국립항공박물관 회원 1만1,029명 개인정보 유출…교육 안내번호로 스미싱 문자까지

핵심 요약

국립항공박물관에서 회원 1만1,029명의 개인정보가 유출되었고, 유출된 정보가 박물관 교육 안내 번호를 사칭한 스미싱 문자에 악용되는 2차 피해가 발생했습니다. 이번 사고는 공공기관의 보안관리 체계 미흡과 사고 발생 후 대응의 적절성 부족이 복합적으로 작용한 결과로 보이며, 유출된 개인정보가 피싱(T1566.001 – Spearphishing Attachment) 공격에 활용되어 정보주체의 재산상 손해를 유발할 수 있는 심각한 위협으로 이어졌습니다. IT 감사인은 조직의 개인정보보호 관리체계 전반과 침해사고 발생 시의 대응 절차, 그리고 유출된 정보의 악용 가능성에 대한 모니터링 및 정보주체 통지 적절성을 중점적으로 점검해야 합니다.

개선 권고안

• ✔기술적 조치개인정보처리시스템에 대한 접근 통제, 암호화, 접속 기록 관리 등 개인정보의 안전성 확보조치 기준(개인정보의 안전성 확보조치 기준 제4조)을 준수하고, 시스템 모니터링(NIST SP 800-53 SI-4)을 강화하여 비정상적인 접근 및 데이터 유출 징후를 조기에 탐지할 수 있도록 탐지 규칙을 고도화할 것을 권고함.
• ✔관리적 조치개인정보 유출 사고 발생 시 정보주체 및 관계 기관에 대한 통지 절차가 법적 기한(개인정보 보호법 제34조, ISMS-P 3.5.4) 내에 적절히 이루어질 수 있도록 비상 계획 및 대응 절차를 재정비하고, 주기적인 모의 훈련을 통해 실효성을 확보할 것을 권고함.
• ✔관리적 조치유출된 개인정보가 스미싱 등 2차 피해에 악용될 가능성에 대비하여 정보주체에게 피해 예방을 위한 안내를 강화하고, 관련 기관과의 협력을 통해 추가적인 피해 확산을 방지하기 위한 체계를 수립 및 시행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기