개인정보 유출 점검: 금융권 보도 이후 확인할 7가지 질문

개인정보 유출 점검 · ISO/IEC 27001·27701 내부심사

ISO 27001·27701 내부심사원과 개인정보 담당자가 정보 흐름도와 점검표를 보며 개인정보 유출 점검 질문을 정리하는 모습 — 보도된 사실에서 출발해 우리 조직의 정보 흐름과 확인 기록을 점검합니다. AI 생성 · 교육용 가상 장면.

외부 업체와의 업무가 끝났습니다. 계약 담당자는 종료 처리를 했고, 현업도 더 이상 해당 서비스를 사용하지 않습니다. 그런데 시스템 간 연결과 조회 권한은 누가 확인했을까요?

이 질문은 특정 사건의 원인을 설명하기 위한 것이 아닙니다. 개인정보 유출 보도를 계기로 우리 조직의 정보 흐름과 관리 기록을 살펴보기 위한 내부심사 질문입니다.

1. 공개된 사실과 아직 알 수 없는 것을 구분합니다

신한은행은 2026년 10월 1일 공식 사과문에서 외부 비인가자가 비정상적인 방법으로 일부 서비스에서 고객정보를 유출했다고 설명했습니다. 은행은 외부 IP 차단, 관련 서비스 중단, 보안정책 신규 적용 등의 긴급조치를 발표했습니다.

공식 발표에서 확인할 수 있는 내용과 구체적인 기술적 원인, 책임에 대한 판단은 구분해야 합니다. 해당 조직의 내부 기록과 조사 결과를 보지 않은 상태에서 관리체계의 부적합을 판정할 수는 없습니다.

이 글은 공개 발표를 출발점으로 삼아 우리 조직에 적용할 질문을 제안합니다. 해당 은행의 심사 결과를 분석한 자료는 아닙니다.

2. 개인정보가 이동하는 경로부터 그려봅니다

고객정보를 저장하는 시스템 목록만으로는 정보의 이동을 모두 설명하기 어렵습니다. 직원 화면, 외부 업체의 접속 경로, 시스템 간 API, 내려받은 파일까지 함께 살펴봅니다.

업무 하나를 골라 다음 흐름을 그려 보세요.

처리 목적 → 조회 요청 주체 → 사용하는 계정 → 전달되는 정보 → 받는 조직 → 보관·삭제 → 종료 확인

처리 목적부터 종료 확인까지 개인정보가 이동하는 7단계 흐름을 화이트보드에 그려 확인하는 내부심사 장면 — 업무 하나를 골라 개인정보가 이동하는 경로와 단계별 담당자·확인 기록을 그려 봅니다. AI 생성 · 교육용 가상 장면.

각 단계에 담당자와 확인 기록을 붙이면 질문할 지점이 드러납니다. 연결은 남아 있는데 담당자가 없거나, 담당자는 정해져 있는데 확인 기록이 없는 지점을 찾는 방식입니다.

3. 우리 조직에 던질 7가지 질문

표는 좌우로 밀어서 볼 수 있습니다.

점검 질문	함께 확인할 객관적 증거(Evidence)
① 외부에서 고객정보를 조회하는 경로를 알고 있나요?	연계 시스템 목록, 데이터 흐름도, API 목록, 외부 접속 경로
② 사람 계정과 서비스 계정의 책임자가 정해져 있나요?	계정 소유자, 사용 목적, 승인 내역, 인증정보 관리 기록
③ 조회 권한이 현재 업무 목적과 맞나요?	업무 요청, 계약 범위, 권한 승인·검토 기록
④ 요청에 필요한 정보만 전달하나요?	응답 항목 정의, 개인정보 항목 목록, 마스킹 설정, 제한된 표본 점검
⑤ 평소와 다른 조회를 누가 검토하고 판단하나요?	탐지 기준, 알림 내역, 검토 기록, 조치와 종결 근거
⑥ 업무가 끝나면 연결·권한·보관정보를 함께 확인하나요?	종료 체크리스트, 계정·키 폐기 기록, 반환·삭제 확인, 예외 승인
⑦ 조회 시도와 실제 정보 전달을 구분할 수 있나요?	요청·응답 기록, 응답 상태, 반환 항목, 전송 기록, 조사 기록

질문에 답하는 과정에서 고객정보를 불필요하게 복제하지 않도록 증거 열람 범위와 마스킹 방법도 정합니다.

4. ISO 27001과 ISO 27701 관점을 연결합니다

ISO 27001·27701 내부심사 교육에서는 같은 업무를 두 관점에서 살펴볼 수 있습니다.

정보보호 관점

누가 어떤 경로로 접근하는지, 권한과 인증정보가 어떻게 관리되는지, 이상 징후에 누가 대응하는지 질문합니다.

개인정보보호 관점

어떤 목적으로 누구의 정보를 처리하는지, 전달 항목과 보관 기간은 적절한지, 외부 조직과 책임을 어떻게 나누었는지 질문합니다.

예를 들어 계정에 접근권한이 설정되어 있어도 현재 업무 목적에 맞는 조회인지 확인할 필요가 있습니다. 반대로 처리 목적이 설명되어 있어도 실제 시스템이 승인된 범위를 넘어 정보를 반환하는지 살펴봐야 합니다.

구체적인 판단 기준은 조직에 적용되는 표준 판본, 법령, 계약과 내부 절차를 확인해 정합니다.

5. 조회 기록에서 사고와 부적합을 곧바로 단정하지 않습니다

조회 요청 기록을 발견했다면 실제 응답이 있었는지, 어떤 정보가 전달되었는지, 승인된 업무에 해당하는지 차례로 확인합니다.

사고 판단에는 정보의 접근·전달 상황과 조사 결과가 필요합니다. 경영시스템 부적합 판단에는 적용되는 요구사항과 그 요구사항을 충족하지 못했다는 객관적 증거가 필요합니다.

내부심사원은 확인된 사실, 담당자의 설명, 추가로 확인할 내용을 나누어 기록합니다. 사고가 의심되면 조직의 사고 대응 절차로 연결하고, 내부심사에서는 관련 통제와 운영 기록을 검토합니다.

조회 시도와 실제 전달을 구분하는 것은 사실을 정확히 기록하기 위해서입니다. 법령상 통지·신고가 필요한지는 사고 대응 절차에서 유출 가능성 단계부터 별도로 검토합니다. 2026년 9월 11일 시행된 개정 개인정보 보호법 제34조 제2항은 대통령령으로 정하는 유출등의 가능성을 알게 된 경우의 통지를 규정합니다. 구체적인 요건과 기한은 현행 시행령과 개인정보보호위원회 안내로 확인합니다.

법령 확인 기준일: 2026.10.5. 교육용 설명이며 법률 자문을 대신하지 않습니다. 출처: 국가법령정보센터 — 개인정보 보호법 제34조