미래에셋생명, 사이버 침해사고로 고객 개인·신용정보 유출 확인…피해 규모 조사 중

핵심 요약

미래에셋생명에서 사이버 침해사고가 발생하여 고객 개인·신용정보 유출이 확인되었으며, 현재 피해 규모를 조사 중입니다. 이번 사고는 10월 25일 시스템 이상 증상 인지 후 외부 전문기관과의 분석을 통해 26일 새벽 개인정보 유출 사실이 확인된 것으로, 침해사고 탐지 및 분석 과정에서의 지연 가능성을 시사합니다. IT 감사인은 유사 사고 발생 시 신속한 침해사고 인지 및 대응 체계의 실효성, 개인정보 유출 통지 의무 준수 여부, 그리고 근본 원인 분석을 통한 재발 방지 대책의 적정성을 중점적으로 점검해야 합니다.

개선 권고안

• ✔기술적 조치침해사고 발생 시 데이터 유출 여부 및 유출 범위를 정확하고 신속하게 파악할 수 있도록 데이터 유출 방지(DLP) 시스템, 보안 정보 및 이벤트 관리(SIEM) 시스템, 확장 탐지 및 대응(XDR) 솔루션 등의 탐지 및 분석 기능을 고도화하고, 정기적인 모의 훈련을 통해 대응 역량을 강화할 것을 권고함.
• ✔기술적 조치고객 개인·신용정보 등 민감 정보에 대한 접근 통제, 암호화, 비식별화 등 보호 조치가 적절하게 적용되었는지 전반적으로 점검하고, 데이터 생명주기 전반에 걸쳐 보안 통제를 강화할 것을 권고함.
• ✔관리적 조치침해사고 발생 시 이상 증상 인지부터 개인정보 유출 사실 확인, 관계 기관 통지 및 정보주체 통지까지의 전 과정에 대한 신속하고 체계적인 사고 대응 절차를 재점검하고, 비상 연락망 및 보고 체계를 강화할 것을 권고함.
• ✔관리적 조치개인정보 유출 사고 발생 시 정보주체에게 통지해야 하는 법적 의무 사항을 준수하기 위해, 유출 규모 및 정보 항목이 불확실한 경우에도 초기 통지 및 추가 통지 계획을 수립하고, 통지 내용의 정확성과 시의성을 확보하기 위한 프로세스를 수립 및 시행할 것을 권고함.
• ✔관리적 조치침해사고의 근본 원인 분석을 외부 전문기관에만 의존하지 않고, 내부 인력의 포렌식 및 사고 분석 역량을 강화하기 위한 교육 및 훈련 프로그램을 도입하고, 관련 전문 인력을 확보할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기