"보안관리"에 대한 통합검색 결과
통합검색(23)
경제(8)
검색결과 총 23건
금융당국 "롯데카드, 허술한 정보보안 최대 수준 엄정한 제재" 해킹으로 인한 대규모 고객 정보 유출 사고가 발생한 롯데카드에 대해 금융당국이 18일 제재 방침을 밝혔다. 금융위원회는 18일 서울 광화문 정부서울청사에서 긴급 대책회의를 열어 "금감원 검사를 통해 위규 사항을 낱낱이 파악해 엄정한 조치를 취하겠다"며 "허술한 개인정보·정보보안 관리 사항에 대해서는 최대 수준의 엄정한 제재가 이뤄지도록 할 방침"이라고 말했다. 금융위는 전 금융권 금융 보안 실태를 전면 점검한다. 초동 조사 과정에서 확인된 보안 취약점은 2일 전 금융권에 자체 점검하도록 지시했다. 전체 카드사 보안 실태 역시 점검을 즉시 개시하기로 했다. 제도 개선도 추진해 중대한 보안 사고가 발생하면 일반적 과징금 수준을 뛰어넘는 징벌적 과징금을 도입하고, 금융회사가 정부의 보안 개선 요구를 이행하지 않는 경우 지속적인 이행 강제금을 부과할 계획이다. 권대영 금융위 부위원장은 "보안 투자를 비용이나 가외 업무로 인식하는 안이한 태도가 심각한 사태를 초래할 수 있는 만큼, 최고경영자(CEO) 책임 아래 전산 시스템 및 정보보호 체계 전반을 전면 재점검해달라"고 주문했다. 롯데카드는 이번 해킹 공격으로 297만명의 고객 정보가 유출된 것으로 확인됐다고 밝혔다. 유출이 확인된 회원 정보는 온라인 결제 과정에서 생성·수집된 데이터로 ▲ 연계 정보(CI) ▲ 주민등록번호 ▲ 가상 결제코드 ▲ 내부 식별번호 ▲ 간편결제 서비스 종류 등이다. 전체 유출 고객 가운데서도 유출된 고객 정보로 카드 부정 사용이 발생할 가능성이 있는 고객은 총 28만명이다. 유출 정보 범위는 카드번호, 유효기간, CVC번호 등으로 파악됐다. 롯데카드는 이들에게 카드 재발급 조치가 최우선적으로 이뤄지도록 하겠다고 밝혔다.
2025.09.18
SKT, 집단소송에서 ‘기각’ 주장 책임 외면 논란 지난 9월 3일 SK텔레콤이 개인정보 유출 피해자들이 제기한 집단소송에서 원고들의 청구를 전부 기각해야 한다는 답변서를 법원에 제출했다. 소송 비용 역시 피해자 측이 부담해야 한다는 입장을 내며, 사실상 책임을 전면 부정한 것이다. 역대 최대 과징금에도 책임 회피이번 사건은 지난 7월 개인정보보호위원회의 제재로 이미 심각성이 드러났다. 개인정보위는 SKT에 과징금 1,347억9,100만 원과 과태료 960만 원을 부과했다. 이는 역대 최대 규모 제재로, LTE·5G 가입자 2,324만여 명의 전화번호, 가입자식별번호(IMSI), 유심 인증키 등 25종의 개인정보가 유출된 사실이 확인된 데 따른 것이다.피해자 측은 “잘못이 확인됐는데도 법정에서는 과징금과 손해배상은 별개라며 책임을 회피하는 태도”라며 분노하고 있다. 기본조차 지켜지지 않은 보안 관리조사 과정에서 드러난 SKT의 보안 실태는 충격적이었다. 인터넷망과 내부망의 통제가 제대로 이뤄지지 않았고, 서버 계정 관리도 허술했다. 이미 취약점이 알려진 운영체제를 방치했고, 보안 백신조차 설치하지 않은 사실도 확인됐다. 개인정보위는 이를 “총체적 보안 관리 부실”로 규정했다. 전문가들은 이를 단순한 실수가 아닌, 기본적인 보안 관리조차 지키지 않은 결과로 봤다. 피해자 측 “국민 기만, 용납 못 해”집단소송을 대리하는 법무법인(유한) 대륜은 SKT의 답변서에 따른 주장을 강하게 비판했다. 손해배상 집단소송을 이끄는 대륜 특별수행본부(조영곤·여상원·김명철 변호사)는 “정부 조사에서 이미 보안 관리 부실이 드러났고 과징금까지 부과됐다. 그럼에도 법원에서 기각을 주장하는 것은 피해자와 국민을 기만하는 행위”라고 지적했다. 또한 "이번 사건을 단순한 배상 문제가 아닌 국민 권리의 문제이며, 무너진 통신 보안 시스템과 기업의 법적 책임을 끝까지 묻겠다”고 밝혔다. 국민적 공분 가능성SKT의 이번 입장은 법적 방어 논리일 수 있지만, 전례 없는 과징금이 내려진 상황에서 책임을 전면 부정하는 태도는 국민 불신을 키울 수밖에 없을 것으로 보인다. 향후 법원의 판단이 피해자 권리 회복뿐 아니라, 향후 다른 기업의 대응 기준이 될 전망이다.
2025.09.16
롯데카드, 해킹사고 사과 "피해 전액 보상…의심 거래 모니터링" 최근 해킹 사고가 발생한 롯데카드 조좌진 대표이사는 4일 사과문을 발표했다. 공개된 사과문에서 조좌진 대표는 "최근 발생한 저희 회사의 사이버 침해 사고로 인해 고객 여러분께 많은 불편과 심려를 끼쳐 드린 점 깊이 사과드린다"고 밝혔다. 조 대표는 "이번 사태는 저희 회사의 보안 관리가 미흡했던 데서 비롯된 것"이라면서 "고객 여러분의 개인정보를 관리하는 시스템에 외부 해킹에 의한 침투가 있었다는 것만으로도 변명의 여지가 없다"고 덧붙였다. 사과문에 따르면 현재 관계 기관과 외부 전문 조사 회사와 함께 상세한 피해 내용을 파악 중이며, 아직까지 조사 결과에서는 고객 정부 유출 사실은 확인되지 않았다. 또 현재 국내외 모든 의심 거래를 실시간 모니터링하고 있으며, 피해 예방을 위해 외부 침입이 발생한 시기에 해당 서버로 온라인 결제를 한 고객에게 우선 카드 재발급 조치를 진행하겠다고 밝혔다. 롯데카드는 이번 사고로 발생한 피해에는 전액 보상하겠다는 방침을 강조했다. 지난 달 롯데카드 일부 서버가 악성코드 감염 등 해킹 공격을 당하는 사고가 발생했다. 이달 1일 롯데카드는 금융당국에 이를 신고했다. 금융감독원은 금융보안원과 현장검사에 착수해 고객정보 유출 여부 등을 확인 중이다.
2025.09.04
로봇청소기 일부 보안 취약…보안 수준 가장 높은 제품은 인기 가전인 로봇청소기 일부 제품은 보안에 취약한 것으로 나타났다. 이로 인해 카메라 강제 활성화, 사진 조회·탈취 등이 우려된다. 한국소비자원은 시중에 유통 중인 로봇청소기 6종을 대상으로 모바일 앱, 보안 업데이트 및 개인정보 보호정책 등 보안 실태 조사를 실시한 결과 일부 제품에서 불법적인 접근이나 조작 가능성이 확인됐다고 2일 밝혔다. 모바일앱 보안 점검 결과 나르왈 프레오 Z 울트라(YJCC017)·에코백스 디봇 X8 프로 옴니(DEX56) 제품은 사용자 인증 절차 미비로 인해 사용 과정에서 촬영된 집 내부 사진이 외부로 노출될 가능성이 확인됐다. 제3자가 사용자의 개인키 또는 ID 정보를 알게 되면 별도 인증 절차 없이 클라우드 서버에 저장된 사진·영상에 접근할 수도 있다. 로봇청소기는 장애물 회피와 동선 확인 등을 위해 카메라가 탑재돼 있고, 사용자가 장애물을 확인할 수 있도록 사진을 촬영한다. 드리미 X50 Ultra(RLX85CE)는 제3자가 카메라 기능을 강제 활성화할 수 있다는 보안 취약점이 발견됐다. 사용자가 제3자에게 일부 기능 권한을 공유한 경우 부여받은 권한 이외에 카메라 등 다른 기능을 강제로 활성화할 수 있어 제3자가 청소기 카메라를 통해 영상과 사진을 실시간으로 확인할 수 있었던 것으로 나타났다. 에코백스 제품은 모바일앱에 제품을 등록하면 제3자가 클라우드서버에 접속해 사용자의 핸드폰 사진첩에 악성 사진 파일을 저장할 수 있는 것으로 확인됐다. 소비자원은 각 회사가 지적된 내용을 수용해 이러한 보안 취약점에 대한 조치를 완료했다고 전했다. 또 한국인터넷진흥원과 함께 조치에 대해서 확인도 마쳤다. 이밖에도 보안 업데이트 정책, 개인정보 보호정책 등을 포함한 정책 관리 점검에서 드리미 제품의 개인정보 관리가 미흡해 이름, 연락처 등 사용자의 개인정보 유출 우려가 있는 것으로 드러났다. 점검은 보안 전문 인력의 고도화된 공격 시나리오에 기반해 이뤄졌다. 특정 수준 이상의 해커에 의해 악용될 수 있는 만큼 즉시 개선 조치를 완료했다. 하드웨어·네트워크·펌웨어 등 '기기 보안' 점검에서는 드리미, 에코백스 2개 제품의 하드웨어 보안 수준이 상대적으로 낮은 것으로 나타났다. 점검 결과 삼성전자, LG전자 2개 제품은 접근 권한 설정과 불법 조작을 방지하는 기능, 안전한 패스워드 정책, 업데이트 정책 등이 비교적 잘 마련돼 종합 평가에서 상대적으로 우수했다. 소비자원은 조사 대상 모든 사업자에게 모바일앱 인증 절차, 하드웨어 보호, 펌웨어 보안 등 부족한 부분에 대해 보안성 향상을 위한 조치를 권고했으며 6개 사업자 모두 품질개선 계획을 회신했다고 밝혔다. 소비자원은 한국인터넷진흥원과 협력해 로봇청소기 등 사물인터넷(IoT) 제품의 보안 관리 강화를 위한 점검을 지속적으로 추진할 계획이다.
2025.09.02
尹 구속심사…법원 주변 삼엄한 경비태세 갖춰 윤석열 전 대통령의 구속 전 피의자 심문(영장실질심사)이 열린 9일 서울 서초동 법원종합청사 안팎으로 삼엄한 경비태세가 유지되고 있다. 윤 전 대통령이 심문이 진행되는 321호 법정과 연결된 4번 출입구 주변은 펜스로 막혀 있어 일반인의 접근이 차단됐다. 윤 전 대통령 입정 전에는 일부 허가받은 사진·영상 기자들만 제한적으로 접근할 수 있었다. 심문 시작 후에도 321호 인근에는 펜스가 설치돼 일반인의 접근이 전면 차단됐다. 법원은 윤 전 대통령 입정과 퇴정 시 법정 주변과 출입구를 통제한다. 이날 서울중앙지법 내부에는 평소 윤 전 대통령의 내란 우두머리 혐의 형사재판 때보다 더 많은 경찰관이 배치됐고, 대법원 보안관리대도 지원에 나섰다. 법원 관계자들과 경호·경비 직원들은 2층을 순찰하며 돌발 상황에 대비했다. 청사 출입도 대폭 제한돼 동문을 제외한 모든 출입문이 폐쇄됐고, 동문을 통해 들어오는 사람의 신분도 일일이 확인하는 등 보안검색도 강화됐다. 법원 내부에서도 동관 1층의 출입문 한 곳을 제외하고는 모든 통로가 통제됐다. 법원은 전날 저녁부터 일반 차량의 출입을 전면 통제하고, 필수 업무 차량만 출입을 허용했다. 청사 내부에는 경찰버스 10여대가 배치됐고, 경찰은 약 30개 부대 2천여명을 청사 주변에 투입했다. 영장 심사 결과 발표 등 관련 절차가 마무리될 때까지 경비가 유지될 예정이다.
2025.07.09
SKT, 2021년 해커 공격 받고도 자체 대응하다 문제 키워 SK텔레콤 해킹 사고에 대한 민관 합동 조사단의 최종 조사 결과 해커의 공격은 2021년부터 이뤄졌다는 점이 밝혀졌다. 또 SKT가 2022년 자체 조사로 침해 사실을 발견하고도 제대로 조치하지 않아 문제를 키운 사실이 드러났다. 과학기술정보통신부를 주축으로 하는 민관 합동 조사단은 4일 정부서울청사에서 4월 23일 조사단을 구성한 이래 진행한 SKT 서버 4만2600대에 대한 전수 조사 결과를 최종 발표했다. 해커가 SKT 내부 서버에 최초로 악성코드를 심은 시점은 2021년 8월 6일로 파악됐다. 중간 조사 결과 발표에서 2022년 6월이 최초 감염 시점으로 지목됐지만 이보다 약 10개월가량 이른 시점이다. 해커는 외부 인터넷과 연결된 시스템 관리망 내 서버에 접속해, 다른 서버에 침투하려 원격제어, 백도어 기능 등이 포함된 악성코드를 설치했다. 당시 공격을 받은 서버에 다른 서버들을 관리할 수 있는 아이디, 비밀번호 등 계정 정보가 암호체가 아닌 평문으로 저장돼 있었다. 핵심 서버들에 접근할 수 있는 정보를 얻어낸 해커는 통신사의 핵심 네트워크(코어망)라 할 수 있는 음성통화인증 관리 서버(HSS)에 같은 해 12월 접속한 뒤 BPF도어(BPFDoor)라는 은닉성이 강한 리눅스용 악성 코드를 심어 서버를 제어하기 시작했다. 해커가 SKT 내부 서버에 심은 악성코드는 BPF도어 계열 27종을 포함해 모두 33종으로 파악됐다. 타이니쉘 3종, 웹쉘, 오픈소스 악성코드인 크로스C2, 슬리버 각각 1종이다. 해커는 4월 18일 HSS 3개 서버에 저장된 유심정보 9.82GB(기가바이트)를 외부로 빼돌렸다. 민관 합동 조사단은 가입자 전원의 유심(USIM) 정보에 해당하는 분량이라고 밝힌 바 있다. 조사단은 "이번 침해사고와 연관성은 없지만 공급망 보안 관리 취약으로 악성코드 1종이 SK텔레콤 서버 88대에 유입된 것을 확인했다"라고 밝히기도 했다. SK텔레콤 협력업체가 개발한 소프트웨어가 악성코드에 감염돼 있었는데 이 소프트웨어가 SKT 서버에 설치되면서 코드가 유입된 것이다. 이 악성코드가 실행된 흔적이 없어 이로 인한 정보 유출 등의 피해가 없었고 SKT 서버를 직접 공격한 해커 행위와는 무관해 보인다. 조사단 관계자는 "외부에서 제작한 소프트웨어를 SKT가 설치하면서 보안 검수를 제대로 하지 않은 점은 공급망 보안 관리에 문제점으로 볼 수 있다"고 지적했다. 한편 SK텔레콤은 해커가 사이버 공격을 감행하는 동안 특이점을 발견하고도 당국에 알리지 않은 채 자체 해결책으로 대응하다 문제를 키운 것으로 조사됐다. 조사단은 SK텔레콤이 2022년 2월 23일 특정 서버에서 비정상적인 재부팅을 발견하고 자체 점검하는 과정에서 악성코드에 감염된 서버를 발견해 조치했으나 이 과정에서 신고 의무를 지키지 않아 3천만원 이하 과태료 부과 대상이라고 밝혔다. SK텔레콤은 4월 해킹 피해가 최초로 알려졌을 당시에도 신고 기한인 24시간을 넘겨 한국인터넷진흥원(KISA)에 신고해 늑장 신고 논란이 일었다. 2022년 당시 점검 과정에서 SK텔레콤은 핵심 서버인 HSS 관리서버에 비정상 로그인 시도가 있었던 정황을 발견했다. 하지만 로그기록 6개 중 1개만 확인해, 공격자가 서버에 접속한 기록은 발견하지 못한 것으로 조사됐다. 조사단은 "이에 따라 SKT는 정보 유출이 발생한 HSS에서 BPF도어 악성코드가 심어졌던 것을 확인하지 못했고 당국에 신고도 하지 않아 정부 조사로 악성코드를 발견, 조치하는 작업도 이뤄질 수 없었다"고 지적했다. 조사단은 또 SK텔레콤이 시스템 관리망 내 서버의 계정 비밀번호를 변경하지 않았다고 밝혔다. 비밀번호 만료일이 설정되지 않았고 변경 이력도 없었다는 것이다. 조사단은 "비밀번호를 종이, 파일, 모바일 기기 등에 기록하는 것을 지양하고 부득이하게 할 경우 암호화 등의 보호 대책을 적용하라는 것이 정보보호 및 개인정보보호 관리체계 인증 기준"이라며 SKT에 서버 접속을 위한 다중 인증 체계 도입을 요구했다. 또 유심 복제에 활용될 수 있는 중요한 정보인 유심 인증키(Ki) 값 암호화를 세계이동통신사업자협회(GSMA)가 권고하며 KT, LG유플러스 등은 하고 있지만 SKT만 암호화하지 않은 점, 4월 해킹이 드러나며 자료 보전 명령을 받았음에도 서버 2대를 포렌식 분석이 불가능한 상태로 조치해 제출한 점 등도 지적했다. 조사단은 "자료 보전 명령 위반과 관련해서는 수사기관에 수사를 의뢰할 예정"이라고 밝혔다. 조사단은 ▲ 통신기록(CDR)을 임시 저장 서버에 저장한 점 ▲ 정보보호 최고책임자(CISO)가 코어망 등 네트워크 영역이 아닌 고객관리망 등 정보기술(IT) 영역의 보안 관리만 담당한 점도 SKT 보안의 미흡한 점으로 꼽았다. 재발 방지 대책으로 서버 등 네트워크가 연결되는 장치에서 일어나는 모든 활동을 감지·분석하는 EDR 설루션 및 백신 적용, 분기별 1회 이상 모든 자산에 대해 보안 취약점 정기 점검, CISO를 최고경영자(CEO) 직속 조직으로 격상 등을 요구했다. 조사단은 유심 복제에 악용될 수 있는 단말기식별번호(IMEI)나 개인정보가 평문으로 임시 저장된 서버들을 발견했지만, 정밀 분석 결과 방화벽 로그 기록이 남아있는 기간인 지난해 12월 3일부터 사고 발견 직후까지 유출 정황은 없었다고 밝혔다. 하지만 악성코드 감염 시점인 2022년 6월부터 지난해 12월 2일까지는 로그기록이 없어 유출 여부를 확신하기 어렵다. 조사단은 "SKT가 자체 보안규정에 따라 로그기록을 6개월 이상 보관해야 하지만 방화벽 로그를 4개월간만 보관해 중요 정보의 유출 여부를 면밀히 조사하는 데 한계가 있었다"면서 로그기록의 6개월 이상 보관, 중앙로그관리시스템 구축 등을 요구했다. SKT가 서버 등 전체 자산 종류, 규모, 유휴·폐기 여부를 체계적으로 관리하지 않고 있었던 점과 타사 대비 정보보호 인력 및 투자 규모가 부족한 점도 문제로 꼽았다. 과기정통부는 SK텔레콤이 보안 관리에서 과실이 있었다며 의무 가입 기간이 남은 이용자의 계약 해지 시 위약금 면제를 요구했다. 또 SK텔레콤에 재발 방지 대책에 따른 이행계획을 이달 내 제출하라며 이행 여부를 올해 말 점검하겠다고 밝혔다.
2025.07.04
SKT 개인정보 해킹…당국 비상대책반 구성 SK텔레콤이 이용자 해킹 공격을 받아 관계 당국이 비상대책반을 구성하는 등 대응에 나섰다. 22일 SK텔레콤은 19일 오후 11시 40분께 해커에 의한 악성 코드로 이용자 유심(USIM)과 관련한 일부 정보가 유출된 정황을 확인했다고 밝혔다. 유출된 정보는 가입자별 유심을 식별하는 고유식별번호 등으로 알려졌다. 이름, 주민등록번호, 휴대 전화번호 등 민감정보 유출 여부는 조사 중이다. SK텔레콤은 유출 가능성을 인지한 후 해당 악성코드를 즉시 삭제하고 해킹 의심 장비를 격리 조치했다고 전했다. 또 현재 정확한 유출 원인과 규모, 상세 시스템 침입 경로, 해킹 방식, 서버 보안 취약점 등을 파악 중이라고 설명했다. 해킹 피해를 본 것으로 추정되는 장비는 4G 및 5G 고객들이 음성 통화를 이용할 때 단말 인증을 수행하는 서버로 알려졌다. SK텔레콤은 유출 사실을 인지한 후 다음 날 한국인터넷진흥원(KISA)에 침해 사고 사실을 신고하고, 개인정보보호위원회에도 개인정보 유출 정황을 신고했다. 과학기술정보통신부는 개인정보 유출 등 피해 현황, 보안 취약점 등 사고의 중대성을 고려해 정보보호네트워크정책관을 단장으로 하는 비상대책반을 구성했다. SK텔레콤에 해킹 사고 관련 자료 보존과 제출을 요구했고 지난 21일부터 인터넷진흥원 관계자를 파견해 사고 경위를 조사 중이다. 과기정통부는 22일 오후 서울 중구 SK텔레콤 본사에서 사내 시스템에 대한 현장 조사를 진행할 예정이다. 당국의 사고 조사 과정에서 SK텔레콤이 보안 관리에 문제가 있었다고 판명될 경우 시정명령을 내릴 수 있다. SK텔레콤 관계자는 "현재 포렌식을 진행 중이나 악성코드의 특성상 유출된 정보와 그 규모를 단기간 내 파악하기는 어려우며 당국 조사가 진행 중이므로 세부적인 분석을 진행할 예정"이라고 말했다. SK텔레콤은 "홈페이지를 통해 이용자에 해킹 피해 사실을 고지하고 추가적인 안전 조치를 원하는 이용자를 위해 홈페이지와 T월드를 통해 유심 보호 서비스를 무료로 제공 중"이라고 밝혔다. 또 "이와 같은 일이 재발하지 않도록 보안 체계를 더욱 강화하고, 고객 정보 보호 방안 마련에도 최선을 다하겠다"며 사과했다.
2025.04.22
법원, 尹 요청하면 비공개 출입 허용법원이 윤석열 전 대통령이 요청한다면 14일 첫 공판 출석 때 지하를 통한 비공개 출입을 허용하기로 했다. 서울법원종합청사를 관리하는 서울고법은 11일 서울중앙지법·서울회생법원과 함께 "14일 윤 전 대통령의 형사 공판기일이 예정돼 있고 법원 청사 인근에 다수 집회 신고가 있어 많은 인파가 몰릴 가능성이 있다"면서 청사 방호 계획을 밝혔다. 이에 따라 만일의 사태에 대비해 일반 차량의 경내 출입을 금지하고 면밀한 보안 검색을 하는 등 청사 보안도 강화한다. 법원은 오후 8시부터 오는 14일 밤 12시까지 공용차량 등 필수업무 차량을 제외한 일반 차량의 청사 경내 출입을 전면 금지한다. 법관 등 법원 구성원들도 승용차 사용을 자제하고 대중교통을 이용해 달라고 당부했다. 일부 출입구는 폐쇄되며, 출입 시 보안 검색도 강화한다. 대통령 경호처가 경호 문제를 들어 윤 전 대통령이 재판에 출석할 때 지하 주차장으로 출입하게 해달라고 요청한 데 대해 법원은 "요청할 시 이를 허용할 예정"이라고 밝혔다. 법원 관계자는 "대통령실 경호처의 요청 사항, 법원 자체 보안 관리인력 현황, 공판준비기일 때부터 검찰 측에서 이뤄지던 신변보호조치 상황 등을 토대로 서울법원종합청사 근무 3개 법원의 수석부장, 사무국장, 보안 관리담당자 등의 간담회에서 논의된 방안들을 서울고등법원장이 취합해 결정했다"고 밝혔다. 법원은 윤 전 대통령의 첫 공판이자 탄핵 직후 상황임을 고려해 청사 방호 차원에서 이같이 결정했다고 전해졌다. 법원은 내란 사건의 공판 검사에 대해서도 지하 주차장 출입을 허용하고 있다. 서울중앙지법 형사합의25부(지귀연 부장판사)는 14일 윤 전 대통령의 첫 공판을 연다. 피고인은 공판기일에 출석 의무가 있어 윤 전 대통령은 직접 출석하게 된다. 한편 헌법재판소가 4일 파면 결정을 내려 자연인 신분이 된 윤 전 대통령은 이날 오후 한남동 관저를 떠나 서초동 자택 아크로비스타로 이동할 예정이다.
2025.04.12
[알고리즘 시대의 법생활] 로펌의 보안 정책, 운용의 문제와 대책 최근 국내 로펌에서 미공개 기업 정보가 유출되어 증권 범죄에 악용된 사실이 금융당국 조사로 드러났다. 이는 단순한 직원의 일탈이 아니라, 로펌의 보안 정책과 내부 통제 시스템을 전반적으로 점검하고 정비해야 할 의무가 얼마나 막중한가를 보여주는 사례다. 법무법인은 고객의 기밀 정보를 다루는 기관이다. 따라서 정보 보호의 신뢰성이 무너지면 법조계 전체의 신뢰도 하락할 뿐만 아니라 금융시장과 기업의 공정성도 위협받을 수 있다.특히 기업법무 분야에서 로펌 변호사들은 고객사의 핵심적인 사업 기밀과 미공개 정보를 다룬다. 기업 인수·합병(M&A), 기업공개(IPO), 대형 계약 협상, 금융거래, 국제 중재 등과 같은 업무에서는 기업 내부의 전략적 의사결정과 재무정보, 기술자료, 법적 분쟁 전략 등이 포함되며, 이는 유출될 경우 기업의 경쟁력에 심대한 영향을 미칠 수 있다. 이러한 업무를 취급하는 변호사들은 다량의 기밀 문서를 취급하며, 이는 계약서, 법률 의견서, 증빙 자료 등 디지털 및 물리적 형태로 존재한다. 하지만 이러한 정보들이 암호화되지 않은 채 저장되거나 보안 수준이 낮은 장치에서 관리될 경우, 외부 해킹이나 내부 유출의 위험이 높아진다.또한 변호사들은 업무 수행 과정에서 고객사, 외부 전문가, 규제기관, 해외 로펌 등 다양한 이해관계자들과 협업해야 한다. 이 과정에서 정보가 여러 기관과 공유되며, 관리되지 않은 정보 흐름이 보안의 사각지대를 만들 수 있다. 특히 IT 인프라가 각 기관마다 다를 경우 보안 표준을 통일하기 어려워 데이터 보호가 더욱 취약해진다. 이동이 많은 업무 특성상 변호사들은 노트북, 태블릿, 스마트폰 등을 활용하여 외부에서 업무를 처리하게 되는데, 공공 와이파이를 사용하거나 개인 장치에서 기밀 문서를 열람하는 등의 행위가 보안 리스크를 높이는 요인으로 작용할 수 있다.이러한 보안 문제를 극복하기 위해 로펌은 보다 체계적이고 강력한 보안 전략을 도입해야 한다. 전통적인 내부자 신뢰 기반의 보안 정책에서 벗어나, 모든 접속과 데이터 접근을 지속적으로 검증하는 Zero Trust 모델을 구축해야 한다. 변호사, 직원, 외부 협력업체 등 모든 사용자의 접근을 최소 권한 원칙(Principle of Least Privilege)에 따라 제한하고, 다단계 인증(MFA)을 필수화하는 것이 중요하다.또한 AI 기반의 보안 모니터링 시스템을 도입해 내부자의 비정상적인 문서 접근이나 외부 해킹 시도를 실시간으로 감지하고 대응할 수 있어야 한다. 이를 보완하기 위해 데이터 유출 방지(DLP, Data Loss Prevention) 시스템을 활용하여 로펌 내에서 다뤄지는 문서의 이동 경로를 추적하고, 기밀 정보가 무단 복사되거나 전송되지 않도록 해야 한다.기술적 보안 조치와 함께 내부 보안 교육 및 윤리의식 강화도 필수적이다. 변호사와 직원들이 보안 위험에 대한 경각심을 가지도록 정기적인 교육을 실시하고, 정보 보호 및 기밀 유지에 대한 명확한 가이드라인을 제시해야 한다. 이제 변호사의 업무 방식을 더욱 보안 중심으로 전환할 필요가 있다.외부에서 업무를 수행할 경우 VPN을 필수적으로 사용하고, 개인 기기에서 기밀 문서를 열람하는 것을 관리할 수 있는 수단과 규정을 강화해야 한다.종이 문서를 최소화하고, 전자문서 관리 시스템(EDMS, Electronic Document Management System)을 통해 보안이 강화된 디지털 문서 관리 환경을 구축해야 한다.이를 위하여 로펌 내부 신고 시스템과 보안 사고 대응 프로토콜이 정립되어야 할 것이다.내부 직원이 보안 취약점이나 비윤리적인 행위를 신고할 수 있는 안전한 채널을 구축한다든지, 보안 사고 발생 시 신속한 대응이 가능하도록 위기 대응 매뉴얼을 정립하고, 실질적인 테스트를 실시해야 한다. 법무법인은 고객의 신뢰를 기반으로 운영된다. 특히 기업법무 분야에서는 기업의 생존과 직결될 수 있는 중요한 기밀이 다뤄지는 만큼, 보안은 단순한 선택이 아니라 필수적인 책무다. 이번 사건을 계기로 로펌들이 보안 정책을 전면 재검토하고, 보다 강력한 보안 시스템을 도입할 필요가 있다.기업법무의 특수성에서 기인하는 보안 관리의 어려움을 극복하기 위해, 로펌은 기술적·제도적 대응뿐만 아니라, 보안에 대한 조직 전체의 인식을 강화해야 한다. 변호사 개개인이 ‘보안이 곧 고객의 신뢰이며, 나아가 로펌의 경쟁력’이라는 마인드를 가지고 업무에 임할 때, 로펌은 보다 안전하고 신뢰받는 법률 서비스를 제공할 수 있을 것이다.
2025.03.17
KGC인삼공사, 정보보호 국제표준인증 갱신…글로벌보안 경쟁력 입증 KGC인삼공사가 국제표준화기구(ISO)와 국제전기기술위원회(IEC)가 공동으로 제정한 정보보호 및 개인정보보호 분야의 가장 권위있는 국제 표준 인증인 ISO/IEC 27001을 갱신했다. ISO/IEC 27001 인증은 정보자산의 리스크를 체계적으로 관리하고 정보보호 목표를 달성하기 위한 심사기준을 모두 충족하는 경우에만 부여된다. △정보보호정책 △인적 보안 △물리적 보안 △기술적 보안 등 4개 주요 보안 제어 조항과 93개 세부 항목에 대한 철저한 심사와 검증을 통과해야 ISO/IEC 27001 인증 획득이 가능하다. ISO/IEC 27701 인증은 개인정보 수집 및 처리, 정보주체 권리보장 등 개인정보 생명주기(Life-Cycle)에 따라 조직의 개인정보 관리절차, 암호화, 비식별화, 서비스 안전성 등 8개 분야 49개 인증기준에 적합한 경우에만 발급된다. KGC인삼공사는 세계적인 공신력을 지닌 인증기관인 영국왕립표준협회(BSI: British Standards Institution)로부터 2022년 ISO/IEC 27001·27701 인증을 처음 획득한 후 2024년 갱신심사를 통과하며 재인증을 완료했다. KGC인삼공사 관계자는 “최상의 데이터 보호환경과 보안관리체계를 향상을 위한 노력을 인정받았다”며, “앞으로도 철저한 개인정보보호 관리를 통해 소비자 신뢰를 높여 글로벌 경쟁력을 강화하겠다”고 말했다.
2025.03.13
