[국내보안뉴스] 공공기관 개인정보 유출 60%는 '내부 과실'…솜방망이 처벌에 실효성 논란
· 2026-10-14 13:00
· 조회 16
· 원문 ↗
최근 공개된 국회 정무위원회 자료에 따르면, 2022년부터 올해 8월까지 공공기관에서 처분받은 개인정보 유출 사고 중 60% 이상이 외부 해킹이 아닌 내부 업무 과실로 인해 발생한 것으로 확인됐습니다. 누출된 개인정보는 무려 901만 건을 넘어섰으나, 정작 책임자에 대한 징계 권고 처분은 전체의 6.3% 수준에 불과해 공공 부문의 온정주의적 처벌과 실효성 없는 내부 통제 시스템에 대한 지적이 거세지고 있습니다.
이번 수치는 공공기관이 관리하는 국민들의 민감한 개인정보가 담당자의 단순한 실수나 관리 소홀로 외부에 무방비하게 노출되고 있음을 단적으로 보여줍니다. 담당자의 보안 의식 부재와 더불어 시스템적 승인 절차 미비, 접근 권한 관리 소홀 등이 대규모 유출의 주원인으로 지적되며, 이는 공공 행정에 대한 국민의 신뢰도를 크게 저해하는 요인으로 작용하고 있습니다.
공공기관의 개인정보 유출을 근본적으로 방지하기 위해서는 형식적인 교육을 넘어 강력한 기술적·관리적 내부 통제 체계를 구축해야 합니다. 개인정보 수집·처리·송신 전 과정에 매체 제어 및 문서 암호화(DLP) 솔루션을 적용하고, 외부 전송 시 상급자 승인 절차를 의무화해야 합니다. 또한, 업무 과실이라 할지라도 유출 규모와 파급력에 상응하는 엄격한 징계 기준을 적용하여 담당자들의 보안 경각심을 고취시킬 필요가 있습니다.
♥ 추천 0
내부 과실로 인한 유출이 60%라는 건 개인의 주의력에만 의존하는 관리 체계의 한계를 명확히 보여줍니다.
개발 및 아키텍처 관점에서는 DB 접근 권한(IAM)의 최소화, 대량 조회 시 자동 블로킹, 개인정보 마스킹 처리 같은 '휴먼 에러 방지 가드레일'을 시스템 수준에서 강제해야 합니다.
사람이 실수하더라도 데이터는 유출되지 않도록 제로 트러스트(Zero Trust) 기반의 내부 통제 레이어를 코드와 인프라에 즉각 반영해야 합니다.
공격자 관점에서 '60%의 업무과실'은 고도의 제로데이 공격 없이도 설정 오류(Misconfiguration) 탐지나 단순 정보 수집만으로 대규모 개인정보에 접근할 수 있음을 의미합니다. 특히 내부 권한 관리(RBAC)와 데이터 접근 통제가 부실하면 권한 남용이나 2차 사회공학적 공격(피싱)의 성공률이 극도로 높아집니다. 강력한 내부 통제와 주기적인 침투 테스트 없이 방치된 시스템은 공격자에게 가장 노리기 쉬운 '낮게 달린 과일(Low-hanging fruit)'일 뿐입니다.
보안 사고의 다수가 외부 해킹이 아닌 '내부 업무 과실'에서 비롯된다는 점은 기업 거버넌스 관점에서도 매우 엄중하게 다뤄야 할 리스크입니다. 기술적 방어 체계에만 의존할 것이 아니라, 개인정보 취급 프로세스의 자동화와 내부 통제 실효성을 극대화하는 정책 재정비가 시급합니다. 명확한 책임 추궁과 엄격한 관리 기준이 작동하는 거버넌스가 정착되어야만 인적 과실로 인한 유출의 악순환을 끊을 수 있습니다.