2026.05.28 목요일
검색
'모의해킹' 검색결과
기간검색
-
~
검색영역
검색어
-
![[데일리 뱅킹 브리프] KB금융, AI 기반 사이버 보안위협에 AI 대 AI 방어체계로 대응 추진 外](https://image.ajunews.com//content/image/2026/05/26/20260526161803212161.jpg)
KB금융, AI 기반 사이버 보안위협에 'AI 대 AI' 방어체계로 대응 추진 外 [경제일보] KB금융, AI 기반 사이버 보안위협에 'AI 대 AI' 방어체계로 대응 추진 KB금융그룹이 인공지능(AI) 기반 사이버 보안 위협에 대응하기 위해 'AI 공격에는 AI로 대응한다'는 원칙을 기반으로 그룹 차원의 보안체계를 강화한다고 26일 밝혔다. KB금융은 △정보보호 실태점검과 보안업무 자동화 체계 구축 △제로트러스트 체계 강화 △그룹 사이버보안센터 운영 등을 통해 통합 보안 역량을 높이고 있다. 올해 그룹 정보보호 실태점검에는 AI 기술을 도입했다. 기존 화이트해커 중심의 점검에 자체 개발한 모의해킹 AI 에이전트와 외부 전문기관의 AI 에이전트를 함께 활용한다. AI 에이전트와 RPA를 결합한 24시간 보안 모니터링 체계도 구축했다. 금융보안 위협과 취약점 정보를 실시간으로 수집·분석하고 이상행위 탐지와 정보유출 징후 파악 업무를 자동화했다. 제로트러스트 기반 다층 방어체계도 강화하고 있다. 망분리와 다중인증, 접근통제 체계를 유지하면서 클라우드 환경 등 그룹 전반에 제로트러스트 원칙을 확대 적용한다. KB금융은 그룹 사이버보안센터도 출범했다. 그룹 사이버보안센터는 공격자 관점에서 보안 취약점을 식별하는 레드팀과 실시간 위협 탐지·차단을 담당하는 블루팀을 연계한 공동 대응체계다. 전 계열사를 대상으로 외부노출 자산 점검과 모의침투 기반 공격 검증, AI 기반 취약점 관리를 진행한다. KB금융 관계자는 "AI 기술 발전으로 사이버 공격이 자동화·고도화되면서 AI 기반 사이버 위협은 더 이상 잠재적 리스크가 아닌 현실적 리스크로 다가오고 있다"며 "KB금융은 선제적으로 구축·운영하고 있는 AI 기반 보안대응 체계를 중심으로 어떠한 위협 환경에서도 고객이 안심할 수 있는 안전한 금융 환경을 제공하기 위해 최선을 다할 것"이라고 말했다. 케이뱅크, 취약계층 아동·청소년 나들이 지원사업 진행 케이뱅크가 5월 가정의 달을 맞아 취약계층 아동·청소년을 대상으로 사회공헌 프로그램 'K-joyful 아동·청소년 나들이 지원사업'을 실시했다고 26일 밝혔다. 이번 사업은 경제적 여건에 따른 체험활동 경험 격차를 줄이고 아동·청소년의 사회성 형성을 지원하기 위해 마련됐다. 케이뱅크는 임팩트비즈니스재단과 함께 총 6개 아동 시설을 선정하고 기관별 특성과 필요에 따라 나들이 지원과 운동회 지원 방식으로 프로그램을 운영했다. 5개 기관에는 각 400만원의 나들이 지원금을 전달했다. 각 기관은 놀이공원과 워터파크 방문, 농촌 체험 등 자율적인 나들이 프로그램을 진행했다. 이와 함께 1개 기관에는 운동회 프로그램을 지원했다. 지난 23일 열린 운동회에서는 왕복 전세버스와 푸드트럭, 단체 티셔츠와 기념 굿즈 등이 제공됐다. 케이뱅크 관계자는 "5월 가정의 달을 맞아 아이들이 하루만큼은 걱정 없이 마음껏 뛰놀며 기분 좋은 하루를 보낼 수 있기를 바라는 마음으로 이번 프로그램을 준비했다"며 "앞으로도 금융 포용과 사회적 가치를 높일 수 있는 사회공헌 활동을 지속해 나갈 예정"이라고 말했다. 우리은행, LCK MSI 대표 선발전 기념 프로모션 실시 우리은행이 국내 e스포츠 리그 '리그 오브 레전드 챔피언스 코리아(LCK)'의 MSI 대표 선발전을 맞아 팬 고객 대상 온·오프라인 프로모션을 진행한다고 26일 밝혔다. 이번 프로모션은 다음달 12일부터 14일까지 열리는 MSI 대표 선발전과 연계해 마련됐다. 고객은 26일부터 우리WON뱅킹 내 혜택 메뉴에서 온라인 이벤트에 응모할 수 있다. 우리은행은 추첨을 통해 현장 관람 고객에게 MSI 대표 선발전 티켓 1인 2매를 제공한다. 집에서 경기를 보는 고객에게는 치킨과 커피 기프티콘을 제공한다. 10대 청소년 고객 대상 이벤트도 진행한다. 청소년 전용 용돈관리 서비스 '우리틴틴' 가입 고객은 별도 이벤트 응모를 통해 MSI 대표 선발전 티켓을 받을 수 있다. '우리은행 한정판 LCK 로스터 랜덤 카드팩' 증정 이벤트도 마련했다. 카드팩은 LCK 선수 카드 5장으로 구성되며 일부 카드에는 홀로그램 디자인이 적용됐다. 오프라인에서는 오는 30일과 31일 치지직 LoL Park에서 '우리은행 Day'를 진행한다. 현장에서는 무작위 뽑기 이벤트를 통해 LoL 챔피언 피규어, Riot Store 공식 상품, LCK 선수 한정 카드 등을 제공한다. 우리은행 관계자는 "이번 프로모션은 LCK MSI 대표 선발전을 기다려온 팬 고객에게 차별화된 즐거움을 제공하기 위해 마련했다"며 "앞으로도 우리은행은 LCK 메인 스폰서로서 팬들의 니즈를 반영한 다양한 콘텐츠와 혜택을 지속적으로 선보이겠다"고 말했다.2026-05-26 16:20:42
-
SK쉴더스 "보안 점검 넘어 실전 검증으로 전환해야" [경제일보] SK쉴더스가 기업 보안의 기준이 단순 점검에서 실전 검증으로 이동하고 있다고 강조했다. 클라우드와 외부 서비스 연동이 보편화되면서 보안 경계가 흐려진 만큼 실제 공격 상황에서 탐지와 대응 체계가 제대로 작동하는지 확인해야 한다는 설명이다. SK쉴더스는 5월 보안 인사이트를 통해 최근 사이버 보안의 핵심 화두가 ‘점검’이 아닌 ‘검증’으로 바뀌고 있다고 밝혔다. 기존에는 보안 인증 보유 여부나 정기 점검이 주요 기준이었다면, 이제는 실제 침투 시도를 가정한 대응력 검증이 중요해졌다는 것이다. 최근 사이버 공격은 유출 계정 악용, 자동화 공격, 다중 취약점 결합 등으로 정교해지고 있다. 클라우드 도입과 외부 서비스 연동이 늘어나면서 기업이 보호해야 할 공격 표면도 넓어졌다. 이에 따라 “방어벽이 얼마나 견고한가”보다 “공격이 시작됐을 때 얼마나 빨리 탐지하고 대응할 수 있는가”가 더 중요한 기준이 되고 있다. SK쉴더스는 실전 대응력을 높이기 위해 공격 표면 관리, 모의해킹 기반 침투 검증, 탐지·대응 체계 연계를 핵심 요소로 제시했다. 외부에 노출된 서버와 계정 포트 등 공격 가능한 자산을 지속적으로 식별하고, 취약점 점검을 넘어 실제 침투 가능 경로까지 확인해야 한다는 설명이다. 또 발견된 취약점이 보안관제와 사고 대응 체계 안에서 실제로 차단 가능한지도 함께 검증해야 한다. 랜섬웨어 대응 전략도 주요 과제로 언급됐다. SK쉴더스는 랜섬웨어가 더 이상 일부 대기업만의 문제가 아니며, 예방만으로 피해를 막기 어려운 위협이 됐다고 지적했다. 최근 랜섬웨어 공격은 정상 계정 탈취, 원격 데스크톱 프로토콜(RDP) 악용, 공급망 공격 등 다양한 경로로 침투해 장시간 잠복한 뒤 피해를 확대하는 양상을 보이고 있다. 이에 따라 사고 발생 이후 감염 범위를 빠르게 확인하고 내부 확산을 우선 차단하는 대응 체계가 필요하다고 강조했다. 이상 징후가 발견되면 연관 계정과 시스템 범위를 신속하게 식별하고, 원격접속과 계정 권한, 네트워크 이동 경로를 통제해야 한다. 백업만으로는 한계가 있는 만큼 상시 모니터링과 침해사고 대응 체계를 함께 갖춰야 한다는 것이다. 실제 공격자 관점의 보안 검증 방식인 레드팀 전략도 주목할 필요가 있다고 설명했다. 레드팀은 해커의 시각에서 침투와 내부 확산 시나리오를 재현하며 조직의 실질적인 대응 역량을 확인하는 방식이다. 단순 취약점 진단과 달리 피싱, 사회공학 기법, 내부 이동, 권한 상승 등 실제 공격 절차를 반영해 방어 체계의 허점을 찾는 데 초점이 있다. SK쉴더스는 기존 탐지·차단 중심 보안 체계만으로는 고도화된 공격에 충분히 대응하기 어렵다고 봤다. 실제 해커처럼 침투 가능 경로를 사전에 검증하고, 공격 시나리오별 대응 절차가 작동하는지 확인해야 한다는 것이다. 생성형 AI 기반 보안관제 자동화도 새로운 흐름으로 제시됐다. SK쉴더스는 최근 보안관제 환경에서 경보 분류, 조사, 보고 등 반복 업무를 중심으로 AI를 활용하는 사례가 늘고 있다고 설명했다. 다만 AI 산출물은 참고자료나 초안 수준으로 활용하고 최종 판단은 보안 분석가가 검토·확정하는 운영 체계가 필요하다고 강조했다. 이번 인사이트는 기업 보안이 인증 취득이나 정기 점검만으로는 충분하지 않다는 점을 보여준다. 실제 공격자는 기업의 인증 보유 여부와 무관하게 노출된 계정과 취약한 설정, 외부 연동 지점을 노린다. 따라서 보안 조직은 자산 식별부터 침투 검증, 관제 연계, 사고 대응까지 이어지는 실전형 체계를 갖춰야 한다. 향후 기업 보안 투자는 예방 장비 중심에서 검증과 대응 중심으로 이동할 가능성이 크다. 공격 표면 관리, 레드팀, 랜섬웨어 대응 훈련, AI 기반 관제 자동화가 통합적으로 운영될 때 보안 수준을 실제 위험 감소로 연결할 수 있다. 특히 중소·중견기업은 전문 인력과 예산이 제한적인 만큼 외부 보안 전문기업과의 협업을 통해 실전 대응 체계를 보완할 필요가 있다. SK쉴더스측은 “정기 점검만으로 충분한지 다시 봐야 할 때”라며 “공격자 관점에서 침투 가능성과 대응 체계를 함께 검증하는 실전형 보안 검증이 필요한 시점”이라고 전했다.2026-05-13 11:02:53
-
SK쉴더스, 생성형 AI 보안 실무 교육 운영…기업 보안 역량 강화 [경제일보] SK쉴더스(대표 민기식)가 국내 기업 보안 실무자를 대상으로 생성형 AI 활용 교육을 운영한다. AI를 활용한 사이버 공격이 빠르게 고도화되는 가운데 보안 현장에서 AI 기반 대응 역량을 높이기 위한 실무형 과정이다. SK쉴더스는 ‘생성형 AI 활용 보안 역량 강화’ 교육 프로그램을 운영한다고 11일 밝혔다. 이번 교육은 국내 기업 보안 담당자가 생성형 AI를 취약점 분석 침해사고 대응 보안 데이터 처리 등 실제 업무에 활용할 수 있도록 돕는 데 초점을 맞췄다. 최근 사이버 위협은 생성형 AI 확산과 함께 더 빠르고 정교해지고 있다. 글로벌 보안 기업 크라우드스트라이크의 ‘2026 글로벌 위협 보고서’에 따르면 지난해 AI를 활용한 사이버 공격은 전년 대비89% 증가했다. 시스템 침투에 걸리는 평균 시간도 29분으로 전년보다65% 줄었다. 방어 체계가 단27초만에 무력화된 사례도 보고됐다. 공격 속도가 빨라지면서 보안 실무자의 대응 방식도 바뀌고 있다. 기존에는 사람이 직접 로그와 취약점 정보를 분석하고 대응 보고서를 작성하는 방식이 많았다. 그러나 공격 규모가 커지고 자동화 수준이 높아지면서 보안 데이터 처리와 침해 징후 분석에도 AI 활용이 필요해졌다. 특히 중소기업은 인력과 예산 제약으로 최신 보안 위협에 대응하기 쉽지 않다. 보안 전문 인력이 부족한 상황에서 AI 공격이 늘어날 경우 기업 규모에 따른 대응 격차가 더 커질 수 있다. SK쉴더스가 이번 교육을 마련한 배경도 여기에 있다. 교육 과정은 생성형 AI 기반 보안 기술 이해부터 실습 프로젝트 수행까지 단계적으로 구성됐다. 주요 내용은 보안 데이터 처리 취약점 진단 및 분석 침해사고 탐지 및 대응 등이다. 단순 이론 교육이 아니라 실제 보안 업무 흐름에 생성형 AI를 적용하는 방식으로 운영된다. 수업은 문제중심학습 방식으로 진행된다. 수강생은 SK쉴더스 EQST의 모의해킹 환경과 ChatGPT 등 생성형 AI 도구를 활용해 공격 시나리오를 분석한다. 이후 대응 전략 수립과 결과 보고서 작성까지 직접 수행하며 실전 감각을 익힌다. 이번 교육은 보안 실무자의 업무 효율성을 높이는 데도 의미가 있다. 생성형 AI를 활용하면 반복적인 보안 데이터 정리 취약점 요약 사고 대응 문서 작성 시간을 줄일 수 있다. 다만 AI가 제시한 분석 결과를 그대로 신뢰하기보다 실무자의 검증과 판단이 함께 이뤄져야 한다. AI 보안 교육은 앞으로 기업 보안 체계의 기본 역량으로 자리 잡을 가능성이 크다. 공격자는 AI로 정찰 피싱 악성코드 제작 취약점 탐색 속도를 높이고 있다. 방어자 역시 AI를 활용해 탐지와 분석 대응 시간을 줄여야 균형을 맞출 수 있다. 이번 교육은 이런 변화에 맞춰 보안 실무자의 도구 활용 능력을 높이는 시도로 볼 수 있다. 이번 교육은 SK쉴더스 루키즈 홈페이지를 통해 오는 25일까지 신청할 수 있다. 모집 인원은 총30명이며 선착순으로 접수한다. SK쉴더스 관계자는 “AI를 활용한 사이버공격이 일상화되는 시대에 보안은 개별 기업을 넘어 산업 전체가 함께 대응해야 할 과제”라며 “이번 교육이 생성형 AI 보안 위협에 대비한 실무 역량을 높이고 국내 사이버보안 생태계 전반의 대응력을 높이는 계기가 되길 기대한다”고 말했다.2026-05-11 09:42:25
-
금감원, 정보시스템 비상대응 모의훈련 실시…DDoS·랜섬웨어·화재 대응 점검 [경제일보] 금융감독원이 재난·재해와 사이버 침해사고 등 비상상황에 대비한 정보시스템 비상대응 모의훈련을 실시했다. 고도화되는 사이버 위협에 선제적 대응을 강화해 피해를 방지하자는 취지다. 8일 업계에 따르면 금융감독원은 지난 7일 서울영등포구 금융감독원 주전산센터와 재해복구센터에서 금융감독 정보시스템 비상대응 모의훈련을 진행했다. 이번 훈련은 디도스(DDoS) 공격과 랜섬웨어 감염, 본원 화재 발생 상황을 가정한 시나리오 기반 방식으로 이뤄졌다. 금감원은 매년 △불법사금융 피해신고 △금융통계정보 △금융민원·신고 접수 △통합연금포털 등 대국민 정보시스템의 안정적 서비스와 정보보호를 위해 비상대응체계를 점검하고 모의훈련을 실시하고 있다. 이번 훈련은 실제 사고 발생시 현장에서 실효성 있게 작동할 수 있도록 최근 금융권 정보시스템 중단 사고사례 등 최신 위협 동향을 반영해 진행했다. DDoS 공격 대응 훈련은 금감원 홈페이지를 대상으로 실제 공격 트래픽을 발생시키는 방식으로 이뤄졌다. 금감원은 자체 보안장비를 통한 탐지·차단과 함께 대응 한계를 넘는 경우 통신사 사이버대피소로 전환하는 연계 절차를 점검했다. 랜섬웨어 감염 대응 훈련에서는 홈페이지가 랜섬웨어에 감염된 상황을 가정해 백업체계를 통한 복구 전 과정을 점검했다. 내부 보고와 의사결정, 비상대응체계 구성, 대체서버 및 백업시스템을 활용한 서비스 복구 절차를 점검했다. 화재 발생에 따른 재해복구 전환 훈련도 병행됐다. 금감원은 무정전전원장치(UPS)와 전원장치 화재로 전산센터 시스템이 중단된 상황을 가정해 정보기술(IT) 업무연속성계획(BCP)에 따른 재해복구센터 전환 절차를 점검했다. 시스템 가동뿐 아니라 대체업무공간 마련과 복구인력 이동 등 전체 복구절차의 유효성도 함께 확인했다. 금감원은 이번 훈련을 바탕으로 세부 대응절차를 보완하고 연내 재해복구센터 실전환 훈련과 DDoS 공격, 모의해킹, 악성메일 대응훈련 등을 추가로 실시할 계획이다. 이찬진 금감원장은 "정보보안과 업무지속성 확보는 실무 차원의 기술적 대응을 넘어 경영진의 관심과 의지가 뒷받침돼야 실효성 있는 대응체계로 완성될 수 있다"고 강조했다. 이어 "금융감독 정보시스템은 금융소비자 신뢰와 직결되는 핵심 인프라인 만큼 실전 훈련을 통해 흔들림 없는 비상대응태세를 유지해 달라고" 덧붙였다.2026-05-08 14:18:34
-
보험업계, 디지털 범죄 예방 전선 확대…보장 영역도 넓힌다 [경제일보] 보험업계가 사이버 침해와 디지털 금융범죄에 대응하기 위한 사전 예방 체계를 강화하고 있다. 기업 고객 대상 보안 진단과 이상거래탐지시스템을 통해 사고 가능성을 낮추는 한편 보이스피싱·중고거래 사기 등 생활형 디지털 사고 보장 상품도 확대되는 모습이다. 1일 업계에 따르면 KB손해보험은 최근 사이버보험 관리 체계를 고도화하기 위해 보안 전문 기업과 잇따라 업무협약을 체결했다. 먼저 에이아이스페라와 사이버 보안 기술과 보험 서비스를 연계한 리스크 관리 체계를 구축하기로 했다. 이어 모의해킹 전문 보안 기업 엔키화이트햇과도 업무협약을 맺었다. 양사는 △가입 고객 대상 보안 점검 및 위험 진단 △공격자 관점의 실전 모의해킹 서비스 제공 △최신 보안 위협 동향 및 침해사고 유형 정보 교류 등의 분야에서 협력한다. 삼성생명은 보이스피싱 피해 차단을 위한 예방 체계에서 성과를 냈다. 삼성생명은 보험업권 최초로 이상거래탐지시스템(FDS)을 구축하고 보험계약대출과 계약해지 등 주요 거래 과정에서 이상 거래를 탐지해 왔다. 특히 보험업권 권고 탐지 룰보다 많은 80여개 이상의 탐지 룰을 적용하고 디지털 채널·콜센터·고객 플라자 등 전 채널을 연계한 통합 대응 프로세스를 구축했다. 이를 통해 지난해 '보이스피싱 ZERO화'를 선언한 지 6개월 만인 지난 3월 고객 피해 0건을 기록했다. 보장 영역도 생활형 디지털 사고로 넓어지고 있다. 현대해상은 다이렉트 채널을 통해 '디지털사고안심보험'을 출시했다. 해당 상품은 보이스피싱·메신저피싱 등 사이버 금융범죄 피해와 중고거래 등 비대면 직거래 과정에서 발생하는 피해를 보장한다. 특히 인터넷 쇼핑몰 사기피해 보장은 업계 최초로 배타적 사용권을 취득한 담보다. 현대해상은 대규모 개인정보 유출과 기업 해킹 사고 이후 이를 악용한 2차 금융사기와 명의도용 피해 가능성이 커진 점을 반영해 상품을 개발했다. 보험업계의 디지털 범죄 대응 강화는 사이버 공격과 금융사기가 동시에 고도화되고 있는 환경과 맞물린다. 랜섬웨어, 데이터 유출, 명의도용, 보이스피싱 등 피해 유형이 다양해지면서 기업과 개인 고객 모두 디지털 리스크 관리 필요성이 확대됐다. 이에 보험사들은 단순 보장 상품 제공을 넘어 사전 점검, 이상거래 탐지, 보안 기업 협업 등을 결합한 리스크 관리 체계를 확대하는 흐름을 보이고 있다.2026-05-01 08:04:00
-
![[보험업계 스냅샷] NH농협생명, 춘천 복숭아 농가 농촌봉사활동 진행 外](https://image.ajunews.com//content/image/2026/04/24/20260424132640348030.jpg)
NH농협생명, 춘천 복숭아 농가 농촌봉사활동 진행 外 [경제일보] NH농협생명, 춘천 복숭아 농가 농촌봉사활동 진행 NH농협생명이 지난 22일 봄철 농가 인력난 해소를 위해 강원도 춘천시 복숭아 농가에서 농촌봉사활동을 진행했다고 24일 밝혔다. 이날 조근수 NH농협생명 농축협사업부문 부사장 및 임직원 20여명은 봄철 농가 정비, 복숭아나무 꽃 떨이 작업에 참여했다. 조 부사장은 "임직원들이 자발적으로 참여해 농가에 실질적인 도움을 드릴 수 있어 뜻깊은 시간이였다"며 "앞으로도 농촌과의 상생을 위한 다양한 지원 활동을 실시하겠다"고 말했다. KB손보, 엔키화이트햇과 '사이버 리스크 관리 체계 고도화' 업무협약 체결 KB손해보험이 모의해킹 전문 보안 기업 엔키화이트햇과 사이버 리스크 관리 체계 고도화를 위한 업무협약을 맺었다고 24일 밝혔다. 이번 협약을 통해 양사는 모의해킹을 기반으로 한 사이버 리스크 점검 협력체계 구축, 보험 가입 전 단계에서의 보안 수준 검증·위험 진단 고도화를 추진한다. 세부적으로는 △가입 고객 대상 보안 점검 및 위험 진단 △공격자 관점의 실전 모의해킹 서비스 제공 △최신 보안 위협 동향 및 침해사고 유형 정보 교류 등 분야에서 협력할 계획이다. KB손보는 이번 협약으로 사이버 리스크를 실질적으로 검증하고 사고 예방 중심의 사이버보험 운영 기반을 강화할 예정이다. KB손보 관계자는 "이번 협약은 실제 공격 시나리오 기반의 모의해킹을 통해 기업 고객의 사이버 리스크를 보다 입체적으로 점검하기 위한 것"이라며 "실질적인 리스크 검증을 바탕으로 사이버보험의 차별화 경쟁력을 강화해 나가겠다"고 말했다. ABL생명, '제59기 서울시 초등학교 어린이 회장단 수련회' 개최 ABL생명이 지난 23~24일 경기도 용인 자사 연수원에서 서울시 초등학교 어린히 회장 100여명을 대상으로 '제59기 서울시 초등학교 어린이 회장단 수련회'를 개최했다고 24일 밝혔다. 서울시 초등학교 어린이 회장단 수련회는 ABL생명이 지난 1992년부터 매년 상·하반기에 한번씩 진행하는 사회공헌 프로그램이다. 이번 수련회에 참여한 학생들은 △외부 강사 초청 특강 △레크리에이션 활동 △ABL생명 금융경제 교육 등에 참여했다. ABL생명 관계자는 "이 수련회는 우리 사회의 미래를 이끌 어린이 회장 여러분에게 진정한 리더십의 가치를 일깨워 주고자 마련했다"며 "이번 수련회를 통해 리더로서의 역량을 키우고 따뜻한 리더로 성장하길 바란다"고 말했다.2026-04-24 13:28:35
-
내 정보 털린 공공기관 이제 이름 다 공개된다 역대급 페널티 폭탄 예고 [경제일보] 개인정보보호위원회가 공공기관의 개인정보 유출 사고에 대한 페널티를 기존보다 두 배로 확대하기로 결정했다. 공공 부문에서 잇따라 발생하는 대규모 보안 사고에 엄중히 대처하고 각 기관의 실질적인 안전 관리 역량을 끌어올리기 위한 특단의 조치다. 개인정보보호위원회는 지난 8일 전체회의를 열고 이 같은 내용을 핵심으로 하는 2026년 공공기관 개인정보 보호수준 평가 추진계획을 최종 확정했다고 13일 공식 발표했다. 이번 계획은 기관의 예방 노력부터 사고 수습 과정까지 전 주기에 걸친 책임을 대폭 강화하는 방향으로 설계됐다. 개인정보 보호수준 평가는 개인정보 보호법 제11조의 2에 근거해 공공기관이 법적 의무를 제대로 이행하는지 점검하는 핵심 잣대다. 지난 2024년 첫 도입된 이후 공공 부문의 관리체계 내실화를 목표로 운영되어 왔으나 솜방망이 처벌에 그친다는 비판이 지속 제기되어 왔다. 올해 확정된 계획에서 가장 눈에 띄는 대목은 유출 사고 발생 시 부여되는 감점 한도를 상향한 것이다. 기존 최대 10점이었던 감점 폭이 20점으로 크게 늘어나며 단 한 번의 사고로도 기관 평가에 치명적인 타격을 입게 된다. 사고 발생 자체에 대한 징계에 그치지 않고 사후 수습 과정의 적절성도 엄격하게 따진다. 사고 이후 대응 조치가 미흡하다고 판단될 경우 최대 5점의 감점이 추가로 부과되어 총 25점까지 점수가 깎일 수 있다. 공공기관 평가에서 1~2점 차이로 등급이 갈리는 현실을 고려할 때 이는 매우 강력한 제재 수단으로 작용할 전망이다. 개인정보보호위원회가 이처럼 칼을 빼든 배경에는 최근 걷잡을 수 없이 확산하는 공공 부문의 정보 유출 실태가 자리 잡고 있다. 헌법기관과 중앙행정기관 등에서 유출된 국민의 민감한 정보가 폭발적으로 증가하며 국가 전산망에 대한 국민의 불신이 극에 달한 상황이다. 실제로 최근 몇 년간 공공기관의 관리 부실로 인한 사고가 끊이지 않았다. 질병관리청에서 국민 건강 조사 결과지를 엉뚱한 사람들에게 문자로 잘못 발송하는 등 담당자의 부주의로 인한 인적 과실이 심각한 수준에 이르렀다. 해커들의 지속적인 웹 취약점 공격에 노출되어 대규모 데이터가 빠져나가는 사례도 빈번하게 보고되고 있다. 이러한 문제점을 해결하기 위해 평가 지표는 사후 징계 중심에서 실질적인 사전 예방 활동 중심으로 전면 개편된다. 외부 해킹 위협에 대비한 모의해킹 수행 실적과 보안 취약점 점검 여부가 새로운 정성평가 지표로 도입됐다. 사이버 공격을 선제적으로 방어하기 위한 기관의 자발적인 노력을 집중적으로 들여다보겠다는 의도다. 가장 빈번한 사고 원인으로 지목되는 내부 직원에 의한 데이터 오남용 문제도 집중적으로 다룬다. 개인정보위원회는 올해의 핵심 점검 테마를 내부자 보안으로 선정하고 내부 시스템 접근 권한 관리 실태를 꼼꼼하게 따질 계획이다. 기관장의 관심도와 개인정보 보호 노력에 대한 배점도 높여 조직 최상위 층부터 능동적인 대응 체계를 구축하도록 독려한다. 평가의 투명성과 변별력을 확보하기 위한 강도 높은 장치도 마련됐다. 자체 평가를 수행하는 소속기관과 교육지원청을 대상으로 보통 일부미흡 미흡 등 3등급 체계를 새롭게 적용한다. 점수대별로 90점 이상은 보통을 부여하고 80점에서 90점 사이는 일부미흡으로 분류하며 80점 미만은 최하 등급인 미흡으로 처리한다. 특히 미흡 등급을 받은 기관은 명단을 대외적으로 공개해 사회적 경각심을 극대화할 방침이다. 국민의 소중한 정보를 소홀히 다룬 대가를 기관의 공개 망신으로 치르게 하겠다는 강력한 경고 메시지다. 일부미흡 판정과 미흡 판정을 받은 기관은 구체적인 보완 조치서를 의무적으로 제출해야 한다. 이들 기관에 대한 평가 과정에는 민간 전문가가 참여하는 심층 정성평가 비중을 절반인 50%까지 확대한다. 단순 서류 심사를 탈피해 실질적인 보호 수준을 검증하겠다는 의미다. 지정된 평가 시스템 선정 기준을 지키지 않을 경우에도 가차 없이 감점을 부여해 평가의 엄정함을 유지한다. 올해 평가의 도마 위에 오르는 대상은 중앙행정기관과 그 소속기관을 비롯해 지방자치단체와 공공기관 등 총 1464개에 달한다. 지방공사와 공단은 물론 시도 교육청 산하 학교와 특수법인까지 포함되어 사실상 국민의 데이터를 취급하는 모든 공공 부문이 사정권에 들어왔다. 본격적인 검증 작업은 올해 9월부터 시작되어 내년 3월까지 서면 검증과 현장 점검 방식으로 강도 높게 진행된다. 수집된 자료는 전문가 평가단의 철저한 검증을 거치며 최종 결과는 내년 4월 대국민 앞에 공식 발표될 예정이다. 우수 기관과 담당자에게는 포상을 확대하는 반면 성적이 저조한 기관에는 즉각적인 개선 권고와 혹독한 이행 점검이 뒤따른다. 제도의 원활한 안착을 돕기 위한 지원책도 병행된다. 개인정보위원회는 오는 6월부터 9월까지 권역별 현장 설명회를 개최하고 세부 기준이 담긴 평가 편람을 온 오프라인 채널로 배포한다. 평가 결과가 부진하거나 선제적인 자문을 희망하는 기관에는 전문가가 직접 찾아가는 1대1 맞춤형 현장 컨설팅을 제공해 제도적 허점을 메우도록 지원할 계획이다. 업무 담당자들이 참고할 수 있는 우수 사례집도 함께 발간된다. 양청삼 개인정보위원회 사무처장은 "최근 공공기관에서도 유출사고가 잇따르는 만큼 공공 부문의 안전 관리체계가 더욱 강화돼야 한다"고 지적하며 "평가 과정에서 발견된 미흡 사항을 기관이 자발적으로 개선할 수 있도록 설명회와 현장 컨설팅 등 체계적인 지원을 통해 공공 부문 전체의 안전관리 수준을 철저히 높여 나갈 것"이라고 강조했다. 해외 선진국들의 엄격한 개인정보 보호 조치와 비교할 때 이번 정부의 행보는 매우 시의적절하다는 평가를 받는다. 유럽연합의 일반데이터보호규정은 민간 기업뿐만 아니라 공공기관의 정보 관리 부실에도 천문학적인 과징금을 부과하고 있다. 불가리아 국세청이 보안 조치 미비로 해커의 공격을 받아 대규모 세무 기록이 유출되었을 당시 감독 기구로부터 260만 유로에 달하는 막대한 과징금 철퇴를 맞은 사례가 대표적이다. 우리나라는 아직 공공기관에 대해 이처럼 파괴적인 과징금을 직접 부과하기는 어려운 법적 구조를 가지고 있다. 하지만 기관장 평가와 직결되는 감점 제도를 대폭 상향하고 명단 공개라는 사회적 제재 수단을 동원한 것은 유럽의 징벌적 손해배상에 버금가는 실질적인 압박 요인이 될 수 있다. 공공기관의 특성상 기관 평가 결과는 예산 배정과 임직원 성과급에 직접적인 영향을 미치기 때문이다. 정보통신 기술의 발달로 행정 전산망이 촘촘하게 연결되면서 하나의 시스템이 뚫리면 국가 전체의 행정 데이터가 위험에 처하는 초연결 시대에 진입했다. 과거처럼 부처별로 흩어져 있던 데이터가 통합 시스템으로 모이면서 해커들에게는 훨씬 더 매력적인 먹잇감이 된 것이다. 보안 업계 전문가들은 감점 확대라는 징벌적 성격의 규제도 중요하지만 궁극적으로는 공공기관 내부의 근본적인 보안 문화 쇄신이 필요하다고 입을 모은다. 보안 투자 예산을 비용이 아닌 국가 핵심 인프라를 지키기 위한 필수 생존 전략으로 인식하는 패러다임 전환이 시급하다. 개인정보위원회의 이번 조치가 단순한 엄포에 그치지 않고 대한민국 공공 부문의 정보 보안 체질을 근본적으로 바꾸는 결정적인 변곡점이 될 수 있을지 관심이 집중된다.2026-04-13 14:35:36
-
개인정보위 "쿠팡, '노출' 아닌 '유출'로 정정해 다시 알려라"… 행정지도 착수 [이코노믹데일리] 사상 최대 규모인 3370만명의 개인정보 유출 사고를 일으킨 쿠팡이 사태 초기 피해 사실을 '유출'이 아닌 '노출'로 축소 통지한 것에 대해 정부가 시정을 권고했다. 또한 정부는 이번 사태를 계기로 기업의 책임을 강화하기 위해 징벌적 손해배상제도를 현실화하고 무용론이 제기된 정보보호 인증 체계(ISMS-P)를 전면 개편하기로 했다. 개인정보보호위원회(이하 개인정보위)는 3일 긴급 전체회의를 열고 쿠팡에 개인정보 '노출' 통지를 '유출'로 정정하고 누락된 피해 항목을 포함해 이용자에게 재통지할 것을 권고했다고 밝혔다. 개인정보위 조사 결과 쿠팡은 지난달 18일 비정상적 접속으로 고객 정보가 외부로 빠져나간 사실을 확인했음에도 피해자들에게 보낸 문자메시지와 홈페이지 공지에는 '개인정보 노출'이라는 표현을 사용했다. 법적으로 '노출'은 정보가 누구나 볼 수 있는 상태를 '유출'은 통제권을 상실해 권한 없는 자에게 넘어간 상태를 뜻한다. 업계에서는 쿠팡이 집단소송이나 징벌적 배상 리스크를 줄이기 위해 의도적으로 표현을 순화한 것 아니냐는 비판이 제기돼 왔다. 이에 개인정보위는 이용자의 혼선을 막기 위해 용어를 '유출'로 명확히 수정하고 공동현관 비밀번호 등 당초 공지에서 빠진 항목까지 포함해 다시 알리도록 했다. 또한 홈페이지 초기 화면이나 팝업창에 피해 사실을 일정 기간 이상 게시하고 2차 피해 방지를 위한 전담 대응팀(Help Desk)을 확대 운영할 것을 주문했다. 송경희 개인정보위 위원장은 이날 국회 정무위원회 전체회의에 출석해 "과징금을 강화하고 징벌적 손해배상제도의 실효성을 강구할 수 있는 방안을 찾겠습니다"라고 밝혔다. 이는 전날 이재명 대통령이 "피해 규모가 3400만 건으로 방대한데도 사건이 발생하고 회사가 유출 자체를 파악하지 못했다는 게 참으로 놀랍다"며 관계 부처에 실효적인 대책 마련을 지시한 데 따른 후속 조치다. 송 위원장은 "3370만명의 개인정보가 유출됐고 이름, 이메일 주소, 배송지 정보, 주문정보 등이 유출된 것으로 확인됐다"며 "배송지 주소에는 회원뿐 아니라 가족, 지인, 받는 사람 주소와 일부 공동현관 비밀번호가 포함됐다"고 설명했다. 이어 "사업자가 개인정보 보호에 인적·물적 투자를 하도록 효과적인 유인체계를 만들겠다"고 강조했다. 정부는 이번 사고를 계기로 유명무실하다는 지적을 받아온 '정보보호 및 개인정보보호 관리체계 인증(ISMS-P)' 제도도 대대적으로 손질한다. 쿠팡은 ISMS-P 인증을 유지하고 있었음에도 이번 사고를 막지 못했다. 실제로 2020년 이후 ISMS-P 인증 기업에서 발생한 개인정보 유출 사고는 34건에 달한다. 정부는 향후 인증 심사를 기존 서류 중심에서 '모의 해킹'을 포함한 현장 심사 위주로 전환하고 중대 결함 발견 시 인증을 즉시 취소하는 ‘원스트라이크 아웃’ 제도를 도입할 방침이다. 김승주 고려대 정보보호대학원 교수는 “(정부가) ISMS-P를 현실화시키면서 모의 해킹 위주로 검토하는 것 같다”면서 “ISMS-P 평가자들이 있는데 우선 평가자들을 모아놓고 현장의 (여러) 의견을 들어봐야 한다”고 조언했다. 개인정보위 관계자는 "쿠팡이 개선 권고를 따를지 아니면 그렇지 않을지를 보면 (쿠팡이) 국내 소비자를 어떤 식으로 바라보는지 알 수 있을 것"이라며 "개인정보위로서는 우선 쿠팡에 ‘경고’를 한 셈인데 이번 개선 권고를 이행하지 않으면 나중에 실제 제재 때 영향을 줄 수 있다"고 밝혔다. 한편 쿠팡은 지난달 20일 4536개 계정 유출로 1차 신고를 했으나 이후 정밀 조사 과정에서 피해 규모가 3370만 개로 늘어나 지난달 29일 2차 신고를 접수했다. 현재 민관합동조사단이 정확한 유출 경위와 쿠팡의 보안 조치 위반 여부를 조사 중이다.2025-12-03 15:49:43
많이 본 뉴스
영상
Youtube 바로가기
![[데스크칼럼] 코스피 8000시대…이제 다음을 준비하자](https://image.ajunews.com/content/image/2026/05/28/20260528101020387927_518_323.jpg)