 도출 ▲실행계획 수립으로 이어지는 5단계 방법론을 바탕으로 법률·기술·사업·조직이 얽힌 문제를 구조적으로 해결한다. 각 단계에는 PESTEL, SWOT, SMART, 5Whys, Fishbone, WBS, KPI 등 경영 분석 도구가 결합돼 독자가 PESTEL 분석표, 액션 플랜, 협상 준비안 등 실제 실무 산출물을 직접 작성해 볼 수 있도록 돕는다. 또 BATNA, WATNA, ZOPA 등 하버드 협상법을 활용해 경영진, IT, 법무, 사업부서 간의 이해관계를 설득하고 합의를 이끌어내는 윈-윈 해법을 제시한다. 책 내부에는 AI 챗봇 도입, GDPR 대응, 위치정보 갈등, 고객데이터 접근권한 관리 등 다양한 현장 사례가 수록돼 있어 C레벨 경영진부터 개인정보보호 실무자, IT·마케팅 담당자에게 실질적인 지침을 제공한다. 저자 이상헌 교수는 “법은 강해졌고 기술과 투자는 늘었음에도 사고가 반복되는 이유는 개인정보보호를 단순한 기술이나 규제의 문제로만 다루기 때문”이라며 “AI와 데이터경제 시대에 개인정보보호는 기술이나 법 그 자체가 아니라, 이를 조직 안에서 실제로 움직이게 만드는 '실행되는 경영 전략'”이라고 말했다. 이어 “지금 기업에 필요한 것은 더 강한 채찍이 아니라 제대로 일하는 방향과 방법론”이라면서 “개인정보보호 담당자가 조직의 '브레이크'가 아닌 사업을 안전하게 추진하는 전략적 파트너가 되고, 경영진이 이를 규제 대응 비용이 아닌 기업의 지속가능성과 신뢰를 만드는 경영 활동으로 받아들여야 한다”고 강조했다. 아울러 “개인정보보호를 단순한 '법 준수'에서 '전략적 업무', 그리고 마침내 '경영'으로 전환하는 것이 이 책이 제안하는 새로운 문법”이라고 설명했다.

2026.08.26 17:40백봉삼 기자

"GA 보안 역량 강화"…'보험사-GA 정보보안 협의체' 발족

금융보안원이 보험업계와 정보보호 및 내부통제 역량 강화를 위해 힘을 합친다. 금융보안원은 지난 25일 금융감독원, 보험회사, 법인보험대리점(GA), 보험·GA협회 임직원 약 50명이 참석한 가운데 '보험사-GA 정보보안 협의체'를 여의도에서 발족했다고 밝혔다. 최근 미토스 등 공성능 AI를 통한 사이버 침해 위협이 고도화되는 반면 개인(신용) 정보가 고집적된 GA의 경우는 대형화·집중화되며 정보보호의 중요성은 더욱 커지는 추세다. 특히 상대적으로 보안이 취약한 제3자를 우회해 금융회사로 침투하는 공격도 늘어나는 추세로, 보험사와 GA를 아우르는 사이버 위협은 더욱 커지는 모양새다. 이에 협의체는 GA의 정보보안 수준을 높이고 제3자를 통해 금융권 중심으로 전이될 수 있는 보안 리스크를 선제적으로 협력해 예방·대응하겠다는 목표다. 금융보안원의 사원사로 가입한 GA에 대해서는 보안관제, 침해사고 예방 및 대응, 취약점 분석 및 평가, 모의해킹 등 서비스를 지원한다. 이날 협의체에서는 ▲협의체 발족 취지와 목표 ▲협의체 구성과 운영 방향 ▲기관별 역할 ▲핵심 추진 과제 등을 논의했다. 향후에도 금융보안원은 협의체를 중심으로 현장 밀착형 보안을 지원한다는 계획이다. 핵심 추진 과제로는 ▲GA 특화 보안 점검 기준 마련 ▲GA 대상 보안 컨설팅 ▲GA 현장점검 확대 ▲GA 최소 보안 기준 마련 ▲보안 미흡 사항 개선 강화 ▲보험 모집인 맞춤형 보안 교육 ▲모범사례 발굴 및 확산 등을 선정했다. 박상원 금융보안원장은 "해킹뿐 아니라 내부통제 미흡으로 인한 정보 유출 등 개인(신용)정보 관련 제3자의 보안 사고가 금융회사의 중요한 보안 리스크로 이어졌다"며 "보험-GA 정보보안 협의체를 통해 보험 회사의 관리가 자칫 소홀할 수 있는 제3자 업무 영역까지 금융권의 보안 강화를 체계적이고 종합적으로 지속 지원해 나갈 것"이라고 밝혔다.

2026.08.26 13:06김기찬 기자

카카오, '프라이버시 컨퍼런스' 진행

카카오는 기존 그룹사간 정기적으로 개최해오던 개인정보보호 모임을 발전시켜 컨퍼런스 형태로 확대한 '제1회 카카오그룹 프라이버시 컨퍼런스'를 진행했다고 20일 밝혔다. 카카오는 개인정보 보호가 서비스의 본질적인 신뢰와 직결된다는 판단 아래 프라이버시 인식 제고와 실무 노하우 공유를 위해 이번 자리를 마련했다. 이날 행사에는 양청삼 개인정보보호위원회 사무처장이 참석해 카카오그룹의 개인정보 보호 노력을 격려하고, AI 시대 혁신을 위해 철저한 개인정보 보호와 관리가 중요하다고 강조했다. 이후 'AI시대 프라이버시'를 주제로 카카오의 키노트가 진행됐고, 이어 ▲카카오 ▲카카오뱅크 ▲카카오모빌리티 ▲카카오엔터테인먼트 ▲카카오페이 ▲카카오엔터프라이즈 ▲카카오스타일 등의 개인정보보호책임자가 함께 '카카오그룹 프라이버시 공동 선언'을 발표했다. 이번 선언에는 ▲이용자 주권 ▲프라이버시 중심 서비스 ▲프라이버시 문화 등 3대 핵심 가치가 포함됐다. 서비스 기획부터 파기까지 전 과정에 안전 조치를 기본으로 적용하고 모든 임직원이 일상 업무 속에서 자연스럽게 프라이버시를 실천하는 문화를 정착시켜 나갈 방침이다. 이후 각 사의 개인정보보호 정책 및 실행 방안 발표가 진행됐다. 카카오는 AI시대 '카나나 인 카카오톡'의 프라이버시 정책 방향성을 설명했으며, 카카오뱅크는 은행의 개인정보 보호 업무를 소개했다. 카카오엔터테인먼트는 현재 실행 중인 개인정보 처리방침 평가제도에 대한 고찰과 운영 노하우를 공유했다. 최근 산업계 화두인 AI 및 규제 환경 변화에 맞춘 외부 전문가 세션도 함께 마련됐다. 최경진 가천대학교 법과대학 교수는 'AX 시대 바람직한 개인정보보호체계의 방향'을 주제로 강연했으며, 고환경 법무법인 광장 변호사는 '개정 개인정보 보호법 및 정보통신망법에 따른 컴플라이언스 대응 전략'을 설명하며 참석자들과 인사이트를 나눴다. 마지막 순서로 진행된 패널 토크에서는 각 사 실무자 및 보안 담당자들이 참여해 ▲메신저 ▲금융 ▲콘텐츠 ▲모빌리티 등 다양한 서비스 영역에서 발생하는 프라이버시 이슈 대응 경험을 공유했다. 참석자들은 현장 질의응답을 통해 실천 가능한 개인정보보호 문화 정착 방안에 대해 활발한 논의를 이어갔다. 김연지 카카오 개인정보 성과리더는 "카카오라는 하나의 울타리 안에서 우리가 공유하는 프라이버시 철학이 무엇인지 명확히 하고자 이번 컨퍼런스를 준비했다"며 "개인정보 보호를 단순한 법적 규제 준수로 보지 않고, 임직원 인식 강화와 공동체 간 지속적인 협업을 통해 일상에서 함께 실천해 나가겠다"고 말했다.

2026.08.20 11:17박서린 기자

Prev 1 2 3 4 5 6 7 8 9 Next