6,246억 원은 고도의 해킹에서 나온 금액이 아니다
2026년 6월 10일, 개인정보보호위원회는 쿠팡에 과징금 6,246억 8,100만 원과 과태료 1,680만 원을 부과했다. 국내 개인정보 처분 사상 최대 금액이다. 빠져나간 인원은 회원 3,322만 2,472명, 여기에 비회원 최소 433만 8,368명. 합치면 약 3,755만 명이다.
정작 눈여겨볼 대목은 금액이 아니라 위원회가 붙인 판단이다.
위원회는 이 사고를 고도의 해킹이 아니라 기본적인 안전관리 체계의 미흡으로 규정했다. 인증 서명키 관리와 접근통제가 허술했고 침입자는 과거 그 인증 시스템을 직접 개발했던 전직 개발자였다. 유출 통지와 파기 의무 위반, 개인정보 보호책임자의 독립성 보장 위반도 함께 확인됐다.
이 구도는 예외가 아니다. 온라인 강의 플랫폼 클래스유는 데이터베이스 접속정보가 담긴 파일을 개발자 플랫폼에 공개 설정으로 저장해 두었고 여러 담당자가 관리자 계정 하나를 함께 썼다. 약 160만 명의 정보가 나갔고 통지는 72시간을 넘겼다. 채용 플랫폼 인크루트는 이상 접속기록과 대용량 트래픽이 이어지는 두 달 동안 침입 사실 자체를 알아채지 못했다. 이력서와 자기소개서, 자격증 사본 5만 4,475건이 438기가바이트 규모로 빠져나갔다.
기업교육 담당자가 이 사건들에서 읽어야 할 문장은 하나다. 임직원의 이름과 사번, 소속, 직급, 연락처, 평가 이력, 학습 이력을 통째로 맡기는 시스템이 LMS다. 막상 그 시스템을 고를 때 우리가 손에 쥐는 근거는 대개 제안서에 적힌 “보안인증 보유”라는 한 줄이다.
그 한 줄이 무엇을 보증하고 무엇을 보증하지 않는지 구분하는 담당자는 많지 않다.
인증 로고가 나란히 걸려 있어도 심사한 항목은 다르다
제안서에는 CSAP와 ISMS-P가 나란히 적히는 일이 잦다. 두 제도는 애초에 서로 다른 질문에 답한다.
CSAP는 클라우드컴퓨팅법 제23조의2에 근거한 클라우드 보안인증이다. 평가기준은 4개 영역, 14개 대분류, 35개 소분류, 116개 통제항목으로 짜여 있고 관리적·물리적·기술적 보호조치와 공공기관용 추가 보호조치를 다룬다. 이 제도가 실제로 힘을 갖는 지점은 공공 조달이다. 행정기관과 공공기관이 민간 클라우드를 쓸 때 보안인증을 받은 서비스만 이용하도록 정한 별도 고시가 그 근거다. CSAP가 답하는 질문은 결국 하나다. 이 클라우드 인프라를 공공기관에 납품해도 되는가.
ISMS-P는 정보통신망법 제47조와 개인정보 보호법 제32조의2를 함께 근거로 삼는 통합 인증이다. 인증기준은 101개, 구성은 세 갈래다.
도표의 오른쪽 아래 상자를 보면 된다. 개인정보 처리단계별 요구사항 21개가 독립된 영역으로 서 있다. 개인정보를 수집할 때, 보유하고 이용할 때, 제3자에게 제공할 때, 파기할 때, 정보주체의 권리를 보장할 때 무엇을 해야 하는지를 항목마다 따로 심사한다. 정보보호만 인증하는 ISMS는 이 21개가 빠진 80개 기준에서 끝난다.
실무에서 곧바로 걸리는 숫자가 여기 있다. 현재 발급된 관리체계 인증 1,274건 가운데 ISMS-P는 319건, 25퍼센트다. 나머지 75퍼센트는 개인정보 영역을 심사받지 않은 ISMS다. 기업교육 시장도 사정이 다르지 않다. 인증범위에 ’교육’이 들어간 인증서 60건 중 ISMS-P는 8건뿐이다.
| 구분 | CSAP | ISMS | ISMS-P |
|---|---|---|---|
| 근거 법령 | 클라우드컴퓨팅법 제23조의2 | 정보통신망법 제47조 | 정보통신망법 제47조 + 개인정보 보호법 제32조의2 |
| 심사 대상 | 클라우드 인프라·시스템 보안 | 조직의 정보보호 관리체계 | 정보보호 관리체계 + 개인정보 처리 전 과정 |
| 항목 수 | 116개 통제항목 | 인증기준 80개 | 인증기준 101개 |
| 개인정보 수집·이용·제공·파기 심사 | 별도 영역 없음 | 별도 영역 없음 | 21개 기준으로 심사 |
| 실질적 강제력 | 공공기관 클라우드 조달 요건 | 일정 규모 이상 사업자 법정 의무 | 현재는 자율, 2027년 7월 1일 의무화 |
| 유효기간 | 5년 이내 | 3년 | 3년 |
CSAP만 보유한 LMS는 “우리가 임직원 개인정보를 수집부터 파기까지 어떻게 관리하는가”를 한 번도 심사받은 적이 없다. 관리가 부실하다는 뜻이 아니라, 그 항목이 애초에 심사표에 없었다는 뜻이다. 어느 인증이 더 우수한가를 따질 일이 아니다. 우리가 맡기려는 것이 무엇인지를 먼저 보는 일이다.
2027년, 두 인증은 정반대 방향으로 움직인다
지금 LMS를 고르는 담당자가 알아야 할 변화는 따로 있다. 두 제도의 방향이 같은 해에 갈린다.
ISMS-P는 의무가 된다. 2026년 3월 10일 공포된 개인정보 보호법 개정법(법률 제21445호)은 제32조의2 제1항에 단서를 새로 넣었다. 매출액과 개인정보 처리 규모 등을 고려해 대통령령으로 정하는 기준에 해당하는 개인정보처리자는 인증을 받아야 한다는 조항이다. 받지 않으면 3천만 원 이하의 과태료가 따른다. 부칙이 정한 이 조항의 시행일이 2027년 7월 1일이다. 다만 구체적인 대상 기준을 담을 시행령이 아직 나오지 않았다. 우리 회사가 의무 대상인지는 지금 단정할 수 없다.
CSAP는 해체된다. 2026년 4월 20일 과학기술정보통신부와 국가정보원은 공공 클라우드 보안검증을 국정원 단일 체계로 일원화한다고 공동 발표했다. 명분은 이중 절차 해소다. CSAP를 받고도 국정원 보안적합성 검증을 따로 받아야 했던 구조를 걷어낸다. 개편에서 CSAP의 민간 공통 규범에 해당하는 부분은 ISMS 기반의 자율 보안인증으로 흡수된다. 공공기관용 추가 보호조치에 해당하는 부분은 국정원의 클라우드 보안검증으로 넘어간다. 2026년 상반기에 지침과 가이드라인을 고치고 약 1년의 유예를 거쳐 2027년 하반기부터 본격 시행하는 일정이다. 이미 받은 CSAP 인증은 남은 유효기간을 인정받는다.
여기서 흔히 도는 오해를 하나 짚어야 한다. CSAP의 민간 규범이 흡수되는 대상은 ISMS이지 ISMS-P가 아니다. 정부 발표와 주요 보도 모두 ISMS로 적었고 개인정보보호위원회가 관여한 근거는 없다. 국정원의 검증 항목이 무엇인지, 국가 망 보안체계의 등급 분류와 어떻게 맞물릴지도 아직 확정되지 않았다.
2027년을 지나면 한쪽은 법정 의무가 된다. 다른 한쪽은 해체돼 두 갈래로 나뉘고 그중 민간 영역은 자율 인증으로 남는다. 인증 로고 하나로 LMS 벤더의 보안 역량을 판단하는 방식이 앞으로 더 위태로워지는 이유다.
LMS가 뚫리면 과징금 고지서는 우리 회사에도 온다
담당자들이 가장 자주 놓치는 지점이 여기다. 벤더가 사고를 내면 벤더만 처벌받는다고 생각한다. 법은 그렇게 되어 있지 않다.
임직원 개인정보를 LMS에 넘기는 순간 우리 회사는 위탁자가 되고 LMS 벤더는 수탁자가 된다. 개인정보 보호법 제26조 제4항은 위탁자에게 수탁자를 교육하고 처리 현황을 점검할 관리·감독 의무를 지운다. 제64조의2 제1항 제5호는 여기서 한 발 더 나간다. 그 관리·감독이나 교육을 소홀히 해서 수탁자가 법을 위반하면, 위탁자에게 전체 매출액의 3퍼센트 이하 과징금을 부과할 수 있다.
손해배상 쪽은 더 노골적이다. 제26조 제7항은 수탁자가 위탁 업무를 처리하다 법을 위반해 손해배상책임이 생긴 경우 수탁자를 위탁자의 소속 직원으로 본다고 정한다. 배상 국면에서 벤더의 과실은 우리 직원의 과실과 같이 다뤄진다.
조문상의 가능성에 그치는 이야기가 아니다. 실제로 집행되고 있다.
| 사건 | 의결일 | 수탁자(벤더) 처분 | 위탁자(고객사) 처분 | 위탁자가 처벌받은 사유 |
|---|---|---|---|---|
| 골프장 회원 8만 7,923명 유출 | 2025-10-22 | 과징금 1억 4,800만 원 | 과징금 5,310만 원 + 과태료 990만 원 | 위·수탁 계약서에 안전조치를 구체적으로 명시하지 않음, 처리방침에 실제 수탁자를 잘못 기재 |
| 상조 계열 2만 7,882명 유출 (SQL 인젝션) | 2026-05-13 | 과징금 5억 3,100만 원 | 위탁 6개 계열사 과징금 합계 1,150만 원 | 수탁자 교육·감독 의무 미이행 |
| 공공 위탁시스템 57만 5천여 건 유출 (다크웹 유통) | 2026-05-27 | 과징금 8,250만 원 | 발주 기관 과징금 1억 6,800만 원 | 사업 종료 시 자료 미보유 확약서만 받고 실제 파기 여부를 점검하지 않음 |
| 그룹 채용 역량검사 응시자 1,679명 노출 | 2023-07-12 | 시정명령 | 관계사 과태료 2,400만 원 | 수탁자 관리·감독 소홀, 위탁 문서 미체결 |
개인정보보호위원회는 골프장 사건을 처분하며 그 의의를 직접 밝혔다. 안전조치 의무의 책임이 명확하게 수탁자에게 있는 경우에도 수탁자 관리·감독을 소홀히 한 위탁자를 함께 처분한 사례라는 것이다.
네 번째 사례를 다시 보기 바란다. 채용 역량검사, 곧 HR 업무를 외부에 맡긴 건이다. 응시자 1,679명의 정보가 노출됐고 시스템을 운영한 곳은 수탁사였지만 과태료는 위탁한 관계사들이 냈다. 사유는 관리·감독 소홀과 위탁 문서 미체결이었다.
LMS 도입은 정확히 같은 구조다.
사고 하나가 남기는 청구서에는 몇 개의 줄이 있는가
“유출되면 벤더가 과징금을 내겠지.” 이 인식이 왜 위험한지는 청구서에 실제로 오르는 항목을 모두 펼쳐 놓으면 드러난다.
| 항목 | 근거 | 규모 | 우리 회사에도 적용되는가 |
|---|---|---|---|
| 과징금 | 법 제64조의2 제1항 | 전체 매출액의 3% 이하 (산정 곤란 시 20억 원 이하) | 적용된다. 관리·감독 소홀 시 제1항 제5호로 위탁자에 직접 부과 |
| 가중 과징금 (2026년 9월 11일 시행) | 법 제64조의2 제2항 신설 | 전체 매출액의 10% 이하 (산정 곤란 시 50억 원) | 3년 내 재위반, 피해 1천만 명 이상, 시정명령 불이행 시 |
| 과태료 (안전조치 의무 위반) | 법 제75조 제2항 제5호 | 3천만 원 이하 | 적용된다. 제26조 제8항 준용으로 수탁자에게도 직접 적용 |
| 과태료 (위탁 문서 미작성·미공개) | 법 제75조 제4항 | 각 1천만 원 이하 | 위탁자 고유의 의무다 |
| 유출 통지 | 법 제34조 제1항, 시행령 제39조 | 72시간 이내 정보주체에게 통지 | 적용된다 |
| 유출 신고 | 시행령 제40조 | 72시간 이내 보호위원회 또는 KISA에 신고. 1천 명 이상이거나, 민감정보·고유식별정보이거나, 외부의 불법적 접근이면 대상 | 적용된다. 민감정보·고유식별정보는 인원수 기준이 없다 |
| 손해배상 | 법 제39조 제1항 | 입증책임 전환. 고의·과실 없음을 회사가 입증하지 못하면 면책되지 않는다 | 적용된다 |
| 징벌적 손해배상 | 법 제39조 제3항 | 손해액의 5배 이내 | 고의·중과실 시 |
| 법정손해배상 | 법 제39조의2 | 1인당 300만 원 이하. 실손해 입증 없이 청구 가능 | 적용된다 |
| 대표자 책임 (2026년 9월 11일 시행) | 법 제30조의3 신설 | 사업주·대표자를 최종 책임자로 명시 | 적용된다 |
배상액이 어디서 굳어지는지는 판례에 이미 나와 있다. 카드 3사 유출 사건에서 대법원은 1인당 위자료 10만 원을 확정했고 총 배상액은 약 256억 원이었다. 인터파크 사건도 같은 1인당 10만 원으로 확정됐다. 여기어때 사건에서는 피해 유형에 따라 5만 원에서 40만 원까지 차등 인용됐다. 최근에는 개인정보 분쟁조정위원회가 SK텔레콤 사건에서 1인당 30만 원의 조정안을 의결했다.
임직원 3,000명 규모 기업의 학습 이력과 인사 정보가 통째로 나갔다고 놓고 계산하면 법정손해배상만으로도 이론적 상한이 90억 원이다. 여기에 과징금과 대응 비용이 얹힌다. 고객 정보가 아니라 임직원 정보라는 점은 문제를 줄이지 않고 키운다. 피해자가 곧 우리 구성원이다. 그 관계는 사고가 끝난 뒤에도 계속된다.
세 건 중 한 건은 해킹이 아니라 관리에서 터진다
집행 강도만 세지는 게 아니다. 사고 자체가 늘고 있다. 2025년 유출 신고는 447건이었고 그중 민간기업이 319건을 차지하며 전년 대비 57퍼센트 증가했다. 같은 해 개인정보보호위원회의 처분은 227건, 과징금 총액은 1,677억 원으로 부과액이 전년보다 172퍼센트 늘었다.
원인을 뜯어보면 이야기가 달라진다. 해킹이 62퍼센트로 가장 크다. 그러나 업무 과실 25퍼센트와 시스템 오류 5퍼센트, 고의 유출 3퍼센트를 더하면 세 건 중 한 건은 외부 공격이 아니라 내부의 절차와 관리에서 터진다. 방화벽이 막을 수 있는 영역이 아니다. 누가 어떤 권한으로 무엇에 접근하는지, 보유기간이 지난 정보를 실제로 파기하는지, 위탁한 업무를 점검하는지. 이 질문들이 놓인 자리는 인프라 보안이 아니라 관리체계다. ISMS-P가 별도 영역으로 심사하는 바로 그 항목들이다.
여기서 기업교육 담당자가 그냥 넘기기 어려운 항목이 하나 더 나온다. 해외 사업자의 클라우드 기반 학생·교직원 정보 관리 서비스가 해킹당해 국내 학교 열 곳 이상이 유출 신고를 했다. 교육 플랫폼 한 곳이 뚫리면 그 위에 올라탄 고객 조직이 함께 신고 의무를 지는 구조가 이미 현실이라는 뜻이다.
그럼에도 인증서 한 장을 만능으로 취급하면 안 된다
여기까지 읽고 “ISMS-P 보유 여부만 확인하면 되겠다”고 정리한다면 절반만 맞다. 전문가로서 함께 말해야 할 한계가 있다.
인증은 특정 시점의 검증이다. 정해진 항목만 충족해 인증 마크를 얻으면 한동안 보안 책임에서 자유로워지는 구조라는 비판이 CSAP 제도 개편의 배경으로 지적됐다. 개편 방향 자체가 사전 인증에서 사후 증명 기반으로 옮겨 가고 있다. 정도의 차이는 있어도 같은 지적이 ISMS-P에도 그대로 꽂힌다.
인증범위가 사실상 전부라는 점도 있다. 인증서에는 반드시 인증범위가 적혀 있다. 벤더가 인증을 갖고 있어도 그 범위가 우리가 도입하려는 바로 그 서비스를 포함하지 않을 수 있다. 인증 보유 여부보다 인증서에 적힌 범위 문구를 읽는 편이 훨씬 유용하다.
마지막 하나는 우리 몫이다. 클라우드 책임공유모델에서 고객의 설정과 계정 관리, 데이터 취급은 클라우드 사업자의 인증 범위 밖이다. 벤더의 인프라가 튼튼해도 우리 쪽 계정 관리가 무너지면 사고는 난다.
쿠팡 사고를 두고 위원회가 고도의 해킹이 아니라 기본 통제의 부재라고 판단한 대목을 여기서 다시 읽어야 한다. 인증은 최소한의 필터이지 면죄부가 아니다.
LMS 보안 검토에서 실제로 물어야 할 여섯 가지
제안서의 인증 로고를 세는 대신 다음을 문서로 요구하면 된다.
첫째, 인증서 원본과 인증범위 문구. 인증번호, 인증범위, 유효기간, 유지 여부를 확인한다. ISMS-P와 CSAP 인증서는 KISA 공식 목록에서 누구나 직접 조회할 수 있다. 벤더의 설명이 아니라 목록에서 확인한다.
둘째, 도입하려는 서비스명이 인증범위 안에 있는가. 회사가 인증을 받았다는 사실과 그 제품이 인증범위에 들어 있다는 사실은 다르다.
셋째, 개인정보 처리 단계별 항목을 심사받았는가. ISMS인지 ISMS-P인지 구분한다. 이름은 한 글자 차이지만 21개 기준이 갈린다.
넷째, 위탁계약서에 시행령 제28조 제1항의 다섯 가지가 들어 있는가. 위탁업무의 목적과 범위, 재위탁 제한, 접근 제한을 포함한 안전성 확보 조치, 관리 현황 점검 등 감독, 수탁자 의무 위반 시 손해배상 책임이다. 골프장 사건에서 위탁자가 처벌받은 첫 번째 사유가 바로 이 항목의 부실이었다.
다섯째, 감독을 실제로 수행하고 기록을 남기고 있는가. 확약서를 받는 것으로는 부족하다. 앞의 공공 위탁 사건에서 발주 기관은 확약서만 받고 실제 파기 여부를 점검하지 않아 과징금을 냈다. 연 1회 이상의 점검과 그 증빙이 필요하다.
여섯째, 72시간 대응 절차가 계약과 운영에 반영돼 있는가. 유출 통지와 신고는 각각 72시간이다. 벤더가 우리에게 언제, 어떤 경로로 알리는지가 계약서에 없으면 그 시계는 우리가 모르는 사이에 흘러간다.
여섯 가지 모두 보안팀의 언어가 아니라 HRD 담당자의 언어로 물어도 된다. 문서로 답을 받지 못하는 항목이 있다면 그 자체가 답이다.
우리가 ISMS-P를 먼저 받은 이유
터치클래스를 운영하는 뉴인은 ISMS-P 인증을 보유한다. 인증번호는 ISMS-P-KISA-2025-066, 인증범위는 온라인 교육 플랫폼 서비스(터치클래스, 터치클래스 에코, 뉴캠퍼스), 유효기간은 2025년 12월 3일부터 2028년 12월 2일까지다. KISA 인증서 발급현황 목록에서 직접 확인할 수 있다.
순서를 그렇게 잡은 이유는 단순하다. 기업교육 플랫폼이 다루는 것은 클라우드 인프라이기 전에 임직원 개인정보다. 수집부터 파기, 권리보장까지 심사받는 인증이 이 사업에 가장 직접적인 보증이라고 판단했다.
인증이 사고를 막아 주지는 않는다. 다만 어떤 항목을 심사받았는지는 벤더를 고르는 사람이 확인할 수 있어야 한다. 그 확인을 쉽게 만드는 것이 인증 제도의 존재 이유다.
함께 읽을 글
출처
- 개인정보보호위원회, 쿠팡㈜ 역대 최대 과징금 총 6,246억 8,100만 원 부과 (제11회 전체회의, 2026-06-10): https://www.korea.kr/news/policyNewsView.do?newsId=148966578
- 개인정보보호위원회, 유출 사고 발생한 위·수탁자 모두 과징금 처분 (2025-10-23): https://www.korea.kr/briefing/pressReleaseView.do?newsId=156734025
- 개인정보보호위원회·한국인터넷진흥원, 2025년 개인정보 유출 신고 및 조사·처분 사례 분석 (2026-05-15): https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12078
- 법제처 국가법령정보센터, 개인정보 보호법 (법률 제20897호, 시행 2025-10-02): https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=270351&efYd=20251002
- 법제처 국가법령정보센터, 개인정보 보호법 (법률 제21445호, 공포 2026-03-10 — ISMS-P 의무화 단서 및 가중 과징금 신설): https://www.law.go.kr/DRF/lawService.do?OC=test&target=eflaw&MST=283839&type=XML&efYd=20260911
- 법제처 국가법령정보센터, 클라우드컴퓨팅서비스 보안인증에 관한 고시 (과학기술정보통신부고시 제2023-4호): https://law.go.kr/LSW/admRulInfoP.do?admRulSeq=2100000218804
- 개인정보 포털 (개인정보보호위원회·한국인터넷진흥원), ISMS-P 인증기준: https://www.privacy.go.kr/front/contents/cntntsView.do?contsNo=59
- 한국인터넷진흥원, ISMS-P 인증서 발급현황 공식 목록: https://isms-p.or.kr/sttus/cert/selectCrtfctIsueList.do
- 한국인터넷진흥원, 클라우드서비스 보안인증(CSAP) 안내: https://www.kisa.or.kr/1050603
- 과학기술정보통신부·국가정보원, 공공 클라우드 보안검증 국정원 단일 체계 일원화 공동 발표 (2026-04-20): https://m.korea.kr/briefing/pressReleaseView.do?newsId=156756627
- ZDNet Korea, 공공클라우드 인증 국정원으로 단일화… CSAP 10년 만에 해체 (2026-04-20): https://zdnet.co.kr/view/?no=20260420130424
- 바이라인네트워크, 공공 클라우드 보안 검증 국정원 단일 검증 체계로 일원화 (2026-04-20): https://byline.network/2026/04/20-578/
- ZDNet Korea, 클래스유 과징금 부과 (2025-04-10): https://zdnet.co.kr/view/?no=20250410080008
- 경향신문, 인크루트 과징금 4억 6,300만 원 (2025-10-23): https://www.khan.co.kr/article/202510231404001
- 데일리시큐, 정부24·농촌진흥청 위탁시스템 유출 처분 (2026-05-28): https://www.dailysecu.com/news/articleView.html?idxno=206929
- 이투데이, 보람상조 위·수탁 처분 (2026-05-14): https://www.etoday.co.kr/news/view/2584630
- 디지털투데이, SK 종합역량검사 응시자 정보 노출 (2023-07-12): https://www.digitaltoday.co.kr/news/articleView.html?idxno=481539
- 정책브리핑, SK텔레콤 개인정보 분쟁조정 1인당 30만 원 조정안 (2025-11-04): https://www.korea.kr/news/policyNewsView.do?newsId=148953919