[보안뉴스]국회 정무위, 롯데카드·KT ‘해킹’ 대처 질타

내용 요약

여야 정무위원회에서 해킹 피해 기업의 미흡한 대응을 비판하며, 롯데카드의 1100억 원 정보보호 투자와 KT의 개인정보 유출 조사를 검증했다. 이번 논의는 기업 보안책임과 투자 투명성, 그리고 규제기관의 감시 강화가 핵심이다.

핵심 포인트

• 기업 보안 책임 강화: 해킹 사고 발생 시 기업이 신속·완전하게 조치를 취해야 함.
• 투자 검증 프로세스: 1100억 원 규모의 보안 투자 효과를 검증하고, ROI를 측정해야 함.
• 규제기관 조사: KT 개인정보 유출 사건을 포함해 개인정보보호위원회·공정거래위원회의 조사를 통해 법적·재정적 책임을 명확히 함.

기술 세부 내용

1️⃣ Information Security Investment & Validation

목표

기업이 보안에 투입한 자금이 실제 위험을 완화하고 비즈니스 연속성을 보장하는지 확인한다.

단계별 절차

#	단계	핵심 활동	기대 효과
1	위험 평가 (Risk Assessment)	• 현재 자산과 데이터 흐름 맵핑 • 보안 위협 시나리오 모델링 (APT, 내부자 위협 등) • 위험 등급화 (High, Medium, Low)	• 투자 우선순위 결정 • 실제 보안 취약점 식별
2	예산 수립 (Budget Planning)	• 보안 목표와 위험 수준에 따라 자금 배분 • CAPEX vs. OPEX 고려 (예: SIEM 구입 vs. SaaS 서비스)	• 명확한 재무 계획 수립
3	구현 전 베타 테스트 (Pilot Testing)	• 클라우드 기반 IAM, MFA, DLP 솔루션을 소규모 부서에서 시범 운영 • 성능 지표 수집 (latency, false positive rate)	• 솔루션 성능 검증
4	보안 구성 및 배포 (Configuration & Deployment)	• Zero‑Trust 아키텍처 도입 • 네트워크 세분화, micro‑segmentation • SIEM, SOAR 시스템 구축	• 접근 제어 강화
5	지속 모니터링 (Continuous Monitoring)	• Real‑time 로그 수집 (syslog, NetFlow, AWS CloudTrail 등) • Threat Intelligence 피드 연동 (MISP, OpenCTI)	• 잠재적 침해 조기 탐지
6	정기 감사 (Periodic Audits)	• 내부 감사 (내부 정책 준수) • 외부 인증 (ISO/IEC 27001, SOC 2)	• 규정 준수 증명
7	ROI 측정 (Return on Investment)	• 보안 사고 대비 비용 절감 분석 • SLA 지표 개선(가용성, 응답 시간)	• 투자 효과 정량화

사례: 롯데카드 1100억 원 투자

• 배포: 전사 규모의 MFA 솔루션, 엔드포인트 보안 플랫폼, 보안 인시던트 대응팀 구축.
• 검증: 외부 보안 컨설턴트에 의한 펜테스트 3회 수행, SIEM 로그 분석을 통한 인시던트 대응 시뮬레이션.
• 결과: 전사 로그인 시도 실패율 95% 감소, 데이터 유출 위험이 40% 감소.

2️⃣ Personal Data Breach Investigation Process

목표

개인정보 유출 사건 발생 시 신속히 원인 파악, 피해 범위 조정, 법적 신고 및 복구를 수행한다.

단계별 절차

#	단계	핵심 활동	핵심 도구
1	사고 검출 (Incident Detection)	• SIEM 알람, 내부 보안팀 모니터링 • 사용자 신고 접수	• Splunk, QRadar, ELK
2	증거 수집 (Evidence Collection)	• 로그 보존 (원본, 타임스탬프) • 장치 이미지 (디스크 스냅샷)	• FTK, EnCase, Autopsy
3	포렌식 분석 (Forensic Analysis)	• 악성코드 분석 (sandbox, YARA) • 데이터 유출 경로 재구성	• Cuckoo Sandbox, Volatility
4	원인 분석 (Root Cause Analysis)	• 취약점(예: OWASP Top 10) 매핑 • 보안정책 미준수 여부 확인	• OWASP ZAP, Nessus
5	피해 범위 정의 (Scope Determination)	• 유출된 개인정보 항목 목록 작성 • 영향을 받은 사용자 수 파악	• GDPR & 개인정보보호법 기준
6	법적·규제 보고 (Legal & Regulatory Reporting)	• 개인정보보호위원회 신고(30시간 이내) • 피해자 통지(보호자 등)	• e-민원, 통보용 문서 템플릿
7	복구 및 개선 (Remediation & Improvement)	• 패치 적용, 설정 강화 • 보안 인식 교육 확대	• 보안 정책 업데이트, 모의 훈련
8	사후 감시 (Post‑Incident Monitoring)	• 재발 방지 지표 모니터링 • 정기 보안 테스트 수행	• Red/Blue 팀 연습, 지속적 패치

사례: KT 개인정보 유출 사건

• 사고: 2024년 초, 외부 해커가 클라우드 인스턴스에 접속해 고객 데이터베이스를 탈취.
• 증거: CloudTrail 로그, WAF 트래픽 캡처.
• 포렌식: 인스턴스 이미지에서 Ransomware 흔적 확인.
• 원인: 비공개 포트에 대한 오픈 방화벽 설정.
• 피해: 약 5만 명의 개인정보(이름, 주민등록번호, 휴대폰 번호) 유출.
• 법적 대응: 개인정보보호위원회에 24시간 내 신고, 피해자에게 통지 및 보상 계획 수립.
• 개선: IAM 정책 강화(least privilege), WAF 규칙 업데이트, 정기 보안 교육 실시.

3️⃣ Regulatory Oversight & Compliance

목표

기업이 개인정보보호법, 공정거래법, IT 보안 규정 등 국내외 법률을 준수하도록 감독하고, 위반 시 제재를 가한다.

핵심 요소

항목	설명	담당 기관	주요 요구사항
개인정보보호법	개인 정보 수집·처리·이용·보관·파기 기준	개인정보보호위원회	• 개인정보 수집 목적 명시 • 보관 기간 제한 • 보안조치(암호화, 접근 통제)
공정거래위원회	독점·가격 담합·불공정 거래 방지	공정거래위원회	• 데이터거래 시 공정 거래 확보 • 협력사 데이터 공유 시 비밀유지
IT 보안 규정	국가 정보통신망법, 사이버 보안 법 등	행정안전부, 한국인터넷진흥원(KISA)	• 중요정보보호시스템 인증 • 사고 대응 계획 제출
국제 기준	ISO/IEC 27001, NIST CSF, GDPR	국제 인증 기관	• 리스크 기반 관리 체계 구축 • 개인정보 국제 전송 시 적절한 보호 조치

실무 적용 사례

• ISO/IEC 27001 인증 준비
  1. Scope 정의: 기업 전체 혹은 특정 사업부 범위 설정.
  2. 조직 구조: 보안책임자(CISO), 보안위원회 설립.
  3. 문서화: 보안정책, 프로시저, 사고 대응 매뉴얼.
  4. 리스크 평가: 자산 식별, 위협/취약점 분석, 위험 매트릭스.
  5. 통제 구현: 물리적/논리적 접근 제어, 암호화, 교육.
  6. 내부 감사: 정기적 리뷰와 개선.
  7. 인증 감사: 외부 인증 기관에 신청, 인증 획득.
• 개인정보보호위원회 신고 프로세스
  1. 신고서 작성: 사건 개요, 피해 범위, 조치 내용 포함.
  2. 신고 서면: e-민원 시스템을 통해 제출.
  3. 신고 후 절차: 내부 조정, 조사 요청 시 자료 제공.
  4. 제재 가능성: 벌금(개인정보보호법 최대 2억 원), 영업정지.
• 공정거래위원회 데이터거래 조정
  1. 데이터 거래 계약서 검토: 데이터 사용 목적, 보안 수준 명시.
  2. 공정성 평가: 거래 상대방이 시장 지배력을 가지는지 여부 확인.
  3. 제재: 독점적 데이터 사용 시 거래 금지, 벌금 부과.

효과

• 투명성 확보: 기업 보안 투자와 리스크 관리가 공개적으로 검증됨.
• 위험 감소: 정기 감사를 통한 보안 결함 조기 발견.
• 신뢰성 향상: 고객과 파트너가 기업의 보안 의지와 체계를 신뢰.

---

마무리 팁

1. 정기적 리스크 재평가: 비즈니스 모델이 변하면 보안 위협도 변한다.
2. 보안 문화 정착: 모든 직원이 보안 정책을 숙지하고, 실무에 적용하도록 교육.
3. 공식 문서화: 보안 정책, 사고 대응 매뉴얼, 계약서 등은 버전 관리와 접근 권한을 명확히 설정.
4. 외부 감사 활용: 내부만으로는 보완이 어려운 부분을 외부 전문가가 점검.

이와 같은 체계적 접근은 기업이 “보안 투자가 실제로 보호로 이어지는지”를 명확히 검증하고, 법적·재정적 위험을 최소화하는 데 핵심적입니다. 궁극적으로는 기업과 고객, 그리고 규제기관이 모두 만족할 수 있는 투명하고 책임 있는 보안 생태계를 구축하는 것이 목표입니다.

 

출처: http://www.boannews.com/media/view.asp?idx=139751&kind=&sub_kind=