검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'데이터 보호'통합검색 결과 입니다. (27건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

명품 브랜드 SaaS 해킹 사태, 남일 아니다…클라우드 통제권 부각

루이비통·디올·티파니 등 글로벌 명품 브랜드 3곳이 서비스형 소프트웨어(SaaS) 기반 고객관리 시스템 운영 과정에서 대규모 개인정보 유출 사고를 겪은 가운데, 기업 클라우드 통제권이 산업 전반의 화두로 떠오르고 있다. 19일 업계에 따르면 이번 사태는 단순한 보안 취약점 문제를 넘어 SaaS 중심 클라우드 구조 속에서 기업 데이터 통제권의 중요성을 드러낸 사례로 평가된다. 개인정보보호위원회(개인정보위)는 지난 11일 전체회의를 열고 개인정보보호법을 위반한 루이비통코리아, 크리스챤디올꾸뛰르코리아, 티파니코리아 등 3개 사업자에 총 360억 3300만원의 과징금과 1080만원의 과태료를 부과했다. 이들 기업은 SaaS 기반 고객관리 서비스를 운영하는 과정에서 개인정보 유출 사고가 발생했다. 루이비통은 직원 기기 악성코드 감염으로 SaaS 계정 정보가 탈취되며 약 360만 명의 개인정보가 세 차례에 걸쳐 유출됐다. 디올과 티파니 역시 SaaS 접근 권한 관리 과정에서 허점이 드러나 각각 195만 명, 4600여 명의 정보가 외부로 빠져나갔다. 표면상으론 해킹이나 피싱, 내부 관리 부실이 주요 문제로 지적되지만 업계에서는 이를 SaaS 기반 클라우드 운영 구조의 한계를 보여준 사례로 보고 있다. 고객 데이터는 기업 소유이나 실제 시스템 운영과 접근 권한 설정은 외부 SaaS 플랫폼 구조에 의존하는 만큼 통제 경계가 복잡해졌다는 분석이다. SaaS는 자체 서버에 소프트웨어(SW)를 설치하는 대신 인터넷을 통해 클라우드 형태로 제공받는 방식이다. 초기 구축 비용을 줄이고 유지관리 효율성을 높일 수 있어 많은 기업이 글로벌 SaaS를 도입하고 있지만, 데이터·계정·접근 권한 관리 역시 서비스 구조에 종속되는 특징을 갖는다. 특히 SaaS 환경에서는 '책임 공유 모델'의 경계가 모호해질 수 있다는 지적이 나온다. 인프라형 클라우드(IaaS)는 인프라를 제공하는 클라우드 서비스 기업(CSP)과 고객의 책임 구분이 비교적 명확하다. 반면 SaaS는 애플리케이션 보안 설정, 접근 통제, 로그 관리 등이 계약 조건과 사업자 정책에 따라 달라진다. 결과적으로 기업은 데이터를 보유하면서도 세부 운영 통제 범위는 제한될 수 있다는 의미다. 이 같은 문제는 SaaS 확산 흐름과도 맞닿아 있다. 시장조사업체 아스튜트 애널리티카에 따르면 기업들은 평균 110개 이상의 SaaS 애플리케이션을 사용하는 것으로 나타났다. SaaS가 늘어날수록 비용 중복, 가시성 부족, 거버넌스 리스크 역시 확대되는 구조다. 여러 SaaS에 데이터가 분산되면 기업 내부에서 전체 데이터 흐름과 접근 권한을 통합적으로 파악하기도 쉽지 않다. 국내 기업들도 고객관계관리(CRM)·협업툴·HR·마케팅 자동화 등 핵심 업무를 글로벌 SaaS에 의존하는 비중이 빠르게 확대되고 있다. 특히 멀티 SaaS 환경이 일반화되면서 기업 내부에서 데이터 흐름과 접근 권한을 통합적으로 관리하기 더 어려워지고 있다는 지적이 나온다. 해외 업계에서도 SaaS 확산에 따른 관리 난이도가 주요 과제로 지목된다. SaaS는 도입은 쉽지만 관리가 어렵고 누가 어떤 애플리케이션에 접근하고 있는지 지속적으로 관리하는 것은 쉽지 않다는 분석이다. 가시성이 확보되지 않으면 비용 통제뿐 아니라 데이터 거버넌스 측면에서도 공백이 생길 수 있다는 우려가 제기된다. 이번 제재 과정에서 개인정보위는 SaaS를 도입하더라도 개인정보 보호 책임이 면제되거나 전가되지 않는다고 강조했다. 규제 관점에서 결과 책임은 기업에 있다는 점을 재확인했다. 다만 업계에서는 실제 운영 통제 범위와 법적 책임 범위 사이의 괴리를 줄이기 위한 계약·관리 체계 보완이 필요하다는 의견도 나온다. ▲접근 로그의 실시간 확보 및 보존 범위 ▲데이터 저장 리전과 이전 가능성 ▲재위탁 사업자 운영 구조 ▲대량 다운로드 제한 정책 ▲사고 발생 시 통지 의무와 범위 등을 계약 단계에서 명확히 규정해 구체적인 통제 환경을 갖춰야 한다는 설명이다. 공공·금융 등의 시장에서도 인공지능(AI)과 클라우드 기반 서비스가 빠르게 확산되는 상황에서 SaaS 의존도는 더욱 높아질 전망이다. 마케팅, 고객관리, 협업, 인사관리 등 핵심 업무가 클라우드 플랫폼 위에서 구동되면서 기업은 점점 더 클라우드 구조 안에서 사업을 운영하게 된다. 이 과정에서 보안 강화 못지않게 데이터 접근 구조, 로그 확보 권한, 벤더 관리 체계 등 통제 가능한 거버넌스 설계가 중요해질 것으로 보인다. 업계 관계자는 "단순히 클라우드 서비스를 쓰는 것이 능사가 아니라 얼마나 통제 가능한 구조를 설계했느냐가 관건"이라며 "AI와 SaaS가 확산되는 상황에서 보안 솔루션을 덧붙이는 방식에 앞서 기업 스스로 데이터 흐름과 책임 구조를 처음부터 설계하는 접근이 필요하다"고 말했다.

2026.02.19 15:06한정호 기자

SAP 데이터 비식별화 수요 급증…에피유즈랩스 '데이터 프라이버시 스위트' 주목

기업 데이터 활용이 인공지능(AI)·분석·자동화 영역으로 빠르게 확장되면서 SAP 시스템에 저장된 민감 데이터를 안전하게 보호하면서도 실무에 활용할 수 있는 데이터 비식별화 기술 수요가 커지고 있다. 에피유즈랩스는 SAP 환경에 최적화한 프라이버시 및 데이터 비식별화 솔루션인 'Data Privacy Suite'를 통해 운영·비운영 시스템 전반에서 글로벌 개인정보보호 규제 준수와 데이터 활용을 지원한다고 16일 밝혔다. SAP 시스템은 재무·인사·급여·고객·자재·거래 정보 등 기업 핵심 데이터가 집약된 플랫폼으로, 민감 정보가 대규모로 축적돼있다. 동시에 AI 학습, 데이터 분석, 테스트·개발 환경, 외부 협력사와의 공동 프로젝트 등 SAP 데이터를 활용해야 하는 요구도 지속 확대되는 추세다. 다만 SAP 데이터는 구조적 복잡성이 높아 단순 마스킹이나 필드 치환 방식만으로는 데이터 정합성이 훼손돼 테스트나 분석 환경에서 활용이 어려워질 수 있다. 이에 SAP 데이터 구조와 비즈니스 로직을 이해한 전문적인 비식별화 접근이 필요하다는 인식이 확산되고 있다. 에피유즈랩스가 제공하는 Data Privacy Suite는 SAP 환경에 특화된 프라이버시 및 데이터 비식별화 솔루션으로, 유럽연합(EU) 개인정보보호법 GDPR과 국내 개인정보보호법 등 글로벌 규제 대응을 지원하도록 설계됐다. 비운영 시스템에서는 SAP 테이블 구조와 비즈니스 로직을 고려한 정교한 비식별화·익명화 처리를 통해 데이터 프라이버시 위험 없이 정확한 테스트 수행을 지원한다. 인사·급여·재무 등 민감 영역에 대한 필드 단위 마스킹과 규칙 기반 처리, 운영 시스템에서 비운영 시스템으로 데이터 복제 시 전송 과정에서 개인정보를 스크램블링하는 보호 기능도 제공한다. 또 AI 및 분석 활용을 위해 식별 정보는 제거하면서 데이터 활용성은 유지할 수 있도록 한다. 운영 시스템에서는 SAP 환경 전반을 즉시 검색해 특정 주체의 데이터 흔적을 식별·조회·제공할 수 있도록 지원하며 참조 무결성을 유지하면서 필드 데이터를 신속하고 안전하게 삭제하는 기능도 제공한다. 삭제 대상 데이터 주체를 유연한 규칙 기반으로 사전에 식별하는 기능도 포함된다. 에피유즈랩스는 글로벌 시장에서 SAP 데이터 비식별화 전략이 규제 대응을 넘어 데이터 활용 기반으로 확장되고 있다고 강조했다. 실제 영국 통신사 BT는 대규모 SAP 테스트 데이터 관리 과제에 대응하기 위해 에피유즈랩스의 Data Sync Manager Suite를 도입, 운영 데이터 중 필요한 데이터만 선별 복제하고 민감 정보에 데이터 스크램블링을 적용해 GDPR 준수와 함께 테스트 데이터 정확성을 높였다. 기존 한 달이 걸리던 SAP 데이터 리프레시 작업을 최대 72시간 내로 단축하며 효율성과 통제 수준을 개선했다. 네덜란드 금융기관 라보뱅크는 은행 당국(DNB) 규제에 따라 운영 환경 외 모든 SAP 데이터를 스크램블링해야 하는 요구에 직면해 Data Sync Manager를 도입했다. 이를 통해 클라이언트 리프레시 자동화와 비운영 환경 SAP 데이터 스크램블링을 구현했으며 운영 문서를 94페이지에서 4페이지로 축소하고 디스크 공간 5TB 절감, 데이터 리프레시 시간 10시간 단축 성과를 거뒀다. 이 밖에도 네슬레는 GDPR 시행 이후 유럽 내 SAP 시스템에 저장된 인사·고객 데이터를 안전하게 활용하기 위해 Data Privacy Suite를 도입해 개인정보 비식별화·가명 처리를 적용하고 규제 요건을 충족하면서도 테스트·분석 환경에서 SAP 데이터를 지속 활용할 수 있는 체계를 마련했다. 쉘은 비운영 시스템 데이터를 스크램블링하는 방식으로 공급업체·비즈니스 파트너·직원 데이터를 비식별화해 민감 정보 노출 없이 SAP 테스트 및 시스템 최적화를 수행했다. 기존 6주 소요되던 데이터 스크램블링 작업을 전체 리프레시와 결합해 5일 만에 완료했다. 프랑스 에너지 기업 엔지는 80TB 규모 SAP 시스템 내 개인정보를 식별·분석한 뒤 운영 데이터는 제거하고 비운영 데이터는 비식별화하는 전략을 수립해 Data Privacy Suite를 도입했다. 이를 통해 개인정보 감독기구(CNIL) 재감사를 안정적으로 통과했다. 이같은 사례는 SAP 데이터 비식별화가 단순 보안 조치를 넘어 기업·공공기관의 데이터 활용 전략을 뒷받침하는 핵심 기반으로 진화하고 있음을 보여준다. 에피유즈랩스는 SAP S/4HANA 전환, 클라우드 이전, AI 기반 데이터 분석·자동화, 외부 파트너와의 공동 프로젝트 등에서 보호되지 않은 SAP 데이터는 자산이 아닌 사업 리스크가 될 수 있다는 점도 지적했다. 이런 과제를 데이터 프라이버시 스위트를 앞세워 해결해 나간다는 목표다. 에피유즈랩스 제임스 왓슨 데이터 프라이버시·보안 글로벌 총괄은 "SAP 데이터는 기업과 공공기관의 가장 중요한 자산이지만, 동시에 가장 엄격한 규제를 받는 정보이기도 하다"며 "Data Privacy Suite는 글로벌 기업과 공공기관의 실제 적용 사례를 통해 검증된 솔루션으로, 데이터를 단순히 숨기는 것이 아니라 안전하고 책임감 있게 활용할 수 있도록 지원할 것"이라고 밝혔다.

2026.01.16 16:59한정호 기자

앤트로픽, 클로드에 '헬스케어 전용 서비스' 출시

인공지능(AI) 스타트업 앤트로픽이 수익성 높은 헬스케어 시장 공략을 위해 환자와 의료진이 자사 AI 챗봇을 통해 의료 정보를 쉽게 활용할 수 있도록 하는 기능을 선보였다. 11일(현지시간) 블룸버그 등 외신에 따르면 앤트로픽은 자사 AI 제품 클로드에 미국 의료정보보호법(HIPAA)을 준수하는 새로운 헬스케어 전용 서비스를 출시한다고 밝혔다. 이 서비스는 병원과 의료기관, 일반 소비자가 보호 대상 건강 정보를 다루는 데 활용할 수 있다. 또한 앤트로픽은 과학 데이터베이스를 제품에 통합하고, 생물학 연구를 위한 고도화된 기능도 추가했다. 소비자 측면에서는 사용자가 애플 헬스와 펑션 헬스 등 앱에 저장된 건강 데이터를 내보낼 수 있도록 허용해 의료 기록을 모아 의료진과 더 쉽게 공유할 수 있도록 했다. 앤트로픽은 경쟁사 오픈AI가 의료진을 위한 임상 사례 분석 도구와 일반 사용자가 검사 결과·식단·운동 기록을 검토할 수 있는 기능을 공개한 지 며칠 만에 이번 기능을 발표했다. 마이크 크리거 앤트로픽 최고제품책임자(CPO)는 “AI가 가장 큰 영향을 미칠 수 있는 영역을 경제 전반에서 살펴보면 규제와 데이터 측면에서 올바른 조치가 이뤄질 경우 헬스케어는 매우 적합한 분야”라며 “(이번 도구들이) 사용자가 자신의 데이터를 더 잘 이해하고 의료진과의 대화를 통해 더 많은 지식을 얻을 수 있도록 돕는데 초점이 맞춰져 있다”고 설명했다. 2021년 설립된 앤트로픽은 엔지니어들 사이에서 인기를 끄는데 더해 생물물리학 전공 다리오 아모데이 최고경영자(CEO)의 경력을 바탕으로 의료 분야에서도 초기 성과를 내기 시작했다. 회사에 따르면 미국 최대 비영리 의료 시스템 중 하나인 배너 헬스에서는 2만2천명 이상의 임상의가 클로드를 사용하고 있으며 이 중 85%가 업무 속도와 정확성이 향상됐다고 응답했다. 이외에도 노보 노디스크, 스탠퍼드 헬스케어 등과 협업하고 있다. 다만, 앤트로픽은 오픈AI 뿐만 아니라 기존 대형 IT 기업과 신생 스타트업들의 치열한 경쟁에 직면해 있다. 이들은 AI를 활용해 신약 개발, 의료 문서 자동화, 환자 기록 분석 등에 도전하고 있다. 아울러, 민감한 개인정보를 다루고 고위험 의료 판단을 보조하는 과정에서 프라이버시와 안정성에 대한 새로운 위험도 제기되고 있다. 앤트로픽은 “의료 관련 답변은 펍메드, 미국 의료 제공자 식별자(NPI) 등록부 등 신뢰할 수 있는 출처를 인용해 제공된다”며, 이를 통해 의료진이 결과를 신뢰할 수 있도록 하겠다고 설명했다. 이어 “의료 사용자 데이터를 모델 학습에 사용하지 않겠다”고 덧붙였다.

2026.01.12 12:33박서린 기자

금보원 "데이터 규모 늘어 보안 위험↑…PET 활용해야"

금융보안원은 개인정보 보호 강화 기술(PET)의 특성과 금융권 적용 분야 분석, 개선 과제 등을 체계적으로 정리한 연구보고서를 공개했다고 24일 밝혔다. 최근 데이터 규모가 늘어남에 따라 개인정보 유출 등 보안 위험이 커지는 만큼 안전한 데이터 활용을 위해서다. PET는 개인정보 원본을 공개하지 않은 상태에서 개인정보를 활용해 계산·분석 등 정보 처리를 하는 기술로, 데이터 활용화 프라이버시 보호의 균형을 달성할 기술로 알려져 있다. 예를 들어 합성데이터, 차분프라이버시, 동형암호, 영지식 증명 등이 PET에 해당한다. 구체적으로 재식별 위험을 완화하기 위해 개인 식별성 축소, 은닉, 데이터 분할 등의 방식으로 PET를 도입해 침해 위험을 낮추고 안전한 데이터 활용이 가능하다. 금융보안원이 발간한 보고서에 따르면 PET 기술 성숙도는 최근 높아지면서 전 세계적으로 의료, 제조 등 개인정보를 취급하는 모든 데이터 공유 환경에서 활용되고 있다. 특히 금융업의 경우 특성상 다량의 개인(신용)정보를 취급하고 있는 만큼 이상 거래 탐지(FDS) 등 목적으로 적극 활용하는 추세다. 그러나 보고서는 금융데이터 공유·활용 유형이 다양해지면서 상황별로 요구하는 보호 수준이 달라지고 있어 공유·활용 방식에 따라 적절한 PET 기술이 필요하다고 제언했다. 적절한 PET 기술을 적용함으로써 데이터 과보호 또는 과소 보호를 줄이고, 도입 이후에도 발생할 수 있는 재식별 위험을 지속적으로 점검해야 한다는 것이다. 또 법적 준거성과 검증 가능성을 확인할 수 있는 표준화된 관리 절차를 확보하는 데 활용돼야 한다고 보고서는 강조했다. 아울러 보고서는 금융권의 효과적인 PET 도입을 위해 ▲기술 표준화 등 기술 활성을 위한 생태계 조성 ▲PET 친화적인 규제 수립 ▲금융권 공통 검증 지표 정립을 통해 실증 연구 및 활용 기반 마련이 필요하다고 주문했다. 이에 금융보안원은 PET 도입의 일환으로 금융권 합성데이터 상용화를 위해 합성데이터 익명성 평가 방안을 마련하고 있다. 또 은행권 공동 FDS 모델 구축을 목적으로 연합학습 및 차분프라이버시를 활용해 각 금융사가 보유한 정보를 공개 없이 이용 가능하도록 추진 중이다. 향후에도 금융보안원은 개인(신용)정보보호 및 데이터 보호 업무를 기반으로 PET 활용을 위한 실증 연구를 단계적으로 진행하고, 제도·기술적으로 지원할 계획이다. 박상원 금융보안원장은 "인공지능(AI) 활용이 본격화되는 금융환경에서 데이터 활용 과정에서도 프라이버시 침해를 최소화할 수 있는 PET의 중요성이 한층 커질 것"이라며 "금융보안원은 PET의 실무 적용을 통해 금융권의 신뢰 기반의 데이터 공유 환경을 구축할 수 있도록 적극 지원하겠다"고 밝혔다.

2025.11.24 09:54김기찬 기자

파수, 말레이시아 보안 전시회서 보안 전략 총망라

파수(대표 조규곤)가 말레이시아에서 개최된 사이버 보안 전시회에 참가해 데이터 중심 보안 전략을 전파하고, 동남아시아 시장을 본격 공략한다. 파수는 지난달 30일부터 이달 2일까지 말레이시아 쿠알라룸프르에서 개최되는 사이버 보안 전시회 'CyberDSA 2025'에 참가해 동남아시아 정부 기관 및 기업, 학계 전문가들이 함께 최신 보안 동향과 기술, 전략을 공유했다고 2일 밝혔다. 이번 전시회에서 파수는 데이터 유출과 랜섬웨어 공격에 대비해 중요 파일을 지속적으로 보호하고 비즈니스 연속성을 확보할 수 있는 방안으로 부상한 데이터 보안 솔루션 '파수 엔터프라이즈 디알엠(FED)'과 데이터 백업 솔루션 'FC-BR'에 대해 소개했다. 아울러 말레이시아의 개인정보보호법인 PDPA(Personal Data Protection Act)에 대응하기 위한 방안으로 멀티클라우드 데이터 보안 태세 관리 솔루션 '파수 DSPM'을 선보였다. FED는 문서가 로컬과 클라우드 환경 어디에서도 철저한 보호와 일원화된 정책 관리가 가능한 '하이퍼 DRM'으로 알려졌다. 파일의 생성부터 폐기까지 모든 과정에서 지속적인 암호화를 유지하고 권한에 따라 열람, 편집, 인쇄 등을 제한하고 모든 과정을 추적·관리할 수 있는 솔루션이다. FC-BR은 랜섬웨어의 공격이나 재해 발생에 대비하기 위한 필수 문서 보호 솔루션으로 부상했다. 문서 보호 솔루션과 연동해 데이터 유실에 효율적으로 대비할 수 있는 파일 중심의 백업 솔루션이다. 필요 문서만 실시간으로 자동 백업하고, 원클릭으로 간단하게 복구가 가능한 것이 장점이다. Fasoo DSPM은 멀티·하이브리드 클라우드 등에 흩어진 민감 데이터를 효율적으로 관리하기 위한 필수 솔루션이다. 클라우드에 산재된 데이터의 보안 현황을 한 눈에 파악하고, 관리되지 않는 다크·섀도우 데이터를 포함해 개인정보 등 민감 데이터를 자동 검출 및 분류한다. 글로벌사업을 총괄하는 손종곤 파수 상무는 “국제 정세의 변화에 따라 최근 동남아시아 시장의 중요성이 떠오르면서 디지털 혁신과 보안 수요도 크게 증가하고 있다”며 “파수는 개인정보보호법 개정안이 시행되는 말레이시아의 사례와 같이 국가별로 가장 필요로 하는 보안 역량으로 맞춤 공략해 시장 영향력을 확대해 나갈 것” 이라고 말했다.

2025.10.02 10:18김기찬 기자

"전세사기 막고 소상공인 대출 연다"…가명정보의 '무한 변신'

정부가 민간과 손잡고 가명정보를 활용해 사회 난제 해결에 착수했다. 과학기술정보통신부는 30일 서울 더플라자호텔에서 '2025 가명정보 활용 경진대회' 시상식을 개최했다. 개인정보보호위원회, 보건복지부, 금융위원회와 함께 연 이번 대회는 가명정보 활용에 대한 인식을 높이고 새로운 가명처리 기술 발굴을 촉진하기 위해 마련됐다. 이번 대회에는 공공기관, 지자체, 기업, 학계 등 다양한 분야에서 총 78개팀이 참가했다. 치열한 경쟁 끝에 심사위원단의 평가를 거쳐 기술 부문 4개팀 활용 부문 20개팀 등 총 24개팀이 수상자로 선정됐다. 총상금 규모는 3천만원에 달한다. 기술 부문 대상은 중앙대학교 소속 '흑석동 물주먹팀'에게 돌아갔다. 이 팀은 의료 상담 음성 데이터 같은 비정형 데이터에서 특정 개인을 알아볼 수 있는 특이정보를 효과적으로 처리했다. 개인 식별 위험은 낮추면서 데이터의 유용성은 최대한 살리는 가명처리 기술로 높은 평가를 받았다. 활용 부문에서는 사회 문제를 해결한 5개팀이 대상의 영예를 안았다. '서울시 전세사기 예방팀'은 서울시의 전세사기 피해 정보와 코리아크레딧뷰로(KCB)의 임대인 신용정보를 결합했다. 이를 통해 머신러닝 기반의 전세사기 위험 예측 모형을 개발해 주목받았다. 서울시는 이 모형을 향후 '고위험 임대인 경고 시스템' 구축에 활용할 계획이다. '넥스트 카고팀'은 항만 컨테이너 정보와 화물차 고속도로 통행정보를 결합해 국가 물류 흐름을 분석했다. 개별적으로 관리되던 육상과 해상 물류 데이터를 유기적으로 연계해 컨테이너 화물차 안전사고 대응과 수출입 화물 통합 관리에 기여할 방침이다. '120다산콜재단 스마트전산부'는 연간 약 300만 건에 이르는 전화 민원 음성을 실시간 문자로 변환하고 이를 가명 처리해 인공지능(AI) 학습에 썼다. 그 결과 'AI 상담도우미'의 민원 유형 분류와 응대 매뉴얼 추천 기능이 고도화돼 서비스 품질 개선이 기대된다. 'NH농협은행 빅데이터사업팀'은 금융거래 정보와 NICE평가정보의 신용정보 LG유플러스의 통신정보를 융합했다. 세 가지 데이터를 분석해 경제적 취약성, 사회 단절성 등을 점수화하는 '시니어 고립 위험 탐지 모델'을 만들었다. 고립 위험이 높은 어르신을 선제적으로 찾아 복지정책을 지원하는 데 쓰일 예정이다. '켑코-케이비즈-케이씨비(KEPCO-KBIZ-KCB팀)'은 소상공인 전용 대안신용평가모형을 선보였다. 한국전력공사의 전기 이용 정보, 중소기업중앙회의 노란우산 공제기금 정보놔 코리아크레딧뷰로의 신용정보를 합쳤다. 금융 이력이 부족해 대출이 어려웠던 소상공인들에게 새로운 금융 기회를 제공할 것으로 전망된다. 배경훈 과학기술정보통신부 장관은 "AI의 핵심 연료인 양질의 데이터를 활용하기 위해선 가명처리 기술이 무엇보다 중요하다"며 "과기정통부는 AI 선도 부처로서 관련 핵심 기술들을 공유하고 함께 발전해 나갈 수 있도록 앞장서겠다"라고 밝혔다.

2025.09.30 16:49조이환 기자

"에이전틱 AI, 개인정보보호에 새 위협"

인공지능(AI) 핵심으로 떠오른 '에이전틱 AI'의 개인정보보호 문제가 서울 하얏트 호텔에서 열린 '47차 GPA(Global Privacy Assembly) 총회'에서 다뤄졌다. 우리나라를 비롯해 미국, 유럽연합(EU), 영국, 프랑스, 독일, 일본 등 95개국 148개 개인정보 감독기관이 참여한 '47차 GPA 서울 2025' 행사에서 17일 오전 9시 30분부터 1시간 동안 '에이전틱 AI와 개인정보보호'를 주제로 전문가들 패널 토의가 열렸다. 임용 서울대 교수가 좌장을 맡았고, 영국 개인정보보호 감독기관 ICO(Information Commissioner's Office)의 존 에드워드(John Edwards) 위원장을 비롯해, 줄스 폴리네스키 Future of Privacy Forum(FPF) 최고경영자(CEO)가 패널로 참석했다. 케이트 칼렛(Kate Charlet) 구글 프라이버시·안전·보안 디렉터와 김유철 LG AI연구원 전략실장도 함께 자리했다. 패널들은 에이전틱 AI가 개인정보에 어떤 영향을 미치는지, 새로운 위험이나 취약점을 무엇인지에 대해 논의하고, 어떻게 대응해야 하는지도 모색하는 시간을 가졌다. 이들은 에이전틱 AI에 대해 단순 생성형AI와 달리 스스로 계획·추론·실행하는 자율적 시스템을 기반으로 한 AI라고 정의하며, 목표 지향적이며 여러 도구와 시스템을 넘나들며 작동하고 있다고 설명했다. 줄스 폴리네스키 FPF CEO는 "현재 데이터 보호 체계가 여전히 예전 웹 사이트와 쿠키 동의, 약관 등에 맞춰져 있다"며 "에이전틱 AI는 이런 서비스를 넘나들며 데이터를 주고받고 전략을 실행하는데, 이런 모델에서는 목적 제한 원칙과 같은 기존 규범을 어떻게 적용할지가 핵심 과제"라고 짚었다. 에이전틱 AI가 사용되면서 편의성을 높아졌지만 데이터 보호 체계는 아직 과거 방식에 머물러 있기 때문에 새로운 위협이 될 수 있다는 것이다. 이에 에이전틱 AI의 선두 기업인 구글과 LG AI연구원 측은 자사 에이전틱 AI가 어떻게 개인정보를 보호하고 있는지 실제 적용 사례에 대해 소개했다. 특히 김유철 LG AI연구원 전략실장은 "에이전틱 AI는 자율적으로 모델을 발전시키고 계획을 세우며 목표를 위해 행동하는 AI 시스템"이라며 "LG AI연구원에서는 '넥서스(Nexus)'라는 프로젝트를 진행 중인데, AI 교환 과정에서 데이터를 스캔하고 저작권 문제를 탐지·중재하는 에이전트를 개발하고 있다"고 말했다.

2025.09.17 16:45김기찬 기자

마이데이터 두고 이커머스 업계 "심각한 부작용 초래" 우려

개인정보보호위원회가 본인전송요구권(마이데이터)을 전 산업으로 확대하는 시행령 개정을 추진하는 가운데, 이커머스 업계가 강력한 반대 입장을 내놨다. 한국온라인쇼핑협회는 “산업 현장의 우려가 제대로 반영되지 않은 채 졸속으로 추진되는 개정은 심각한 부작용을 초래할 것”이라며 제도 재검토를 요구했다. 협회는 21일 배포한 입장문에서 개인정보위가 “중소기업과 스타트업은 제외되고, 중견 이상 기업도 홈페이지 다운로드 기능만 추가하면 된다”며 비용이 크지 않다고 주장한 데 대해 “현실과 괴리돼 있다”고 지적했다. 협회는 실제로는 API 개발, 보안 강화, 인프라 구축 등 대규모 투자가 불가피하다며, 최근 중국발 C-커머스 공습과 SK텔레콤 개인정보 유출 사태로 경영 환경이 악화된 상황에서 이는 국내 기업들에 치명적인 부담이 될 수 있다고 강조했다. 업계는 이번 개정안이 불과 1년 전 규제개혁위원회가 유통 분야를 전송의무 대상에서 제외하기로 한 결정을 뒤집은 것이라고 반발했다. 협회는 “학계·시민사회·산업계가 모두 반대했던 기존 합의를 무시한 졸속 추진”이라며 정책 신뢰성을 문제 삼았다. 또한 개인정보위가 “영업비밀 유출 가능성은 거의 없다”고 선을 그은 데 대해서도 업계는 동의하지 않았다. 협회는 “기업이 다년간 투자해 구축한 영업기밀이나 공동계약 정보, 가족 구성원 데이터 등이 함께 저장된 경우 현실적으로 분리 전송이 불가능하다”며, 추상적인 예외 규정만으로는 권리 침해를 막을 수 없다고 주장했다. 특히 협회는 개인정보위가 개인정보관리 전문기관을 통한 대리 행사와 자동화 도구(스크래핑) 사용을 일부 허용한 점을 강하게 비판했다. 협회는 “이는 개인정보보호법 제29조의 안전성 확보 의무와 정면으로 충돌하며, 금융권에서도 이미 금지된 방식”이라며 “전문기관 남용, 불법 데이터 거래, 시스템 마비 등 역효과를 낳을 것”이라고 경고했다. 협회는 개인정보 자기결정권 강화라는 취지에는 공감하지만, 전 산업으로의 일괄 확대는 경쟁력 약화와 소비자 피해로 이어질 수 있다고 주장했다. 이에 따라 ▲개인정보 전문기관 대리 행사 제한, ▲공공성과 국민 편익이 명확한 분야부터 단계적 도입, ▲영업비밀 및 제3자 권리 보호 장치 강화, ▲스크래핑 전면 금지 등을 요구했다. 협회는 “정부가 약속한 '소통 지속'이 형식적 절차에 그치지 않고, 실제 제도 설계에 반영돼야 한다”며 “앞으로도 업계 목소리를 지속적으로 전달할 것”이라고 밝혔다. 한국온라인쇼핑협회는 국내 온라인쇼핑 관련 대표 기업들로 구성된 비영리 민간 경제 단체로서 이커머스 기업 주요 100여개 회원사와 온라인 영세소상공인 1천여개 회원사들이 가입돼 있다.

2025.08.21 11:36안희정 기자

개보위, 개인정보보호 모의재판 경연대회 개최

개인정보보호위원회(개보위)가 개인정보 관련 법률적·기술적 지식을 두루 갖춘 인재를 발굴하고자 '모의재판 경연대회'를 가졌다. 개보위는 지난 12일 한양대학교 모의법정에서 '제3회 개인정보보호 모의재판 경연대회'를 개최했다고 13일 밝혔다. 인재 발굴은 물론 개인정보 현안에 국민적 관심을 환기하기 위함이다. 2023년부터 매년 견연대회를 개최하고 있다. 올해 경연대회는 '인공지능(AI) 시대의 데이터 처리와 개인정보 안전조치'라는 주체로 개최됐다. 인공지능 학습 및 개발, 맞춤형 광고, 개인정보성 등의 다양한 개인정보 관련 이슈가 논의됐다. 또한 이번 대회는 법학전문대학원생 부문 19개 팀과 대학(원) 부문 29개 팀이 참가해 총 48개 팀이 경쟁했다. 본선에는 4팀이 진출했고, 본선 진출팀은 경연에 앞서 국내외 기업의 인공지능 전문가들과 국내 대형 법무법인 변호사들의 도움을 받아, 변론 내용의 완성도를 높였다. 본선 경연은 김종근 수원지방법원 부장판사가 재판장 역할을 맡아 진행됐다. 학계 및 법조계로 구성된 전문심사위원단과 지난해 제2회 모의재판 경연대회에서 수상한 학생들로 구성한 배심원들의 평가를 종합해 최종 수상팀을 선정했다. 법학전문대학원생 부문 대상의 영광은 '락키비키'팀이, 최우수상은 '개보린(이)'팀이 받았다. 대학(원)생 부문에서는 '드라코' 팀이 대상을 받았고, '익명보장' 팀이 최우수상을 차지했다. 올해 신설된 최우수발표자상은 이소정 씨(락키비키), 박은기 씨(드라코)가 수상했다. 개보위는 이번 경연대회와 관련해 “참가자들이 개인정보 보호 관련한 법률적 통찰력과 능력을 함양하는 데 크게 기여했을 뿐만 아니라, 방청객들에게도 인공지능 시대의 데이터 처리와 관련된 개인정보보호에 대해 큰 관심을 가지게 하는 계기가 됐을 것”이라고 평가했다. 고학수 개인정보위 위원장은 “인공지능 시대에 기술의 발전은 편리함과 함께 새로운 형태의 개인정보 유출 위험도 가져올 수 있다는 점에 유의해야 한다”면서 “오늘 모의재판을 통해 얻은 소중한 경험과 지식을 바탕으로 인공지능 시대의 개인정보 보호 법률 전문가로서 미래를 이끌어주기를 기대한다”고 참가자들을 격려했다.

2025.08.13 12:00김기찬 기자

가명처리된 정보 활용, SKT는 무죄·스캐터랩은 유죄...왜?

가명처리된 개인정보를 활용한 두 기업에 대해 법원이 서로 다른 판단을 내리면서, 개인정보보호법 해석의 기준과 일관성 관련해 의문이 제기된다. SK텔레콤은 가명정보를 본인 동의 없이 활용한 사례에서 법원의 정당성을 인정받았지만, 인공지능 챗봇 '이루다'를 개발한 스캐터랩은 같은 법 아래에서 위법 판결을 받았기 때문이다. 두 사례 모두 가명처리를 했다는 공통점이 있지만, 활용 목적과 식별 가능성 수준의 차이가 판결의 갈림길이 된 것으로 분석된다. 법원 "SK텔레콤은 식별 위험 낮아” vs "스캐터랩은 식별 가능성 존재" 정부는 지난 2020년 개인정보보호법을 개정해 가명 처리된 개인정보를 통계 작성, 과학적 연구, 공익적 기록 보존 등을 목적으로 하는 경우 본인 동의 없이도 활용하거나 제3자에게 제공할 수 있도록 허용했다. 디지털 경제 활성화를 위한 데이터 산업 육성이 입법 취지였다. 대법원은 지난 1일 SK텔레콤 가입자들이 제기한 '가명처리 중단' 소송에서 원고 청구를 기각했다. SK텔레콤이 가입자의 개인정보를 가명 처리해 제3자에게 제공한 행위가 개인정보보호법에 위반되지 않는다고 판단한 것이다. 재판부는 “SK텔레콤의 가명처리는 통계 작성과 연구 목적으로 이뤄졌으며, 개인정보에 대한 식별 위험성을 낮추는 방식”이라며 “가명정보의 활용은 사생활 침해 위험이 발생하는 일반적인 개인정보 처리와 구별된다”고 판시했다. 반면 1심 법원은 지난 6월 이루다 개발사 스캐터랩에 대해 개인정보보호법 위반으로 위자료를 배상하라고 판결했다. 스캐터랩 측은 가명 처리된 카카오톡 메시지를 활용했으며, 개발 목적이 과학적 연구라고 주장했지만 받아들여지지 않았다. 당시 재판부는 “스캐터랩의 가명처리는 특정 개인의 식별 가능성을 완전히 배제하지 못했다”며 “이루다 개발은 상업적 목적의 챗봇 제작으로, 개인정보보호법이 허용하는 과학적 연구에 해당하지 않는다”고 판단했다. 핵심 쟁점은 '식별 가능성'과 '목적의 정당성' 법률 전문가들은 두 사건 간 판결이 달라진 핵심으로 ▲가명처리 수준의 차이와 ▲활용 목적의 정당성 여부를 지적하고 있다. 구태언 법무법인 린 변호사는 “SK텔레콤은 적절한 방식으로 가명처리를 수행했고, 데이터 활용 목적도 법에서 정한 공익적 범위에 해당한다”며 “반면 스캐터랩은 가명처리가 불충분했고, 상업적 용도로 활용한 점에서 문제가 된 것”이라고 설명했다. 보안 업계 관계자도 “가명 처리했다고 해서 자동으로 식별 가능성이 사라지는 것은 아니다”라며 “가명정보와 원본 데이터를 연결할 수 있는 키가 존재할 경우 언제든지 개인을 특정할 수 있다”고 지적했다. 가명정보는 민감한 개인정보를 보호하면서도 산업·연구 목적으로 데이터를 활용할 수 있도록 하는 대안으로 주목받아 왔다. 그러나 처리 수준에 따라 사생활 침해 우려가 발생할 수 있고, 중소기업이 이를 감당하기 어려운 경우도 많아 제도적 보완 필요성이 제기된다. 고려대 정보보호대학원 권헌영 교수는 “가명정보라 하더라도 원칙적으로 동의 없이 제3자에게 제공되는 것은 위험 요소가 존재한다”며 “가명처리는 대규모 인프라를 갖춘 기업 중심으로 이뤄지고 있어, 일반 기업이 이를 제대로 수행하기는 쉽지 않다”고 말했다. 이어 “현재는 가명처리된 정보를 특정할 수 있다면 이를 활용한 주체가 개인정보를 수집한 것으로 간주한다”면서 “불법 활용을 막기 위해서는 민감정보를 별도 처리하거나, 정보 제공자가 명시적으로 제외를 요청할 수 있도록 제도를 정비할 필요가 있다”고 강조했다. 책임 있는 활용 위한 기술적·제도적 기준 필요 전문가들은 앞으로 가명정보의 안전한 활용을 위해 기술적 기준뿐 아니라, 사업자 책임·정보보호 가이드라인 강화 등 제도 전반의 재정비가 필요하다고 강조한다. 보안 업계에서는 '태깅 처리' 방식이 하나의 대안으로 제시되기도 한다. 정보에 키워드를 부여하고 원본과 분리된 상태로 데이터를 유통하면 원본 식별 가능성을 줄일 수 있다는 것이다. 업계 전문가는 "결국 개인정보 가명처리는 단순한 기술 문제가 아닌, 책임성과 투명성 확보의 문제라는 점에서 제도적 보완이 병행돼야 한다"며 "동일한 법 아래에서 전혀 다른 결론이 나오는 상황은 법 적용의 일관성과 예측 가능성을 떨어뜨리는 요인이 될 수도 있다"고 우려하기도 했다.

2025.08.06 15:55박서린 기자

F5, 새로운 AI 기반 데이터 유출 탐지 기능 공개

애플리케이션 전송 및 보안 기업 F5가 새로운 기능을 공개했다. F5는 지난달 29일 민감한 데이터를 보호하고 AI를 기반으로 애플리케이션을 관리할 수 있는 업데이트를 진행했다고 3일 밝혔다. 최근 기업이 AI와 하이브리드 클라우드 기술들 적극 도입하고 있는 가운데 민감한 데이터가 종종 암호화된 트래픽과 승인되지 않은 AI 도구를 통해 이동하는 사례들이 발생해 보안 사각지대가 생기는 우려를 낳고 있다. 기존 보안 방법은 이런 복잡한 환경에서 데이터 유출을 탐지하거나 방지하는 데 한계가 있는 만큼 F5가 이번 업데이트를 단행한 것으로 보인다. 이번 업데이트를 통해 데이터 유출을 방지하고 최첨단 AI 데이터 보호를 제공하는 F5 AI 게이트웨이(AI Gateway)의 확장된 기능을 이용할 수 있게 됐다. 또한 암호화된 전송 데이터를 분류하고 보호하며 승인되지 않은 AI의 사용 차단도 가능해졌다. 구체적으로 ▲암호화 및 AI 기반 트래픽에서 데이터 유출을 실시간으로 탐지·분류·차단 ▲허가되지 않은 AI 및 민감 데이터 노출로 인한 위험 방지 ▲애플리케이션, API, AI 서비스 전반에 일관된 정책을 적용해 보안 및 컴플라이언스 유지 등 기능이 도입된다. 특히 AI 게이트웨이의 새로운 기능이 도입됐는데, AI 프롬프트와 응답을 검사해 개인정보 등 민감한 데이터를 찾아내고 고객이 정의한 정책에 따라 편집·차단하거나 기록도 가능해질 전망이다. F5에 따르면 최근 인수한 리크시그널의 기술을 활용해 이번 분기 말 F5 AI 게이트웨이에 데이터 유출 탐지 및 방지 기능을 도입할 예정이다. 이 추가 기능은 하이브리드 및 멀티클라우드 배포 전반에서 컴플라이언스를 간소화하고 위험을 줄일 수 있는 것으로 알려졌다. 허가되지 않은 AI에 따른 위험 해결을 위해서도 위험 관리 기능을 확대한다. F5는 BIG-IP SSLO(SSL Orchestrator)를 강화해 암호화된 트래픽 플로우에 대한 실시간 가시성을 제공해 AI 데이터 보호 기능을 제공할 방침이다. 이에 기업은 승인된 트래픽은 허용하고, 무단 AI 사용과 전송 중인 민감한 데이터 공유를 탐지·분류·차단하는 것이 가능해질 전망이다. 아울러 감사와 조사를 위한 통합 대시보드 및 보고 기능도 마련돼 AI 데이터 흐름도 완벽히 파악이 가능해진다. 본격적인 출시는 올해 말로 예정돼 있다. F5 쿠날 아난드(Kunal Anand) 최고혁신책임자(CIO) 는 "오늘날 모든 기업 이사회가 직면한 핵심 과제는 AI 도입 가속화와 기업 데이터 보호 책임 사이의 균형"이라며 "F5는 암호화된 AI 대화에 대한 깊이 있는 가시성을 제공해 리더들이 데이터 유출을 막고 AI 사용을 효과적으로 관리할 수 있도록 해 최고정보보안책임자(CISO)가 단순한 보안 관리자를 넘어 혁신을 주도하는 핵심 역할을 할 수 있게 돕고 있다"고 말했다.

2025.08.03 18:30김기찬 기자

굿모닝아이텍, 씨그래스 손잡고 AI 시대 '데이터 지킴이' 입지 강화

굿모닝아이텍이 인공지능(AI) 기반 데이터 거버넌스 분야 전문성과 경쟁력 강화에 나선다. 굿모닝아이텍은 씨그래스와 전략적 업무협약(MOU)을 체결했다고 25일 밝혔다. 이번 협약은 AI 시대의 핵심 자산인 데이터를 보다 안전하고 효율적으로 활용하기 위한 비전 아래 추진됐다. 최근 생성형 AI와 자동화 기술의 급속한 확산으로 데이터 활용의 폭과 깊이가 확대되는 가운데 개인정보 보호와 데이터 거버넌스의 중요성도 함께 주목받고 있다. 굿모닝아이텍은 씨그래스의 고도화된 개인정보 데이터 거버넌스 솔루션을 자사 클라우드·빅데이터·AI·정보보호 기술과 융합해 기업 고객에게 AI에 최적화된 데이터 관리·보호 체계를 제공할 계획이다. 또 이번 협약을 계기로 AI 시대의 데이터 활용과 보호를 동시에 실현하는 혁신적 모델을 제시하며 국내외 데이터 거버넌스 시장에서의 입지를 더욱 공고히 한다는 방침이다. 협약을 통해 양사는 AI 시대의 데이터 전략을 주제로 한 공동 프로모션 및 디지털 세미나·웨비나 등을 함께 기획·운영해 고객과의 접점을 확대하고 시장 인지도를 제고해 나갈 계획이다. 또 기술 및 인력 교류를 적극 추진해 AI 기반 데이터 거버넌스 분야에서의 전문성과 경쟁력을 강화하고 나아가 지속 가능한 혁신 생태계 구축을 위한 협력 체계를 공고히 해 나갈 방침이다. 이주찬 굿모닝아이텍 대표는 "AI 중심의 디지털 전환 시대에 개인정보 보호는 단순한 규제 대응을 넘어 기업의 지속 가능성과 신뢰를 좌우하는 핵심 요소"라며 "씨그래스와의 협력을 통해 고객에게 보다 지능적이고 안전한 데이터 관리 환경을 제공하고 국내외 데이터 거버넌스 시장을 선도해 나가겠다"고 밝혔다. 박성수 씨그래스 대표는 "굿모닝아이텍의 기술력과 시장 영향력은 씨그래스의 솔루션이 AI 시대에서 더 큰 가치를 창출하는 데 중요한 기반이 될 것"이라며 "이번 협약을 통해 양사가 함께 성장하고 고객의 데이터 전략 성공을 적극 지원하겠다"고 말했다.

2025.07.25 15:22한정호 기자

모바일서 나 몰래 수집되는 개인정보…최소 방어책은?

기술의 발전으로 맞춤형 광고와 콘텐츠 추천이 점점 정교해지고 있습니다. 동시에 “내 정보는 어떻게 수집되고, 어디까지 공유되는 걸까?”라는 걱정과 고민도 커지고 있습니다. 내가 누구인지 꿰뚫어 보듯 유튜브·네이버·카카오톡·인스타그램 등에서 광고와 콘텐츠들은 어떻게 개인화돼 노출되는지(상) 짚어보고, 이런 '사이버 감시'에서 벗어나는 팁(하)을 정리하고자 합니다. [편집자 주] 점차 정교해지는 '데이터 추적' 기술로 디지털 광고와 콘텐츠 추천이 점점 더 개인 맞춤형으로 진화되고 있다. 이에 내 개인정보가 어디까지 수집되고 제3자에게 공유되는지 이용자들의 불안감과 의구심 또한 커지고 있다. 나도 모르는 새 수집되는 모바일 활동과 민감 정보를 기업에 내주지 않으려면 앱 설치 때부터 명시된 이용약관을 꼼꼼히 읽고 따져야 한다. 번거롭더라도 스마트폰 설정에서 개인정보 제공 기능을 최소화하고, 개별 앱에서도 이용 내역 저장을 거부하는 것이 현실적 대안으로 꼽힌다. 서울동부지방법원은 지난 달 이용자의 민감 정보를 무단 학습해 논란을 빚은 인공지능(AI) 챗봇 '이루다' 개발사 스캐터랩에 위자료를 지급하라고 판결했다. 개발사가 이용자에게 데이터를 활용한다는 사실을 명확히 고지하지 않았을 뿐만 아니라 가명처리를 했더라도 특정 개인 식별 가능성을 완전히 배제하지 못했다고 판단한 것이다. 스캐터랩은 5년 전인 2020년 AI 챗봇 이루다 개발 당시 자사가 운영하던 '연애의 과학', '텍스트앳' 서비스 이용자들의 카카오톡 대화 내용을 동의 없이 수집해 학습 데이터로 사용했다. 이에 스캐터랩은 개인정보가 유출된 이용자에게 20만원, 민감정보는 30만원, 개인정보·민감정보 모두 유출된 건에 대해서는 40만원의 위자료를 지급하게 됐다. 작게 표시하는 '다크패턴'으로 눈속임…구글·메타 “부당하다” 항소 이용자의 동의도 받지 않고 개인정보를 몰래 가져다 쓰다가 행정명령을 받는 사례뿐 아니라, 개인정보 수집 수법은 날로 고도화 되고 있다. 꼼수로 보이는 방법도 동원된다. 예를 들어 개인정보 활용 사실을 아주 작게 표시하거나 이용자가 긴 약관을 전부 읽지 않는다는 점을 악용해 여기에 끼워넣는 방식이다. 글로벌 빅테크가 이를 악용해 철퇴를 맞은 경우도 있었다. 2023년 개인정보보호위원회는 적법한 동의 절차 없이 개인정보를 수집한 메타 아일랜드와 인스타그램에 대해 각각 65억1천700만원, 8억8천600만원의 과징금을 부과했다. 이는 2022년 이들의 모회사인 메타와 구글에 각각 308억원, 692억원의 과징금을 부과한 데 이은 추가 제재로, 이 중에서도 메타아일랜드는 페이스북 계정 생성 시 작은 스크롤 화면을 통해 '데이터 정책' 전문을 보여준 것으로 드러났다. 개보위의 판단에 메타와 구글은 정보 수집의 주체가 본인들이 아닌 웹사이트 및 앱 서비스 제공자라며 과징금 및 시정명령 취소 소송을 제기하기도 했다. 그러나 올해 초 서울 행정법원은 이를 기각했다. 재판부는 글로벌 기업이라도 국내법의 준수해야 한다는 입장을 내비치면서 “개인 정보 수집 방식이 기술적으로 복잡하고 은밀하게 이뤄져 이용자들이 인지하기 쉽지 않았다”며 “서비스 이용자의 입장에서는 온라인에서의 행동이 누군가에게 감시당하고 있는 것은 아닌지 불안감을 느낄 가능성이 있다”고 짚었다. 초기 이용약관 꼼꼼히 확인…시크릿 모드 사용 권장 이처럼 최근에는 무단으로 이용자 행태 정보, 민감 정보를 수집하는 대신 이용약관에 이를 작게 표기하거나 추가해두는 '다크 패턴' 방식이 주를 이루고 있다. 이에 따라 전문가들은 개인 정보 및 민감 정보 수집을 막기 위해 이용약관 검토를 최우선 해결책으로 꼽았다. 초기 이용약관과 개인정보처리방침을 꼼꼼히 읽고 동의를 최소화해야 한다는 설명이다. 또 일부 앱의 경우 제3자 정보 제공 여부에 동의하지 않으면 앱을 사용할 수 없도록 하고 있는데, 현행법상에서는 이를 불법으로 규정하고 있어 신고 가능하다. 개인정보 보호법에서는 사용자의 정보 가운데 서비스 제공에 반드시 필요한 것들만 수집하도록 돼 있으며, 수집하더라도 최소한으로만 하도록 제한하고 있기 때문이다. 뿐만 아니라 애플, 구글과 같은 빅테크들은 개인정보 제공 여부를 직접 관리할 수 있도록 서비스를 운영하고 있어 콘텐츠 추천 기능을 끄거나 개인정보 제공을 중단할 것을 권장했다. 구글에서는 '개인정보 및 맞춤설정' 메뉴에서 광고 맞춤 설정을 끌 수 있다. 유튜브에서는 우측 상단에 자리해 있는 설정에 들어가 전체 기록 관리 탭에서 '유튜브 기록' 사용을 중지하면 자주 본 영상과 유사한 콘텐츠를 추천하는 알고리즘을 최소화할 수 있다. 뿐만 아니라 계정페이지에서 '시크릿 모드 사용'을 누르면 검색 및 시청 기록이 저장되지 않아 추천 알고리즘의 영향을 받지 않을 수 있다. 단, 시크릿 모드는 계정 기반 시청 기록이 차단될 뿐, 완전한 추적 차단 기능은 아니다. IP 등 기반의 간접 추적은 여전히 가능하다. 만약 불가피하게 민감 정보가 수집돼 유출됐을 시에는 개인정보보호위원회의 도움을 받는 방법도 있다. 권헌영 고려대학교 정보보호대학원 교수는 “초기 이용약관이나 개인정보처리방침 등을 잘 읽고 동의를 최소화해야 한다”며 “빅테크들은 개인정보와 관련해 이용자가 직접 설정할 수 있도록 하고 있다. 이 페이지에서 본인이 직접 정보 제공 여부를 변경하거나 중지할 수 있다”고 설명했다.

2025.07.24 11:14박서린 기자

美, 미성년 이민자 DNA 범죄 DB에 저장

미국 정부가 13만명이 넘는 미성년 이민자의 유전 정보(DNA)를 국가 범죄 데이터베이스(DB)에 저장한 것으로 나타났다고 미국 과학기술 잡지 와이어드가 최근 보도했다. 저장 대상 중에는 4세 아동도 포함돼 있었다. 와이어드에 따르면, 미국 관세국경보호청(CBP)은 올해 초 이러한 정보를 조용히 공개했다. 잡지는 이를 두고 "정부가 이주 아동의 생체 정보를 얼마나 깊숙이 감시하고 있는지를 처음으로 보여준 사례"라고 짚었다. 와이어드에 따르면 CBP은 2020년 10월부터 지난해 말까지 150만명 이상의 뺨을 면봉으로 긁어 유전자를 채취했다. 어린이와 청소년은 13만3천539명 포함됐다. 미국 정부는 연방수사국(FBI)이 관리하는 DNA 색인 시스템에 이들의 DNA 정보를 등록했다. 범죄 현장이나 유죄 판결에서 수집된 DNA를 대조해 용의자를 가리는 데 쓰기 위해서다. 미국 법무부는 DNA를 수집해 이민자가 대중에게 미칠 잠재적 위험을 평가한다고 밝혔다. 이와 관련 전문가들은 아이들의 유전 정보가 무기한 보관될 것이라며 이를 제한하지 않으면 DNA 수집망이 광범위한 프로파일링에 악용될 수 있다고 우려했다.

2025.05.31 08:00유혜진 기자

[현장] "800명 사전 신청 '북적'···정보보호 취업박람회 가보니

“보안 컨설턴트 되는 게 목표거든요. 고객 문제를 찾아내 풀면 뿌듯하잖아요. 대기업은 어떻게 하는지 알고 싶어 SK쉴더스 현장 채용관 앞에 줄 서서 기다리고 있어요.” 순천향대 정보보호학과를 졸업한 고승현씨는 27일 서울 강남구 한국과학기술회관에서 열린 '정보보호 취업박람회'에서 지디넷코리아와 만나 '취업 뽀개기'를 하겠다며 이같이 밝혔다. 국내 대표 정보보호 기업으로 꼽히는 SK쉴더스 현장 채용관에서 취업 요령을 알아보려는 구직자가 10명 남짓 줄을 섰다. 이 가운데 고 씨는 “다른 대학 입학했다가 순천향대 정보보호학과로 편입해 지난 2월 졸업했다”며 “고등학교 3학년 때 보안을 처음 접해 '재미있다' 느껴 돌아왔다”고 말했다. 강남대 공공인재학과를 졸업한 김승현씨는 “지난해 일본에 다른 업계 개발자로 취업했다”면서도 “그만둔 뒤 보안에 관심 생겨서 학원까지 다니고 동기들과 취업박람회에 같이 왔다”고 들려줬다. '현장 채용관'에는 보안기업 22곳이 자리를 잡고 취업준비생에게 회사를 알렸다. ▲한국정보보호산업협회(KISIA) ▲엑스큐어넷 ▲싸이버원 ▲롯데이노베이트 ▲지란지교데이터 ▲컴트루테크놀로지 ▲글로벌에잇 ▲엘에스웨어 ▲한국인터넷진흥원(KISA) ▲잉카인터넷 ▲넷맨 ▲SK쉴더스 ▲지니언스 ▲스틸리언 ▲OE주식회사 ▲엔시큐어 ▲안랩 ▲엔큐리티 ▲윈스테크넷 ▲케이엑스넥스지 ▲센티널테크놀로지 ▲시큐아이가 참여했다. 어느 기업 채용관에서 한 학생은 '포트폴리오를 어떻게 준비하면 좋은지', '정보처리기사 자격증이 취업하는 데 유리한지' 물었다. 업체 인사 담당자는 “자격증이나 포트폴리오가 있으면 좋다”면서도 “필수가 아니거니와 다른 사람과 비슷한 내용은 눈에 띄지 않는다”고 조언했다. 또 다른 회사 채용관에서 누군가 '정량적인 스펙 말고 기업이 취업준비생에게 무엇을 요구하느냐'고 질문하자 “일에 욕심이 있으면 좋겠다”며 “할 일이 남았는데도 오후 6시 됐다고 바로 퇴근하는 사람은 곱게 보이지 않는다”는 답이 돌아갔다. 의자에 앉지 못한 학생들도 인사 담당자 말을 들으려고 바로 뒤에 서 귀를 쫑긋 세웠다. '희망 멘토링관'에서는 보안 컨설팅·관제·개발·기술지원 경력 10년 이상 현직자가 구직자와 마주앉아 1대 1로 멘토링을 했다. '취업 토크' 시간에는 안랩과 금융보안원에 취업한 지 각각 3년 안 된 새내기 직원이 후배에게 취업 요령을 귀띔했다. 한 업체 관계자는 “신입사원이 현장에 바로 나가 배우게 한다”며 “고객에게 쉽게 답하는 모습을 선배가 보여준다”고 설명했다. KISIA는 매년 5월 정보보호 취업박람회를 연다. 2007년 시작했다. 이보연 KISIA 교육기획팀장은 “정기적으로 열리는 정보보호 특화 취업 박람회는 이게 유일하다”며 “SK쉴더스·시큐아이·윈스·롯데이노베이트 등 업계를 대표하는 기업이 해마다 꾸준히 참가한다”고 전했다. OE주식회사와 케이엑스넥스지는 올해 처음 함께했다. 이번 정보보호 취업박람회는 학력·나이 상관없이 누구나 참여할 수 있는데, 아무래도 지만 청년들이 대다수였다. 일부 50대도 눈에 띄었다. 이 팀장은 “당장 취업할 곳을 찾는 대학 재학생과 졸업생이 80%를 차지한다”며 “진로를 탐방하는 고등학생도 종종 온다”고 말했다. 이어 “대학 정보보호학과와 컴퓨터공학과 등에서 단체 등록하고 오는 경우도 많다”며 “보안이 인공지능(AI) 바람을 탄 덕에 지금껏 가장 많은 800명이 올해 미리 신청했다”고 덧붙였다. 한 기업 관계자는 “정보보호 전문 취업박람회가 더 자주 열리기 바란다”며 “중소기업이 협회 지원을 받아 취업박람회에 참가해 회사를 알리고 젊은 인재도 찾을 수 있어 좋다”고 소감을 밝혔다.

2025.05.27 17:19유혜진 기자

지란지교데이터, '글로벌 IP 스타기업' 선정…데이터 보호 기술로 해외 공략 박차

지란지교데이터가 데이터 보호 기술을 앞세워 글로벌 진출에 박차를 가한다. 지란지교데이터는 지난달 29일 대전 '글로벌 IP 스타기업'으로 선정됐다고 8일 밝혔다. 글로벌 IP 스타기업은 지역별 수출 유망 중소기업을 선정해 3년간 지식재산권 종합 지원을 실시하고 글로벌 IP 스타기업으로 육성하는 IP 기반 해외 진출 지원 사업이다. 선정된 기업에는 지역 지식재산센터의 IP 전문가를 통한 컨설팅 및 최대 3년간 특허·브랜드·디자인 종합 지원이 제공된다. 글로벌 IP 스타기업에 선정되면 해외 권리화 비용 지원, 해외 진출 특허 전략, 디자인·브랜드 개발, 특허 기술 영상 제작 등 예산 범위 내에서 종합 지원이 이뤄진다. 매년 연차 평가를 통해 지속 지원 여부를 결정하며 최대 3년까지 글로벌 진출을 위한 지원을 받을 수 있다. 지란지교데이터는 2010년부터 약 27건의 특허를 등록하는 등 데이터 보호 기술 개발을 지속하고 있다. 서버 개인정보 진단, 이미지 개인정보 보호, 오디오·동영상 내 보안 정보 보호 등과 관련된 특허 기술을 보유하고 있다. 또 ▲선택적 비식별 개인정보 활용 방법 및 장치 ▲개인정보 보호를 위한 가상 인물을 이용한 재현데이터 생성 방법 및 운영 시스템 등 개인정보 비식별 처리 관련 기술도 특허로 등록했다. 지란지교데이터는 합성데이터 생성 기술을 통해 2022년 우수 정보보호 기술, 지난해 첨단기술 기업으로 지정된 바 있다. 지란지교데이터는 글로벌 IP 스타기업에 선정됨에 따라 글로벌 진출에 더욱 박차를 가할 계획이다. 지란지교데이터는 '재팬 투 글로벌' 전략에 따라 일본 시장을 중심으로 동남아 등 글로벌 시장 진출을 추진한다. 글로벌 IP 스타기업 육성 사업을 통해 글로벌 데이터 보호 기술 경쟁력도 확보할 방침이다. 유병완 지란지교데이터 대표는 "글로벌 IP 스타기업에 선정됨에 따라 글로벌 진출에 더욱 박차를 가하겠다"며 "지란지교데이터는 지란지교 그룹의 재팬 투 글로벌 전략과 시너지를 창출해 일본뿐만 아니라 글로벌 시장에서도 데이터 보호를 위한 첫 번째 대안이 되겠다"고 강조했다.

2025.05.08 10:03한정호 기자

피규어·지브리 프사 만들기?…"챗GPT 개인정보 유출 위험"

인공지능(AI) 챗봇 '챗GPT'로 유행 따라 사진을 피규어나 일본 지브리스튜디오 애니메이션처럼 만들다가는 개인정보를 털릴 수 있다고 미국 잡지 와이어드는 1일(현지시간) 보도했다. 운영사 오픈AI는 새로운 GPT-4o 기반 이미지 생성기로 챗GPT의 사진 편집, 텍스트 렌더링 기능을 키웠다고 와이어드는 평가했다. 챗GPT 무료 계정과 사진만 있으면 재미있고 쉽게 이미지를 만들 수 있다. 그러나 피규어나 지브리 같은 그림을 만들려면 오픈AI에 많은 정보를 넘겨야 한다고 와이어드는 지적했다. 오픈AI는 이 정보로 인공지능을 학습시킬 수 있다. 유럽 OPIT(Open Institute of Technology)의 톰 바즈다 사이버보안학과장는 “챗GPT에 사진을 올릴 때마다 메타데이터 덩어리를 넘겨주는 셈”이라며 “사진 촬영 시간, 촬영 장소의 (GPS) 좌표 등 그림 파일에 첨부된 정보가 포함된다”고 말했다. 메타데이터(Metadata)란 다른 정보를 나타내는 정보를 뜻한다. 오픈AI는 챗GPT에 접속하는 기기 정보도 모으는 것으로 알려졌다. 기기 유형, 운영 체제, 브라우저 버전, 고유 식별자 등이다. 바즈다 학과장은 “챗GPT는 대화하듯 작동하기에 입력한 내용, 요청한 그림 종류, 인터페이스와의 상호 작용 방식, 동작 빈도와 같은 행동 정보도 수집한다”며 “생성형 AI를 훈련하는 금광”이라고 표현했다. 얼굴만 그런 게 아니다. 위험 관리 회사 GRC인터내셔널그룹의 캠든 울븐 AI제품 마케팅 책임자는 “고해상도 사진을 올리면 피사체뿐 아니라 배경, 다른 사람, 방 안의 물건, 문서처럼 읽을 수 있는 모든 것을 오픈AI에 주는 격”이라고 설명했다. 오픈AI는 생성형 AI를 학습시키려고 개인정보를 적극적으로 수집하지 않으며 인터넷 공개 정보로 사용자 프로필을 구축하고 광고하거나 정보를 팔지 않는다고 와이어드에 밝혔다. 그러나 오픈AI의 개인정보 보호 정책에 따라 챗GPT로 올라온 이미지는 보관되고, 생성형 AI를 개선하는 데 쓰일 수 있다고 와이어드는 비판했다. 챗GPT에서 정보를 지킬 가장 효과적인 방법은 채팅 기록을 끄는 일이라고 와이어드는 소개했다. 파일에서 메타데이터를 지우고 올려도 좋다. 사진 편집 도구를 쓰면 된다. 바즈다 학과장은 “사용자는 민감한 개인정보를 챗GPT에 쓰지 말고 정보를 알 수 있는 배경이 있는 사진이나 단체 사진은 올리지 말아야 한다”며 “이렇게 하면 내 정보가 챗GPT 훈련에 쓰이지 않도록 할 수 있다”고 조언했다.

2025.05.03 07:48유혜진 기자

파수 "보안부터 생성형AI 활용까지 모두 돕겠다"

정보보호 기업 파수는 22일 서울 여의도 페어몬트앰배서더서울호텔에서 고객 초청 사업 설명회 '파수 디지털 인텔리전스 심포지움(FDI)'을 개최했다. 주제는 '생성형 인공지능(AI) 혁명: AI가 기업에 가져올 변화'다. 기업형 경량 대형 언어모델(sLLM), 데이터 관리·보호 방안, 공급망 관리, 사이버 물리 시스템(CPS) 보안 등을 다뤘다. 조규곤 파수 대표는 AI가 업무 환경을 어떻게 바꾸는지 설명하고, 조직에 sLLM을 성공적으로 구축하는 방안을 제시했다. 조 대표는 "sLLM을 제대로 구축하려면 AI를 위한 데이터 인프라를 강화하고 AI 거버넌스를 꾸려야 한다"며 "AI 시스템 인프라에 지나치게 투자할 필요없다"고 말했다. 그러면서 "더 발전된 모델이 날마다 새로 나온다"며 "유연하게 더 나은 신규 모델을 활용할 수 있도록 구축 단계부터 고려하는 게 좋다"고 조언했다. 윤경구 전무는 LLM 발전 현황을 짚었다. 논리적 사고의 리즈닝(Reasoning) 모델과 언어 모델 한계를 벗어나는 에이전틱 LLM이 AI 혁명을 이끌 것으로 내다봤다. 파수가 선보인 기업용 LLM '엘름(Ellm)'은 어떻게 생겼는지, 세부 모델은 무엇이 있는지, 고객은 어떻게 쓰고 있는지 등을 소개했다. '악성메일 훈련·교육, 취약점 진단과 태세 관리' 발표에서는 보안에 효과적으로 투자하는 '보안 101'이 눈길을 끌었다. 보안 투자를 늘렸는데도 보안 사고가 터지는 이유로 임직원 보안 훈련이 부족하고 취약점, 태세 관리가 미비한 점이 꼽혔다. 데이터가 암호화되지 않으면 피해가 급증한다는 지적이다. 기초·필수 과정을 뜻하는 101을 차용한 보안 101로 훈련, 암호화·백업, 취약점 분석, 태세 관리에 집중해 투자 효율성을 높일 수 있다고 파수는 강조했다. 파수가 제안한 보안 101 첫 단계는 임직원이 반복적으로 악성 메일에 대해 훈련하고, 최신 자료 중심으로 백업, 확대 적용된 암호화로 사이버 위협 대응 능력을 높이는 일이다. 컴플라이언스 대응에만 초점을 맞춘 취약점 진단이 아닌 정보기술(IT) 인프라, 공급망 애플리케이션, 운영기술(OT)·사이버 물리 시스템(CPS)으로 대상을 넓혀 보안 사각지대를 최소화한다. 데이터(DSPM)를 비롯, 애플리케이션(ASPM)과 OT 시스템(OSPM) 등을 관리해 자산 식별 및 분류, 실시간 탐지 및 대응, 지속적인 점검으로 보안을 강화할 수 있다. 파수는 이번에 소개한 구축형 sLLM Ellm 업데이트, 생성형 AI를 활용하기 위한 솔루션, 분야별 태세관리 서비스 등을 올해 내놓기로 했다. 파수는 국내 기업과 기관 정보최고책임자(CIO)와 정보보호최고책임자(CISO) 350명이 이날 행사에 함께 했다고 전했다.

2025.04.23 10:23유혜진 기자

[기고] 대한민국이 AI 강국으로 가는 길, 데이터 활용의 딜레마를 넘어

개인정보보호위원회가 주관해 상정하고 지난 2월 국가인공지능위원회가 심의해 채택한 '인공지능(AI) 데이터 확충 및 개방 확대방안'은 AI 시대를 맞아 우리나라가 경쟁력을 갖추기 위한 본격적인 첫걸음이라고 할 수 있다. 국가인공지능위원회는 이 방안을 채택하면서 AI 기반의 디지털 전환이 가속화되는 시대에 대응하고 AI 경쟁력을 높이기 위한 양질의 데이터를 보다 많이 확보하며 이를 적극적으로 활용할 수 있는 정책 마련을 목표로 삼았다. 이 의안에서 무엇보다 주목할 점은 AI 정책의 최상위 거버넌스 기구인 국가인공지능위원회가 AI 발전을 위해 데이터 접근이 필수적이라는 점을 공식적으로 인정했다는 것이다. 이는 데이터 활용을 둘러싼 사회적 인식과 정책 방향에 중요한 전환점이 될 수 있다. 다만 보다 중요한 과제는 이 방안의 취지를 뒷받침할 수 있는 구체적이고 실행력 있는 후속 정책을 신속히 마련한 후 실제 집행으로 이어가는 일이다. 이 과정에서 AI 모델이 실제로 어떻게 설계되고 학습되는지를 이해하는 것이 필수적이다. 산업 현장과 기술의 현실을 충분히 고려하지 않은 채 이론에만 머무는 논의는 오히려 과도한 규제나 비현실적인 기준으로 이어져 혁신을 저해할 위험이 있다. 이번 의안은 AI가 학습에 필요한 데이터를 활용할 때 정보주체의 '동의'만을 유일한 법적 근거로 삼지 않겠다는 취지를 담고 있다. 이는 동의를 받기 어려운 현실적인 제약과 형식적인 동의가 오히려 개인정보 보호를 약화시킬 수 있다는 문제의식에서 출발한 것이다. 동의 외에도 정당한 이익, 공익 목적, 가명정보 활용 등 다양한 법적 근거를 합리적으로 마련하면 데이터 활용의 유연성을 높이고 AI 혁신의 기반도 한층 더 강화할 수 있다. 결국 어떤 대안을 채택하고 그 기준을 어떻게 설계하느냐에 따라 한국 사회가 나아갈 AI 시대의 방향은 크게 달라질 것이다. '계약의 필요성(제15조 제1항 제4호)'과 '정당한 이익(같은 항 제6호)'은 개인정보보호법상 동의에만 의존하기 어려운 현실을 보완할 수 있는 중요한 법적 근거다. 지난해 12월 개인정보보호위원회가 공개한 개인정보 처리 통합 안내서에서도 이 두 근거의 적용 범위를 넓히려는 방향성을 확인할 수 있다. 이 방향성은 데이터 활용의 현실성과 기술 발전의 속도를 함께 고려하려는 시도의 일환이라고 볼 수 있다. AI 학습에는 필연적으로 대규모 데이터의 활용이 요구되며 이를 뒷받침하려면 기술적 맥락과 사회적 현실을 반영한 유연한 법적 근거가 필요하다. 그런 점에서 '계약의 필요성'과 '정당한 이익'의 적극적인 해석과 적용은 앞으로의 AI 정책과 데이터 활용 논의에서 핵심적인 역할을 하게 될 것이다. AI 모델의 발전은 이제 단순한 IT 기술의 문제가 아니라 국가 경제 전반의 경쟁력과 대한민국 사회 전체의 이익과 직결된 과제가 됐다. 기업들은 경쟁력 있는 AI 기술을 학습하고 고도화하는 일을 생존 전략의 일부로 받아들이고 있으며 일반 국민 역시 AI 기술을 통해 보다 나은 서비스를 누릴 기회를 기대하고 있다. 한국 사회의 현실을 제대로 반영하는 AI 기술을 개발하기 위해서는 국내 이용자에 기반한 데이터가 필수적이다. 우리의 언어, 지리, 문화적 맥락을 반영하지 못하는 기술은 결과적으로 편향되거나 차별적인 판단을 내릴 수밖에 없다. 이러한 문제는 AI가 우리의 일상 속으로 깊이 들어오고 있는 지금 중대한 사회적 문제로 부상하고 있다. 결국 해답은 데이터 접근성의 획기적 확대에 있다. 이미 세계 각국은 데이터 주도권 확보를 위한 경쟁에 돌입했다. 유럽 개인정보보호이사회(EDPB)는 AI 학습을 위한 적법 근거로 '정당한 이익'을 명시했고 일본은 개인정보보호법 개정을 통해 일정한 요건 하에서는 동의 없이도 AI 학습 데이터 활용을 허용하는 방안을 추진 중이다. 이제 우리도 더 이상 논의를 미룰 수 없다. AI 시대에 걸맞은 구체적이고 실행 가능한 법적 기준을 마련해야 할 때다. 데이터 활용과 개인정보 보호는 대립하는 개념이 아니라 조화를 이뤄야 할 정책 목표다. 이를 위한 정교한 설계가 절실하다. 이 중요한 전환점에서 가장 필요한 것은 현장의 현실을 반영한 제도다. 기술을 직접 개발하고 데이터를 다루는 이들의 목소리를 반영하지 못한 규제는 결국 우리 스스로의 경쟁력을 제약하는 결과를 낳게 된다. AI 강국을 향한 우리의 여정이 규제의 그늘 속에 가로막힐 수 있다는 지적에 귀를 기울어야 할 것이다.

2025.04.14 17:17조경식 컬럼니스트

ISMS-P 인증 뭐기에…의무도 아닌데, 하겠단 금융사

금융 정보보호 및 개인정보보호 관리 체계(ISMS-P·Personal Information & Information Security Management system) 인증을 받으려는 금융사가 해마다 늘고 있다. 의무도 아닌데 스스로 까다로운 심사를 통과하겠다고 나선다. 금융 ISMS-P는 금융권에 맞춘 ISMS-P 인증이다. 전자금융거래법, 신용정보법 등 금융 정보보호 및 개인(신용)정보 보호 관련 법령을 반영한다. 금융권은 다른 산업보다 민감한 개인(신용)정보와 금융 정보를 많이 다루기 때문에 침해 사고나 개인정보 유출 사고가 터지면 충격이 상당하다. 보다 높은 수준의 보안과 규제가 요구되는 이유다. 8일 금융보안원에 따르면 금융 ISMS-P 인증은 2015년 27건으로 시작해 지난해 128건으로 5배 성장했다. 금융보안원이 금융권에 알맞은 ISMS-P를 인증한다. 나머지 산업이나 전반적인 인증 품질은 한국인터넷진흥원(KISA)이 관리한다. 오중효 금융보안원 상무는 지난달 27일 서울 여의도 금융투자협회에서 열린 'ISMS-P 인증 설명회'에서 “인공지능이나 가상자산 환경이 바뀌면서 인증 수요가 더 늘 것”이라고 말했다. 의무 아니지만 “이만큼 잘해요” 금융회사는 법적으로 ISMS-P 인증 의무가 아닌데도 은행·증권·카드·보험사 뿐만 아니라 핀테크 기업도 자발적으로 인증 받으려는 사례가 늘고 있다고 금융보안원은 전했다. 최지훈 금융보안원 선임심사원은 지난달 설명회에서 “금융권은 ISMS-P 인증이 의무가 아니다”라면서도 “디지털 금융과 자율 보안이 확산돼 인식 수준이 높아졌다”고 분석했다. 핀테크∙오픈뱅킹, 마이데이터, 간편결제 등 디지털 금융이 자리잡으며 보안을 강화할 필요가 있어서다. 이런 환경에서 '우리 회사가 이만큼 금융 보안에 신경쓴다'고 소비자에게 증명할 수 있다. 금융회사가 자율적인 보안 활동을 하되 결과에 대한 책임은 무거워진 점도 내부 보안 관리 체계를 높이는 이유로 꼽힌다. 금융권 형님답게 은행이 선도 금융보안원은 은행이 금융권 디지털 전환을 이끌면서 ISMS-P 인증도 선도하고 있다고 평가했다. 주요 시중은행은 인터넷뱅킹 말고도 마이데이터, 금고 시스템, 전자 서명 인증 등 주요 서비스에 맞는 인증서 2~4개를 취득∙유지하는 것으로 알려졌다. 최근에는 다른 업권보다 디지털 전환이 조금 늦은 면이 있는 생명보험사도 인증을 취득하고 있다며 금융투자, 카드∙캐피털사가 인증 받는 사례도 늘어나는 추세라고 금융보안원은 설명했다. 실제로 기자가 지난달 27일 금융투자협회에서 열린 설명회에 갔더니 대부분 금융투자회사 담당자들이 참석한 모양새였다. 수집-이용-파기 단계별 정보 보호 금융보안원은 특히 전자금융감독규정과 신용정보업감독규정 등 금융권에 특화한 심사 항목으로 금융 보안 규제 준수 여부를 심사한다. 금융사가 세운 (개인)정보 보호 정책과 지침, 절차 등을 체계적으로 시행하는지 따진다. 개인(신용)정보를 수집-보유∙이용-제공-파기하는 단계별로 보호 조치를 적절하게 하는지, 수탁사 같은 외부 위탁 관리 실효성은 있는지도 확인한다. 최 심사원은 “지난해 128건 심사하면서 기업당 결함을 평균 9개씩 발견했다”며 “기업은 결함 개수에 연연하지 말고, 이 결함이 나온 원인과 재발 방지 대책을 신경써야 한다”고 강조했다. 개발자와 운영자, 개인정보 취급자 직무별로 시스템에 접속하는 방식이 다르면서도 시스템 흐름도를 보면 이런 사실을 알 수 없는 경우가 지적받았다. 정보보호 운영 인력이 정보보호 예외 정책을 스스로 승인해도 잘못이다. 개인정보 열람 요구서와 위임장 등에 주민등록번호를 요구해서도 안 된다. '내 정보 잘 지키나' 소비자 선택 기준 금융소비자 입장에서는 (개인)정보 보호 관리 체계를 제대로 갖췄는지 금융사 선택 기준으로 ISMS-P를 삼을 수 있다. 보안 사고를 예방하고, 사고가 나더라도 빠르게 복구하는 금융사를 이용하면 피해가 최소화될 것으로 금융보안원은 기대했다.

2025.04.08 15:09유혜진 기자

Prev 1 2 Next