“사고 막았나”서 “증거 남겼나”로…해킹 대응 기준 바뀐다

[이데일리 윤정훈 기자]국내 개인정보 보호 규제의 초점이 ‘해킹을 막았느냐’에서 ‘사고 이후 증거를 제대로 보존했느냐’로 확대되고 있다. 보안 시스템을 구축하는 데 그치지 않고 침해사고가 발생했을 때 로그와 서버 등 핵심 증거를 보존해 원인과 피해 규명의 책임까지 기업에 요구하는 것이다. 개인정보보호위원회도 조사 착수 전 증거 은닉·폐기 행위를 제재하고 자료보전을 명령할 수 있도록 개인정보보호법 개정을 추진하고 있다.

보안 규제 패러다임 전환(사진=챗GPT)

23일 미국 거버넌스·리스크·컴플라이언스(GRC) 전문 매체 ‘GRC 리포트’는 최근 보도에서 국내 통신사들의 로그 삭제와 서버 폐기 사례를 거론하며, 침해사고 이후 핵심 증거가 사라질 경우 보안 통제의 실제 실패 범위와 사고 경위를 규명하기 어려워진다고 지적했다.

‘사라진 증거’가 원인 규명 막아…“통제 보유와 실제 통제는 별개”

GRC 리포트가 주목한 것은 해킹 수법 자체보다 사고 이후 기업의 대응이다. 침해사고가 발생했을 때 로그와 서버 등 디지털 증거가 남아 있어야 공격자의 침입 경로와 활동 범위, 개인정보 접근 여부, 추가 피해 가능성 등을 확인할 수 있다. 반대로 핵심 자료가 삭제되거나 서버가 폐기되면 규제기관이 기업의 보안 통제가 실제로 어떻게 작동했는지 검증하기 어려워진다.

특히 문제는 단순히 로그가 사라졌다는 데 그치지 않는다. 증거가 없어지면 실제 피해 규모와 보안 통제의 실패 수준 자체를 확인할 수 없게 된다는 점이다. GRC 리포트는 이를 보안 시스템의 단순한 ‘부재’가 아니라 관리와 운영 방식의 문제로 지적했다.

실제 개인정보위 조사에서도 이런 문제가 확인됐다.

KT는 2024년 3월 서버 악성코드 감염을 인지하고도 신고하지 않은 채 2025년 4월 점검 과정에서 감염 서버 10대의 접속 로그를 삭제했다. 초기에는 보존 자료가 없다고 주장했지만 디지털 포렌식 과정에서 삭제 정황이 확인되면서 뒤늦게 로그를 제출했다.

문제는 로그 삭제로 인해 악성코드에 감염된 38대 서버에서 실제 어떤 일이 발생했는지 구체적으로 규명하는 데 한계가 생겼다는 점이다. 공격자가 어떤 경로로 침입했는지, 어떤 서버에서 어떤 행위를 했는지, 개인정보에 추가로 접근했는지 등을 확인할 핵심 단서가 사라졌기 때문이다.

LG유플러스 역시 개인정보위 조사 착수 전에 통합 비밀번호 관리시스템(APPM) 관련 서버의 운영체제(OS)를 재설치하고 서버 자체를 폐기했다. 이 때문에 개인정보위는 유출 경위와 추가 피해 여부를 충분히 확인하지 못하고 수사기관에 수사를 의뢰했다.

두 사례가 보여주는 공통점은 보안 통제를 갖추는 것과 실제 사고 상황에서 통제가 제대로 작동하는 것은 다르다는 것이다. 아무리 보안 시스템을 구축했더라도 사고가 발생한 뒤 핵심 증거가 보존되지 않는다면 해당 시스템이 제대로 작동했는지, 어디에서 통제가 무너졌는지 확인하기 어렵기 때문이다.

(사진=AI 생성 이미지)

개인정보위도 법 개정 연내 추진…‘사고 후 증거 보존’ 기업 의무 강화

개인정보위는 이 같은 법적 공백을 해소하기 위한 개인정보보호법 개정을 추진하고 있다. 핵심은 현행법상 명확한 제재 근거가 부족했던 조사 착수 전 증거 은닉·폐기 행위에 대한 처벌 근거를 마련하고, 사고 발생 이후 필요한 자료를 보전하도록 명령할 수 있는 권한을 신설하는 것이다.

법 개정이 이뤄지면 기업의 개인정보 보호 책임도 달라질 전망이다. 지금까지는 해킹을 막기 위한 방화벽·접근통제·인증 등 사전 보안 조치가 주요 평가 대상이었다면 앞으로는 사고가 발생한 뒤 로그와 시스템 기록을 보존하고 조사에 협조하는 사후 대응 체계 역시 중요한 규제 기준이 될 수 있다.

기업 입장에서는 사고 대응 매뉴얼에도 변화가 불가피하다. 침해사고가 발생하면 시스템을 복구하는 것만큼이나 관련 로그와 서버 이미지, 접근기록 등 디지털 증거를 보존하고 변경·삭제를 막는 절차가 중요해지는 것이다.

美·EU도 사고 은폐·조사 방해 엄격 제재…글로벌 흐름과 맞물려

이 같은 규제 방향은 미국과 유럽연합(EU) 등에서 나타난 글로벌 컴플라이언스 강화 흐름과도 맞닿아 있다.

미국에서는 개인정보 침해사고 이후 기업이나 관계자가 당국의 조사를 방해하거나 사고를 은폐한 행위에 대해 기존의 불공정행위 규정이나 사법방해 관련 법률 등을 적용해 제재해왔다.

대표적인 사례가 2022년 우버의 전 최고보안책임자(CSO)다. 그는 개인정보 유출 사고를 당국에 숨기고 수사를 방해한 혐의로 형사 재판을 받았으며 유죄 평결을 받았다. 이는 사이버 공격을 당한 사실 자체와 별개로 사고 이후 진상 규명을 방해하는 행위 역시 경영진 개인에게 중대한 법적 리스크가 될 수 있다는 점을 보여준 사례다.

EU의 일반개인정보보호법(GDPR) 역시 2018년 이후 개인정보보호 원칙 위반에 대해 기업 매출을 기준으로 최대 4% 수준의 높은 과징금을 부과할 수 있도록 규정하고 있다. 감독기관의 조사와 개인정보 보호 의무를 회피하는 행위에 대해서도 제재가 가능하다.

한국도 글로벌 개인정보 규제와 유사하게 ‘해킹을 당하지 않는 기업’을 넘어 사고가 발생했을 때 사실관계를 투명하게 확인하고 요구하는 방향으로 움직일 전망이다.

개인정보위 관계자는 “빠르면 다음 달까지 법안을 준비해 연내 국회 통과를 목표로 추진할 것”이라며 “경찰 수사 과정에서 새로운 사실이 밝혀지면 추가 제재가 이뤄지겠지만, 이와 별개로 조사 착수 전 이뤄지는 증거 은닉·폐기 행위 자체만으로도 과징금이나 형벌을 부과할 수 있도록 법적 근거를 명확히 마련하겠다”고 말했다.