개인정보 위탁 관리 · ISO/IEC 27001·27701 심사 사례
최근 금융권의 개인정보 유출 보도는 고객정보를 다루는 조직에 점검 과제를 던지고 있습니다.
보도에 따르면 최근 금융권 공격에 쓰인 것과 같은 IP가 올해 1월부터 다른 금융회사 서버에도 접속을 시도했습니다. 이 시도는 차단돼 개인정보 유출 피해는 발생하지 않은 것으로 전해졌습니다. 이런 소식은 접근 시도를 탐지하고 기록하는 일이 왜 중요한지 다시 보여 줍니다.
출처: SBS 뉴스, 2026.10.5 · 머니투데이, 2026.10.5 (확인일 2026.10.5)
이러한 소식을 접했을 때 우리 조직은 무엇을 확인해야 할까요? 이번 글에서는 개인정보 위탁 관리의 마지막 단계인 위탁 종료를 중심으로, 외부 업체와 정보를 주고받는 경로, 업무 목적에 맞는 조회 권한, 계약 종료 후 남아 있는 시스템 연결을 살펴봅니다.
국제AI교육원은 ISO 27001·27701 심사원 교육에서 질문과 객관적 증거를 연결하는 연습을 중요하게 다룹니다. 이러한 관점에서 ‘위탁업무는 끝났는데 서비스 계정과 API 연결이 남아 있다면?’이라는 교육용 가상 사례를 준비했습니다.
계약·현업·IT 담당자의 설명을 기록과 대조하고, 확인된 사실에 따라 판단이 어떻게 달라지는지 함께 살펴보겠습니다. 독자 여러분도 우리 조직의 위탁 종료 절차와 확인 기록을 떠올리며 읽어 보세요.
함께 읽으면 좋은 글 · 연재 1편
개인정보 유출 점검: 금융권 보도 이후 우리 조직이 확인할 7가지 질문
공개된 발표에서 확인할 수 있는 사실과 아직 알 수 없는 것을 구분하고, 외부 조회 경로·서비스 계정·권한·위탁 종료까지 7가지 점검 질문과 확인할 증거를 정리했습니다. 이번 사례는 그 가운데 ⑥·⑦번 질문을 따라갑니다.
1편 읽기 →
“계약은 종료했습니다. 현업에서도 더 이상 사용하지 않습니다.”
분기별 연계 시스템 점검 중 담당자가 질문했습니다.
“그런데 외부 업체가 사용하던 서비스 계정은 왜 아직 활성 상태인가요?”
계약 종료 기록은 있었습니다. 고객정보를 조회하는 시스템 연결을 누가 종료하고 확인했는지는 분명하지 않았습니다.
이번 사례에서는 사람의 퇴사 처리를 넘어, 위탁업무 종료와 시스템 간 연결 종료가 어떻게 이어져야 하는지 살펴봅니다.
무료 PDF · 24쪽
ISO/IEC 27001·27701, 사례로 심사 판단을 연습해 보세요
외주 업무 한 건의 처리 지시·접근권한·재위탁 승인·작업본 삭제를 정보보안과 개인정보보호 관점에서 살펴봅니다. 증거 확인부터 직접 판단, 보고서 작성과 후속 조치까지 연습할 수 있습니다. 이메일 입력 없이 바로 내려받으세요.
- 공개 사례AdvanceTrack의 공개 정보보호 설명과 확인 범위
- 가상 심사별도 가상 조직의 기준·증거 E1~E6와 판단 해설
- 작성 연습보고서·조건 변경·후속 확인·우리 조직 적용 양식
원본 그대로의 공유는 자유롭게 하셔도 됩니다.
1. 계약 담당자는 종료했는데, 시스템 담당자는 알지 못했습니다
가상 D금융서비스는 상담 고객의 만족도 설문 발송을 가상 E리서치에 위탁했습니다.
E리서치는 전용 서비스 계정과 API 키를 사용해 설문 대상자를 조회했습니다. 승인된 설문 설계에는 이름·휴대전화번호·최근 상담 일자가 필요 항목으로 정리되어 있었습니다.
계약 종료 후 현업은 설문 발송을 중단했습니다. 계약 담당자는 종료 처리를 했지만, 종료 체크리스트에는 서비스 계정과 API 연결을 확인하는 항목이 없었습니다.
분기 점검에서는 다음 사항이 발견됐습니다.
- 서비스 계정이 활성 상태로 남아 있었습니다.
- 계약 종료일 이후 해당 연계 경로의 요청 기록이 있었습니다.
- 운영 중인 응답 항목 정의에는 승인된 설문 항목 외에 ‘보유 상품명’도 포함되어 있었습니다.
- 계정 종료 요청과 처리 결과를 대조한 기록은 제시되지 않았습니다.
여기까지는 점검에서 확인한 사실입니다. 종료 후 요청에 실제 고객정보가 반환됐는지, 요청 주체가 누구였는지는 추가 확인 대상입니다.
2. 심사 질문은 ‘누가 종료했나요?’에서 한 단계 더 나아갑니다
첫 질문은 종료 담당자를 찾는 것입니다. 다음 질문은 그 담당자가 무엇을 근거로 종료를 확인했는지입니다.
이 질문들을 연결하면 계약·현업·IT·개인정보 담당자 사이에서 빠진 인계 지점을 찾을 수 있습니다.
3. 증거 E1~E6을 시간순으로 연결합니다
표는 좌우로 밀어서 볼 수 있습니다.
| 증거 | 확인할 자료 | 판단에 필요한 질문 |
|---|---|---|
| E1 계약·승인 기록 | 위탁 범위, 종료일, 연장·잔여 업무 승인 | 종료 후 처리할 근거와 기간이 있었나요? |
| E2 API 항목 명세 | 승인 항목, 운영 설정, 변경 이력 | 실제 반환하도록 설정한 항목이 승인 범위와 맞나요? |
| E3 계정·인증정보 이력 | 계정 소유자, 키 상태, 권한, 폐기·회수 기록 | 해당 경로가 언제까지 어떤 조건으로 사용 가능했나요? |
| E4 요청·응답 기록 | 시각, 인증 결과, 업무 처리 결과, 반환 항목·건수 | 요청만 있었나요, 개인정보가 반환됐나요? |
| E5 수탁자 측 기록 | 예약 작업, 수신 기록, 보관정보 목록 | 누가 무엇을 요청·수신·보관했나요? |
| E6 종료·후속 확인 | 인계 기록, 종료 점검, 예외 승인, 조치 확인 | 누가 종료 여부를 확인했고 무엇을 근거로 종결했나요? |
먼저 계약 종료 시점과 계정·키의 상태 변경 시점을 맞춥니다. 이어 요청·응답 기록을 수탁자 측 기록과 대조합니다.
응답 코드만으로 정보 전달을 확정하지 않습니다. 빈 결과인지, 업무 오류인지, 개인정보가 포함된 결과인지 확인합니다. 이 과정에서 고객정보를 불필요하게 복제하지 않도록 열람 범위와 마스킹 방법도 정합니다.
4. 정보보호와 개인정보보호 관점으로 같은 연결을 봅니다
ISO 27001 관점: 연결과 권한의 통제
서비스 계정의 책임자, 인증정보 관리, 접근권한 검토, 공급자 서비스 종료 시 변경 관리, 관련 기록이 질문의 중심입니다.
ISO 27701 관점: 처리 목적과 범위
설문 업무가 끝난 뒤에도 개인정보를 처리할 근거가 있는지, 반환 항목이 승인된 목적에 맞는지, 수탁자에게 남은 정보와 책임을 어떻게 확인하는지 질문합니다.
이 사례에서 ‘보유 상품명’은 승인된 설문 설계에 포함되지 않았습니다. 따라서 추가 승인이나 변경 근거를 확인합니다. 해당 항목이 모든 설문에서 불필요하다고 일반화하지는 않습니다.
같은 기록이 두 표준에 관련되더라도, 각 표준의 요구사항과 판단 근거를 따로 대조합니다. 구체적인 표준 부적합 판단에는 적용 판본, 조직의 위험평가, 적용성 보고서(SoA), 계약과 내부 절차를 함께 대조해야 합니다.
5. 조건이 달라지면 판단도 달라집니다
표는 좌우로 밀어서 볼 수 있습니다.
| 추가로 확인한 조건 | 가능한 판단 | 남는 확인 사항 |
|---|---|---|
| 확인한 요청이 모두 인증 단계에서 거부됨 | 해당 표본에서는 그 요청을 통한 정보 전달이 확인되지 않음 | 계정이 남은 이유, 다른 키·경로, 기록의 포괄 범위 |
| 성공 응답이 있지만 반환 결과는 빈 값임 | 성공 코드만으로 개인정보 전달을 확정할 수 없음 | 업무 응답 의미와 다른 요청의 결과 |
| 응답 기록과 수신 기록에서 고객정보 전달이 확인됨 | 확인된 전달 사실을 사고 대응 담당자에게 연결 | 승인 목적·범위, 요청 주체, 법령상 판단 |
| 종료 전 승인된 연장 기록이 있음 | 승인 기간과 범위 안의 처리인지 대조 | 추가 항목, 권한 유지 기간, 후속 종료 |
| 기록이 부족해 응답 내용을 확인할 수 없음 | 확인 불가와 그 이유를 기록 | 다른 증거 확보, 기록 관리 기준 충족 여부 |
인증 실패가 확인되어도 종료 절차의 이행 여부는 별도로 살펴봅니다. 반대로 계정이 활성 상태라는 이유만으로 유출을 확정하지도 않습니다.
사실 확인과 통지·신고 검토는 함께 진행합니다
조회 시도와 실제 전달을 구분하는 것은 사실을 정확히 기록하기 위한 것입니다. 내부심사 결론이 나올 때까지 사고 대응을 미루는 근거로 사용해서는 안 됩니다.
의심 정황은 조직의 사고 대응 담당자에게 신속히 전달하고, 담당자는 확인된 사실과 유출 가능성을 바탕으로 현행 법령상 통지·신고 요건을 각각 검토합니다.
개인정보 보호법 제34조 제2항은 대통령령으로 정하는 유출등의 가능성을 알게 된 경우의 통지를 규정합니다. 구체적인 적용 요건과 기한은 현행 시행령 및 개인정보보호위원회 안내를 함께 확인합니다.
법령 확인 기준일: 2026.10.5. 이 안내는 교육용 설명이며 개별 사건에 대한 법률 자문을 대신하지 않습니다.
6. 부적합 진술은 적용 기준과 확인한 증거로 씁니다
적용 기준
가상 D금융서비스의 위탁관리 절차는 업무 종료 시 현업이 IT 담당자에게 접근 종료를 요청하고, IT 담당자가 관련 계정·인증정보·연결의 종료 결과를 기록하도록 정하고 있습니다. 예외 유지에는 사전 승인이 필요합니다.
추가로 확인한 증거
심사 표본으로 설문 위탁업무 1건을 확인했습니다. 계약 종료 기록은 있었지만 접근 종료 요청과 예외 승인 기록은 없었습니다. IT 담당자는 종료 요청을 받지 못했다고 설명했습니다. 계정 설정과 종료일 이후의 상태 이력에서도 활성 상태가 확인됐습니다.
부적합 진술 예시
설문 위탁업무 1건을 표본 확인한 결과, 위탁관리 절차에서 정한 접근 종료 요청 및 종료 결과 기록이 이행되지 않았습니다. 계약 종료 기록과 계정 상태 이력을 대조한 결과 해당 서비스 계정은 종료 후에도 활성 상태였으며, 예외 유지 승인 기록은 확인되지 않았습니다.
이 진술은 위탁 종료 절차의 이행에 관한 것입니다. 개인정보 유출 여부와 피해 범위를 판정한 문장이 아닙니다.
내부 절차에 접근 종료 요구가 있는지조차 확인되지 않았다면 위 문장을 그대로 사용할 수 없습니다. 적용 기준을 먼저 확보하고, 충족되지 않은 사항을 증거와 연결해야 합니다.
7. 조치 후에는 ‘종료를 확인하는 방법’까지 점검합니다
계정 하나를 비활성화한 뒤에는 같은 누락이 생긴 이유와 다른 위탁업무에도 유사한 문제가 있는지 살펴봅니다.
- 계약 종료 정보가 현업·IT·개인정보 담당자에게 전달되는가?
- 종료 대상에 서비스 계정·API 키·연계 경로가 포함되는가?
- 예외 유지의 승인자·기간·허용 항목이 기록되는가?
- 조치 후 접근 차단 결과를 안전한 방법으로 확인하는가?
- 다음 위탁 종료 표본에서도 같은 절차가 작동하는가?
업무 종료 표시와 시스템 간 연결의 종료는 같은 사실이 아닙니다.
“위탁업무 종료가 시스템 연결 종료로 이어졌다는 근거를 누가 남겼는가?”
사례 속 조직과 기록은 교육용 가상 설정입니다. 우리 조직에 적용할 때는 실제 계약, 시스템 구성과 내부 절차로 바꾸어 점검합니다.
기업 내부심사원 교육에서 이런 사례로 질문과 증거를 연결하는 연습을 하려면 ISO 27001·27701 기업 내부심사원 교육을 참고해 주세요.
함께 읽으면 좋은 사례
퇴사자의 계정은 막았는데, 고객정보 공유 링크도 닫혔을까요? →
적용 판본과 참고자료
이 글은 ISO/IEC 27001:2022 및 Amendment 1:2024, ISO/IEC 27701:2025를 기준으로 기획한 교육용 사례입니다. 표준 원문을 전재하지 않았으며, 부적합 진술은 이 글에서 설정한 가상 내부 절차를 기준으로 작성했습니다. 실제 심사에서는 적용 범위, 표준 원문, 조직 기준, 계약과 관련 법적 요구를 함께 확인합니다.
- ISO/IEC 27001:2022 — ISO 공식 안내
- ISO/IEC 27001:2022/Amd 1:2024 — ISO 공식 안내
- ISO/IEC 27701:2025 — ISO 공식 안내
- SBS 뉴스 — 금융권 공격 IP의 추가 접속 시도 보도 (2026.10.5, 확인일 2026.10.5)
- 머니투데이 — 같은 내용 보도 (2026.10.5, 확인일 2026.10.5)
- 국가법령정보센터 — 개인정보 보호법 제34조 (확인일 2026.10.5)
국제AI교육원 · 심사원 교육
사례에서 시작한 질문을 심사 역량으로 이어가세요
확인할 증거를 찾고, 판단의 근거를 설명하는 연습을 이어가세요. 관심 분야와 현재의 심사 경험에 맞는 과정을 살펴보실 수 있습니다.
정보보안·개인정보보호로 확장
ISO/IEC 27001·27701 통합심사 자격 확대 과정
정보보안과 개인정보보호를 함께 살피고, 각 표준의 기준과 증거를 구분하는 심사를 배웁니다.
자격 확대 과정 보기
과정별 대상과 신청 요건, 교육 일정은 각 과정 상세 페이지에서 확인해 주세요.