개인정보 유출 사고, 신고 기준과 72시간 — 대응 절차 정리
개인정보 유출은 일어나지 않기를 바라는 일이지만, 일어났을 때 어떻게 대응했는가가 피해 규모와 책임 범위를 크게 좌우합니다.
특히 기한이 정해져 있습니다. 이 글에서는 인지 시점부터 무엇을 언제까지 해야 하는지 순서대로 정리하겠습니다.
무엇을 '유출'로 보나
해킹만 유출이 아닙니다. 개인정보처리자의 통제를 벗어난 상태가 되면 유출로 봅니다.
| 유형 | 예시 |
| 외부 침입 | 해킹, 악성코드 감염, 랜섬웨어 |
| 내부 유출 | 직원의 무단 반출, 권한 남용 |
| 실수 | 이메일 잘못 발송, 게시판 오등록, 파일 잘못 첨부 |
| 물리적 분실 | 서류 분실, 노트북·USB 도난 |
| 시스템 오류 | 접근권한 설정 오류로 타인 정보가 노출 |
가장 흔한 유형은 해킹이 아니라 ‘실수’입니다. 단체 메일을 참조로 발송하거나, 엑셀 파일의 숨긴 시트에 개인정보가 남아 있는 경우 등입니다.
핵심은 72시간
개인정보 유출 대응 타임라인 | 업로드 파일 : k1.png
개인정보 보호법은 유출 등을 알게 되었을 때 정보주체에게 지체 없이 통지하고, 일정 기준에 해당하면 보호위원회 또는 KISA에 신고하도록 하고 있습니다. 시행령은 그 기한을 72시간 이내로 정하고 있습니다.
시계는 ‘유출을 알게 된 때’부터 돌아갑니다. 유출이 발생한 시점이 아닙니다. 따라서 인지 시점을 언제로 볼 것인가가 중요하며, 이를 명확히 기록해 두어야 합니다.
단계별 대응 절차
1단계 — 사실 확인 (즉시)
| 확인 항목 | 내용 |
| 무엇이 | 유출된 개인정보 항목 |
| 얼마나 | 영향받은 정보주체 수 |
| 어떻게 | 경로와 원인 |
| 언제 | 발생 시점과 인지 시점 |
| 현재 상태 | 유출이 계속되고 있는가 |
2단계 — 확산 차단 (즉시)
원인 시스템 격리, 계정 잠금, 취약점 긴급 조치, 유출 경로 차단을 수행합니다. 증거 보전도 함께 고려하십시오. 원인 분석과 이후 수사를 위해 로그를 보존해야 합니다.
3단계 — 정보주체 통지 (72시간 내)
다음 장에서 자세히 다루겠습니다.
4단계 — 기관 신고 (72시간 내)
기준에 해당하면 보호위원회 또는 KISA에 신고합니다.
5단계 — 피해 구제와 재발 방지
전담 창구를 운영하고, 원인 분석 결과를 바탕으로 재발 방지 대책을 수립·이행합니다.
통지문에 담아야 할 것
유출 통지문 필수 기재 사항 | 업로드 파일 : k2.png
| 항목 | 작성 시 유의 |
| 유출된 개인정보 항목 | '개인정보'라고만 쓰지 말고 구체적으로 |
| 유출 시점과 경위 | 확인된 사실만. 추정은 추정이라고 표시 |
| 피해 최소화 방법 | 비밀번호 변경, 결제 내역 확인 등 실행 가능한 안내 |
| 대응 조치와 구제 절차 | 이미 한 조치와 앞으로 할 조치 |
| 담당 부서와 연락처 | 실제로 연결되는 창구 |
연락처를 알 수 없는 경우에는 홈페이지 등에 30일 이상 게시하는 방법이 있습니다. 다만 규모가 크다면 개별 통지와 게시를 병행하는 편이 안전합니다.
기관 신고는 언제 하나
신고 기준은 개정 이력이 있어 특히 주의가 필요합니다. 일반적으로 다음과 같은 경우가 신고 대상으로 논의돼 왔습니다.
| 유형 | 비고 |
| 일정 규모 이상 유출 | 1천 명 이상 기준이 널리 알려져 있음 |
| 민감정보·고유식별정보 유출 | 규모와 무관하게 신고 대상이 될 수 있음 |
| 외부의 불법적인 접근에 의한 유출 | 해킹 등 |
이 부분은 반드시 최신 조문을 확인하십시오. 신고 기준과 기한은 개정으로 달라져 왔습니다. 판단이 애매하면 신고하는 쪽이 안전합니다. 신고하지 않아 문제가 되는 경우가, 신고해서 문제가 되는 경우보다 훨씬 많습니다.
미리 준비해 둘 것
사고가 터진 뒤에 준비하면 늦습니다. 평소에 만들어 두어야 할 것은 다음과 같습니다.
| 준비물 | 내용 |
| 대응 절차서 | 누가 무엇을 언제 하는지 명시 |
| 비상연락망 | 야간·주말 포함. 경영진 보고 라인 포함 |
| 통지문 템플릿 | 항목만 채우면 되도록 |
| 신고 서식 | 기관 제출 양식 미리 확보 |
| 로그 보존 체계 | 원인 분석에 필요한 기록 |
| 모의훈련 | 연 1회 이상 시나리오 훈련 |
특히 모의훈련을 권합니다. 절차서만 있고 훈련이 없으면, 실제 상황에서 아무도 절차서를 열어보지 않습니다.
자주 하는 실수
| 실수 | 결과 |
| 원인 파악이 끝날 때까지 통지를 미룸 | 기한 초과. 확인된 사실만으로도 통지해야 합니다 |
| 인지 시점을 기록하지 않음 | 기한 준수를 입증할 수 없습니다 |
| '해킹당했다'고만 통지 | 항목이 구체적이지 않아 정보주체가 대응할 수 없습니다 |
| 증거를 지우고 시스템 복구 | 원인 분석과 수사가 어려워집니다 |
| 담당자 개인 판단으로 축소 보고 | 이후 드러나면 훨씬 큰 문제가 됩니다 |
| 재발 방지 대책 미이행 | 동일 사고 반복 시 가중 판단 |
마치며
유출 대응의 핵심은 속도와 정직함입니다. 늦게 알리거나 축소해서 알리면, 사고 자체보다 대응이 더 큰 문제가 됩니다.
그리고 대응의 절반은 사고 전에 준비된 것에서 나옵니다. 절차서, 연락망, 템플릿 세 가지만 갖춰 두어도 대응 속도가 크게 달라집니다.
이 글은 공개된 법령·고시와 실무 경험을 바탕으로 정리한 일반 정보이며, 법률자문이 아닙니다. 기준과 수치는 개정될 수 있으므로 국가법령정보센터와 개인정보보호위원회·KISA의 최신 자료를 확인하시고, 중요한 사안은 전문가 자문을 받으시기 바랍니다.
태그
#개인정보유출 #유출신고 #72시간 #개인정보보호법 #제34조 #침해사고대응 #CPO #보안실무