농촌진흥청, 농민 개인정보 57만5천건 유출…폐기 확약서 17차례 받고도 관리 부실

핵심 요약

농촌진흥청에서 농민 개인정보 57만 5천 건이 유출되는 사고가 발생했으며, 이는 용역업체에 대한 관리·감독 소홀과 개인정보 폐기 확인 미흡이 근본 원인으로 지적되었습니다. 특히 개인정보 폐기 확약서를 17차례 제출받고도 실제 삭제 여부를 확인하지 못한 점은 외부 위탁업체 관리의 심각한 취약점을 드러냈습니다. IT 감사인은 외부 위탁업체 선정 및 계약 단계부터 개인정보 처리 위탁에 대한 명확한 관리·감독 체계를 수립하고, 계약 이행 여부를 실질적으로 검증하는 프로세스의 적정성을 면밀히 점검해야 함을 시사합니다.

개선 권고안

• ✔기술적 조치위탁업체 시스템에 저장된 개인정보의 접근 제어 및 암호화 등 기술적 보호 조치가 적절히 적용되었는지 정기적으로 점검하고, 미흡 사항 발생 시 즉시 개선 조치를 요구할 수 있는 프로세스를 수립 및 적용해야 함을 권고함.
• ✔관리적 조치개인정보 처리 위탁 계약 시 위탁업체의 개인정보 파기 절차 및 이행 확인에 대한 구체적인 조항을 명시하고, 계약 이행 여부를 정기적으로 점검할 수 있는 관리 체계를 수립 및 시행할 것을 권고함.
• ✔관리적 조치위탁업체로부터 개인정보 파기 확약서를 수령한 후, 실제 파기 여부를 검증하기 위한 현장 실사, 파기 증명 자료 요청 및 검토, 파기 시스템 로그 확인 등 실질적인 확인 절차를 의무화하고 기록을 유지할 것을 권고함.
• ✔관리적 조치개인정보 유출 사고 발생 시 개인정보 보호법 및 ISMS-P 기준에 따라 정보주체 및 관계 기관에 지체 없이 통지할 수 있도록 비상 대응 계획(IRP)을 주기적으로 훈련하고 개선할 것을 권고함.
• ✔관리적 조치위탁업체에 대한 정기적인 보안 감사 및 점검을 강화하고, 감사 결과 발견된 미흡 사항에 대한 개선 조치 이행 여부를 철저히 추적 관리할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기