라인야후, 게임 이용자 내부 식별자 710만건 외부 전송…설정 오류 4년간 몰랐다

핵심 요약

라인야후가 운영하는 모바일 게임 3종에서 약 710만 건의 이용자 내부 식별자가 시스템 설정 오류로 인해 4년 가까이 외부 광고 효과 측정 도구로 잘못 전송된 사실이 확인되었습니다. 이는 외부 침입이 아닌, 광고 효과 분석 시스템 설정 변경 과정에서 불필요한 내부 식별자가 함께 전송되도록 잘못 구성된 것이 근본 원인이며, 장기간 이러한 오류를 인지하지 못했습니다. IT 감사인은 시스템 변경 관리 프로세스, 데이터 흐름 통제, 개인정보 비식별화 및 익명화 조치, 그리고 정보 유출 탐지 및 대응 체계의 실효성을 중점적으로 점검하여 유사 사고 재발 방지 및 컴플라이언스 준수 여부를 확인해야 합니다.

💡 개선 권고안

• ✔기술적 조치모든 시스템의 설정 변경 시 보안 영향 평가를 의무화하고, 변경된 설정이 데이터 흐름 및 개인정보 보호에 미치는 영향을 사전에 분석하며, 자동화된 설정 검증 도구를 도입하여 오류를 조기에 탐지할 것을 권고함.
• ✔기술적 조치내부 식별자를 포함한 모든 개인정보에 대해 데이터 분류 체계를 재정립하고, 민감도에 따라 암호화, 비식별화 또는 익명화 조치를 적용하며, 외부 전송 시에는 반드시 최소한의 정보만 전송되도록 데이터 마스킹 또는 필터링 기능을 강화할 것을 권고함.
• ✔기술적 조치데이터 유출 방지(DLP) 시스템 및 보안 정보 및 이벤트 관리(SIEM) 시스템의 탐지 규칙을 고도화하고, 비정상적인 데이터 전송 패턴 및 대량 데이터 유출 징후를 실시간으로 모니터링하여 즉각적인 알림 및 차단이 가능하도록 시스템을 개선할 것을 권고함.
• ✔관리적 조치시스템 변경 관리(Change Management) 프로세스를 강화하여 모든 변경 사항에 대해 보안 부서의 승인 및 검토를 필수화하고, 변경 후에는 반드시 보안 및 데이터 무결성 검증 절차를 수행하도록 정책을 수립 및 시행할 것을 권고함.
• ✔관리적 조치개인정보 영향 평가(PIA)를 주기적으로 수행하고, 특히 신규 서비스 도입 또는 기존 서비스의 주요 기능 변경 시에는 반드시 PIA를 통해 잠재적 개인정보 유출 리스크를 식별하고 완화 방안을 마련할 것을 권고함.
• ✔관리적 조치정보 유출 사고 발생 시 신속하게 대응할 수 있도록 비상 계획을 수립하고, 모의 훈련을 정기적으로 실시하여 임직원의 대응 역량을 강화하며, 관련 법규에 따른 통지 및 보고 절차를 철저히 준수할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문