국민권익위 개인정보 10만여 명 유출…시스템 교체 후 기존 자료 미파기가 원인

핵심 요약

국민권익위원회가 운영하는 '청렴권익배움터'에서 외부 수탁업체의 시스템 교체 과정 중 기존 시스템에 보관된 이용자 10만여 명의 개인정보가 해킹으로 유출되는 사고가 발생했습니다. 이번 사고는 시스템 교체 후 기존 개인정보를 적절히 파기하지 않고 방치한 것이 근본 원인으로, 이는 데이터 생명주기 관리의 실패와 수탁업체에 대한 관리·감독 미흡으로 이어졌습니다. IT 감사인은 시스템 교체, 이전 등 정보시스템 변경 시 데이터 파기 절차의 적정성 및 수탁업체에 대한 개인정보보호 관리·감독 체계의 실효성을 중점적으로 점검해야 합니다.

개선 권고안

• ✔기술적 조치개인정보처리시스템 내 보유 기간이 경과한 개인정보를 자동으로 식별하고 안전하게 파기하는 기술적 통제를 도입하고, 파기 이력을 관리하여 증적을 확보해야 함을 권고함.
• ✔관리적 조치시스템 교체, 이전, 폐기 등 정보시스템 생명주기 전반에 걸쳐 개인정보 파기 절차를 포함한 데이터 생명주기 관리 정책을 수립하고, 관련 절차의 준수 여부를 정기적으로 점검할 것을 권고함.
• ✔관리적 조치개인정보 처리 위수탁 계약 시 수탁업체의 개인정보보호 의무 및 관리·감독 책임을 명확히 하고, 수탁업체에 대한 정기적인 보안 감사 및 점검을 통해 계약 이행 여부를 철저히 확인할 것을 권고함.
• ✔관리적 조치개인정보 유출 사고 발생 시 정보주체 및 관계 기관에 대한 통지 및 신고 절차를 재검토하고, 법적 기한(개인정보 보호법 제34조, ISMS-P 3.5.4 등) 내에 신속하고 정확하게 이행할 수 있도록 비상 계획을 수립 및 시행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기