지난해 한국인터넷진흥원(KISA)에 접수된 기업 침해사고 신고는 2,383건으로 전년보다 26.3% 늘었고, 하반기에는 증가폭이 36.5%에 달했습니다. 그리고 올해 9월 11일, 개정 개인정보 보호법이 시행되었습니다. 공격은 AI로 빨라지고, 제재는 매출액의 10%까지 무거워졌습니다. 자사 시스템과 고객사 시스템을 함께 운영하는 IT서비스 기업은 이 두 흐름이 만나는 지점에 서 있습니다.
정부는 올해 핵심 위협으로 AI 기반 공격, 방치된 레거시 시스템, 클라우드 취약점, 유출 개인정보를 활용한 2차 피해를 제시했습니다. 특히 딥페이크 음성·영상 피싱이 실시간 통화와 화상회의로 확산될 수 있다고 경고했습니다.
AI 에이전트는 새로운 공격 표면입니다. 삼성SDS가 국내 IT·보안 실무자 667명을 조사한 결과, 81.2%가 AI 기반 위협을 올해 가장 큰 위협으로 꼽았습니다. 가트너는 보안 사고의 25%가 AI 에이전트 남용에서 발생할 것으로 예측한 바 있습니다. 챗봇과 에이전트 같은 비인간 계정에 부여된 과도한 권한이 사고의 출발점이 됩니다.
랜섬웨어도 다시 늘고 있습니다. 지난해 신고는 274건으로 감소세에서 증가세로 돌아섰습니다. 데이터 암호화와 유출 협박에 DDoS 공격, 고객·파트너에 대한 직접 압박까지 더하는 4중 갈취 방식으로 진화했습니다.
공급망 공격 역시 IT서비스 기업에 직접적인 위협입니다. 공개 패키지 저장소에 악성 패키지를 심는 오픈소스 공격과 저가형 IoT 장비를 통한 침투는 한 곳의 사고를 파트너 전체로 확산시킵니다.
국가정보원은 5월 1일 「국가 사이버보안 기본지침」을 전면 개정해 기존 망분리 조항을 삭제하고 국가망보안체계(N2SF)를 명시했습니다. 업무정보를 기밀·민감·공개 3등급으로 나누고 등급별로 보안 통제를 달리 적용하는 방식입니다. 금융권에서도 클라우드 활용을 위한 망분리 예외가 확대되고 있습니다.
이는 공공·금융 IT서비스 시장에 기회이지만, 리스크의 성격도 바꿉니다. 물리적 경계가 사라진 자리에서는 데이터 등급 분류의 오류와 권한 관리의 허점이 곧 유출 경로가 됩니다.
여기에 두 가지가 더해집니다. 하나는 AI 서비스 구축 과정에서 민감 정보가 학습 데이터에 섞이거나 API 키와 토큰이 노출되는 문제입니다. 다른 하나는 지원이 종료된 채 방치된 레거시 시스템입니다. 정부는 윈도우10 지원 종료가 보안 업데이트 공백을 노린 공격의 계기가 될 수 있다고 보았습니다.
개정 개인정보 보호법의 핵심은 다음과 같습니다.
- 고의·중과실로 3년 내 위반을 반복하거나 1천만 명 이상 피해가 발생하면 전체 매출액의 최대 10%까지 과징금이 부과됩니다.
- 과징금은 직전 연도 매출과 최근 3년 평균 매출 중 높은 금액을 기준으로 산정합니다.
- 대표자(CEO)가 최종 책임자로 명시되었고, 개인정보 보호책임자(CPO) 지정에는 이사회 의결이 필요합니다.
- 유출이 확인되지 않았더라도 유출 가능성을 인지하면 정보주체에게 통지해야 합니다.
- 보호 예산·인력·설비 투자와 관리 체계 수준을 고려해 과징금을 최대 40%까지 감경합니다.
제재 수위는 이미 현실에서 확인되고 있습니다. 개인정보보호위원회는 최근 쿠팡에 과징금 6,246억 8,100만 원을 부과했고, 이 가운데 유출 사고 관련 금액이 4,235억 7,500만 원입니다. KT 펨토셀 해킹 사고에는 539억 원이 부과되었습니다.
후속 조치도 이어집니다. 유출을 신고하지 않다가 적발되면 과징금을 30% 이상 가중하는 방안과 신고포상금 제도가 추진되고 있습니다. 연 1회 이상의 취약점 점검과 모의해킹은 내년 1월부터, 주요 기업의 ISMS-P 인증은 내년 7월부터 의무화될 예정입니다. 유출 사고 시 기업이 고의·과실 없음을 입증하도록 하는 방안도 계획에 포함되어 있습니다.
영업 측면의 부담도 큽니다. 랜섬웨어나 DDoS로 서비스가 중단되면 SLA 위반에 따른 지체상금과 손해배상 청구가 뒤따릅니다. 개인정보 처리 업무의 상당 부분이 위탁으로 이루어지는 만큼, 수탁사인 IT서비스 기업의 사고는 고객사의 과징금 리스크로 직결됩니다. 보안 사고 이력은 공공·금융 사업 수주 경쟁에서도 불리하게 작용할 수밖에 없습니다.
인사이트
첫째, 보안 투자는 과징금을 줄이는 근거 자료가 되었습니다. 감경은 투자 내역과 관리 체계를 종합해 판단하므로, 투자 사실만큼 그 기록과 증빙이 중요합니다.
둘째, 사고 대응의 기준 시점이 '확인'에서 '인지'로 앞당겨졌습니다. 가능성 단계에서 통지해야 하고 은폐는 가중 사유가 되는 만큼, 포렌식·법률·통지 체계를 사고 전에 갖추어 두셔야 합니다.
셋째, 보험으로 전가할 수 있는 영역과 없는 영역을 구분하셔야 합니다. 과징금 자체는 통상 보험으로 전가하기 어렵습니다. 반면 사고 조사와 통지 비용, 영업 중단 손실, 고객사에 대한 배상책임은 사이버보험과 전문직업배상책임보험으로 대비할 수 있습니다. AI 에이전트로 인한 사고가 담보 범위에 포함되는지도 약관에서 확인하실 필요가 있습니다.
