대한항공·아시아나 고객정보 유출…예약·발권 맡긴 아마데우스서 비인가 접근

핵심 요약

대한항공과 아시아나항공 고객의 예약 관련 개인정보가 글로벌 항공 IT 시스템 운영사인 아마데우스 시스템을 통해 유출된 정황이 확인되었습니다. 이번 사고는 항공사 내부 시스템의 직접 침해보다는 외부 수탁사의 계정 및 접근권한 관리 미흡으로 인한 비인가 접근이 원인으로 지목되며, 공급망 보안의 취약점을 드러냈습니다. IT 감사인은 외부 수탁사에 대한 정보보호 관리체계 점검 및 계약 이행 여부 확인을 통해 공급망 리스크를 선제적으로 식별하고 통제해야 함을 시사합니다.

개선 권고안

• ✔기술적 조치외부 수탁사에 부여된 계정 및 접근권한에 대해 최소 권한 원칙을 적용하고, 정기적인 접근권한 검토 및 불필요한 계정의 즉시 회수 절차를 수립 및 시행할 것을 권고함.
• ✔관리적 조치외부 수탁사에 대한 정보보호 관리체계 점검을 정기적으로 수행하고, 계약서에 명시된 정보보호 의무 이행 여부를 철저히 확인하며, 점검 결과를 바탕으로 개선 조치를 요구하고 이행 여부를 추적 관리할 것을 권고함.
• ✔관리적 조치외부 수탁사와의 계약 시 정보보호 책임 및 의무 범위를 명확히 하고, 개인정보 유출 등 보안 사고 발생 시 위탁사에 대한 통지 의무, 손해배상 책임 등을 구체적으로 명시할 것을 권고함.
• ✔관리적 조치개인정보 유출 사고 발생 시 정보주체 및 관계 기관에 대한 통지 절차를 개인정보 보호법 및 ISMS-P 기준에 따라 재점검하고, 비상 연락망 및 대응 조직의 상시 운영 체계를 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기