개인정보 유출 대응 · ISO/IEC 27001·27701 심사 사례
고객정보 조회 기록에서 평소와 다른 정황이 보였습니다. 아직 유출이 확정된 것은 아닙니다. 이때 조직은 무엇부터 하고, 무엇을 기록으로 남겨야 할까요?
이 연재의 1편에서는 보도 이후 우리 조직이 확인할 7가지 질문을, 2편에서는 위탁업무가 끝난 뒤에도 남은 서비스 계정과 API 연결을 가상 사례로 살펴봤습니다. 3편에서는 개인정보 유출 대응 과정에서 남아야 할 기록과, 내부심사원이 그 기록을 어떻게 확인하는지 정리합니다.
1. 개정 법령에서 달라진 것: 확정 전에도 통지를 검토합니다
2026년 9월 11일부터 개정 개인정보 보호법과 시행령이 시행되고 있습니다. 통지와 신고는 서로 다른 의무이므로 나누어 확인합니다.
- 유출등의 통지: 개정법 제34조 제1항은 개인정보의 유출등이 있음을 알게 되었을 때 정보주체에게 알리도록 규정하고, 시행령 제39조 제1항은 이 통지를 72시간 이내에 하도록 정하고 있습니다.
- 유출등의 가능성 통지: 개정법 제34조 제2항은 대통령령으로 정하는 유출등의 가능성이 있음을 알게 되었을 때의 통지를 규정합니다. 시행령 제39조의2와 제39조의3은 이 통지의 대상이 되는 경우와 시기·방법을 정하고 있으며, 가능성을 알게 된 때부터 72시간 이내에 통지하도록 합니다.
- 신고: 개인정보보호위원회 등에 대한 신고는 통지와 별도로 적용 요건과 기한을 확인하는 대상입니다.
그래서 사고 대응 절차에는 유출이 확정되기 전, 가능성을 알게 된 시점부터 통지와 신고의 요건을 각각 검토하는 단계가 필요합니다. 기한을 판단하려면 언제 무엇을 알게 되었는지가 기록으로 남아 있어야 합니다. 적용 대상과 예외는 현행 법령과 개인정보보호위원회 안내로 확인합니다.
법령 확인 기준일: 2026.10.6. 출처: 국가법령정보센터 — 개인정보 보호법 제34조 · 시행령 제39조 · 시행령 제39조의2 · 시행령 제39조의3
2. 의심부터 효과 확인까지, 여덟 단계의 기록
유출이 의심되는 순간부터 조치의 효과를 확인할 때까지, 단계마다 남아야 할 기록을 정리하면 다음과 같습니다. 조직의 사고 대응 절차에 이미 있는 단계라면 이름이 달라도 됩니다. 중요한 것은 각 단계의 시각·담당자·근거가 기록으로 이어지는지입니다.
- 인지·보고처음 알게 된 시각, 보고한 사람, 보고 경로
- 초기 평가·대응팀 소집사건과 사고를 구분한 기준과 결과, 소집 시각과 참석자
- 차단·증거 보존차단한 계정·경로와 시각, 보존한 로그의 목록과 보관 위치
- 영향 범위 확인관련 개인정보 항목과 정보주체 범위, 확인된 것과 확인 중인 것의 구분
- 통지·신고 검토와 실행통지와 신고 각각의 요건 검토 기록과 결정 근거, 이행한 시각·내용·수단
- 원인 분석분석 방법, 확인된 원인과 추정의 구분
- 시정조치조치 내용, 담당자, 기한, 승인
- 효과 확인같은 조건에서 다시 확인한 방법과 표본, 결과, 종결 승인
3. 내부심사원이 확인할 기록과 질문
표는 좌우로 밀어서 볼 수 있습니다.
| 단계 | 확인할 기록(Evidence) | 심사 질문 |
|---|---|---|
| 인지·보고 | 탐지 알림, 보고 메시지, 접수 기록 | 처음 알게 된 시각을 무엇으로 확인할 수 있나요? |
| 초기 평가 | 평가 기준, 평가 결과, 대응팀 소집 기록 | 사건과 사고를 어떤 기준으로 구분했고, 누가 판단했나요? |
| 차단·증거 보존 | 조치 기록, 로그 보존 목록, 변경 이력 | 추가 피해를 제한하면서 필요한 증거를 어떻게 보존했고, 조치 순서와 근거는 무엇인가요? |
| 영향 범위·통지·신고 검토 | 영향 분석 결과, 검토 회의록, 통지문과 발송 기록, 신고 기록 | 통지와 신고 요건 검토를 언제 시작했고, 각각의 결정 근거는 무엇인가요? |
| 원인·시정·효과 | 원인 분석 기록, 시정조치 계획과 승인, 효과 확인 기록 | 같은 조건에서 다시 확인했고, 그 결과는 어디에 남아 있나요? |
ISO/IEC 27001:2022 부속서 A에서는 정보보안 사건 보고(6.8), 사고관리 계획과 준비(5.24), 사건 평가와 결정(5.25), 사고 대응(5.26), 사고로부터의 학습(5.27), 증거 수집(5.28)이 이 흐름과 연결됩니다. ISO/IEC 27701:2025 관점에서는 영향을 받은 정보주체와 개인정보 항목, 통지 판단과 그 기록, 위탁 관계에서의 책임 분담을 함께 확인합니다.
위 연결은 표준 원문을 대신하는 해설이 아닙니다. 실제 심사에서는 조직이 정한 사고 대응 절차와 적용 판본을 기준으로 확인합니다.
4. 2편 가상 사례, ‘정보 전달 확인’ 조건으로 이어 봅니다
표는 좌우로 밀어서 볼 수 있습니다.
| 시점 | 가상 D금융서비스에서 한 일 | 남은 기록 |
|---|---|---|
| T+0 (이상 정황 발견) | 분기 연계 점검 담당자가 위탁 종료 후의 요청 기록과 활성 서비스 계정을 발견해 보안 담당자와 개인정보 담당자에게 보고 | 점검표, 보고 메시지와 시각 |
| T+1시간 | 초기 평가 후 사고 대응팀 소집. 개인정보 담당자가 통지·신고 요건 검토 착수 | 평가 기록, 소집 기록, 요건 검토 착수 기록 |
| T+2시간 | 서비스 계정 비활성화, API 키 폐기, 관련 로그 보존 | 조치 기록, 로그 보존 목록 |
| T+10시간 | 요청·응답 기록과 수탁자 측 수신 기록 대조. 일부 요청에서 이름·휴대전화번호·보유 상품명 반환 확인. 전체 범위는 확인 중 | 대조 결과, 확인·확인 중 구분표 |
| T+12시간 | 추가 확인 내용을 반영한 통지·신고 재검토 회의. 개인정보 담당·법무 담당 참석 | 회의록, 결정 근거 |
| 적용 요건과 기한에 따라 | 정보주체 통지의 적용 여부를 판단하고, 해당하면 통지 절차 진행 | 판단 근거, 통지문, 발송 기록과 시각 |
| 적용 요건과 기한에 따라 | 개인정보보호위원회 등 신고의 적용 여부를 별도로 판단하고, 해당하면 신고 절차 진행 | 판단 근거, 신고 기록과 접수 확인 |
이 예시에서 내부심사원이 먼저 보는 것은 T+0 기록과, 조직이 기한의 기산점을 언제로 판단했는지에 대한 근거입니다. 두 가지가 분명해야 이후 단계가 기한 안에 이루어졌는지 판단할 수 있습니다. 또 T+10시간의 “확인 중” 범위가 이후 어떻게 확정됐는지, 확정된 내용에 따라 추가 통지가 검토됐는지도 이어서 확인합니다.
5. 사고 대응 담당자와 내부심사원은 하는 일이 다릅니다
표는 좌우로 밀어서 볼 수 있습니다.
| 사고 대응 담당자 | 내부심사원 |
|---|---|
| 차단과 증거 보존을 결정하고 실행합니다 | 절차에서 정한 시점·담당·기록대로 수행됐는지 확인합니다 |
| 영향 범위를 조사하고 통지·신고를 결정합니다 | 결정의 근거와 시각이 기록으로 남았는지 확인합니다 |
| 원인을 분석하고 시정조치를 정합니다 | 원인과 조치가 연결되는지, 효과 확인이 계획대로 됐는지 확인합니다 |
내부심사원은 확인한 증거로 절차의 이행과 효과를 평가합니다. 사고 원인 조사나 법적 책임 판단은 내부심사원의 역할이 아니며, 확인한 증거 없이 단정하지 않습니다. 확인된 사실, 담당자의 설명, 아직 확인하지 못한 부분을 나누어 기록하고, 판단은 확인한 증거의 범위 안에서 합니다. 대응에 직접 참여한 사람이 자신의 업무를 심사하지 않도록 심사원을 배정하는 것도 함께 확인합니다.
6. 시정조치는 ‘같은 조건에서 다시 확인’까지
2편 사례에서 확인된 문제는 위탁 종료 정보가 IT 담당자에게 전달되지 않았고, 종료 체크리스트에 서비스 계정 항목이 없었다는 점입니다. 계정 하나를 비활성화하는 것으로 종결하면 다음 위탁 종료에서 같은 일이 생길 수 있습니다.
시정조치 기록 예시
원인: 위탁 종료 시 계약 담당에서 IT 담당으로 종료 정보를 전달하는 경로가 절차에 없었음. 조치: 위탁관리 절차와 종료 체크리스트에 서비스 계정·API 키·연계 경로의 종료 확인 항목을 추가하고, 계약 종료 등록 시 IT 담당에게 자동으로 알리도록 변경. 효과 확인: 다음 분기 위탁 종료 표본 3건에서 종료 요청과 처리 결과 기록을 대조.
효과 확인은 조치를 한 담당자의 “완료” 표시만으로 끝내지 않습니다. 정해 둔 시점에 같은 조건의 표본을 다시 보고, 그 결과와 종결 승인을 기록으로 남깁니다.
7. 연재를 마치며: 질문, 증거, 판단, 기록
세 편에 걸쳐 같은 흐름을 따라왔습니다. 무엇을 물을지 정하고, 증거로 판단하고, 그 과정을 기록으로 남깁니다.
연재 1편 · 질문개인정보 유출 점검: 금융권 보도 이후 우리 조직이 확인할 7가지 질문공개된 사실과 아직 알 수 없는 것을 구분하고, 우리 조직에 던질 질문과 확인할 증거를 정리했습니다.1편 읽기 →
연재 2편 · 증거와 판단개인정보 위탁 관리 사례: 위탁업무는 끝났는데 API 연결이 남아 있다면?가상 D금융서비스의 기록 E1~E6로 조회 시도, 정보 전달, 사고와 부적합 판단을 구분했습니다.2편 읽기 →
기업 내부심사원 교육에서 이런 사례로 질문과 증거를 연결하는 연습을 하려면 ISO 27001·27701 기업 내부심사원 교육을 참고해 주세요.
무료 PDF · 24쪽
ISO/IEC 27001·27701, 사례로 심사 판단을 연습해 보세요
외주 업무 한 건의 처리 지시·접근권한·재위탁 승인·작업본 삭제를 정보보안과 개인정보보호 관점에서 살펴봅니다. 증거 확인부터 직접 판단, 보고서 작성과 후속 조치까지 연습할 수 있습니다. 이메일 입력 없이 바로 내려받으세요.
- 공개 사례AdvanceTrack의 공개 정보보호 설명과 확인 범위
- 가상 심사별도 가상 조직의 기준·증거 E1~E6와 판단 해설
- 작성 연습보고서·조건 변경·후속 확인·우리 조직 적용 양식
원본 그대로의 공유는 자유롭게 하셔도 됩니다.
적용 판본과 참고자료
이 글은 ISO/IEC 27001:2022 및 Amendment 1:2024, ISO/IEC 27701:2025를 기준으로 기획한 교육용 사례입니다. 표준 원문을 전재하지 않았으며, 사례의 조직·시각·기록은 가상 설정입니다.
- 국가법령정보센터 — 개인정보 보호법 제34조 (확인일 2026.10.6)
- 국가법령정보센터 — 개인정보 보호법 시행령 제39조 (확인일 2026.10.6)
- 국가법령정보센터 — 개인정보 보호법 시행령 제39조의2 · 제39조의3 (확인일 2026.10.6)
- ISO/IEC 27001:2022 — ISO 공식 안내
- ISO/IEC 27701:2025 — ISO 공식 안내
국제AI교육원 · 심사원 교육
사례에서 시작한 질문을
심사 역량으로 이어가세요
확인할 증거를 찾고, 판단의 근거를 설명하는 연습을 이어가세요. 관심 분야와 현재의 심사 경험에 맞는 과정을 살펴보실 수 있습니다.
정보보안·개인정보보호로 확장
ISO/IEC 27001·27701
통합심사 자격 확대 과정
정보보안과 개인정보보호를 함께 살피고, 각 표준의 기준과 증거를 구분하는 심사를 배웁니다.
과정별 대상과 신청 요건, 교육 일정은 각 과정 상세 페이지에서 확인해 주세요.