보안 사고 및 개인정보보호 뉴스레터 — 2026-07-20

1. 개인정보 유출 사고 및 시사점

KT 개인정보 유출 사건 - 정부 제재 임박

기업: KT
사건 내용: 지난해 2만 명이 넘는 개인정보 유출 및 2억 원대 소액결제 피해가 발생한 KT에 대해, 정부 제재안이 이르면 7월 29일까지 결론날 전망입니다. 법정 상한 과징금은 2,000억 원에 달하지만, 실제 부과 규모는 피해 구제, 재발 방지 노력, 사고 대응 과정 등을 종합적으로 반영해 결정될 예정입니다.
시사점: KT는 현재 보안 및 AI 투자로 신뢰 회복에 나서고 있습니다. 이는 기업이 사고 후 얼마나 신속하게 대응하고 재투자하는지가 제재 수준 결정에 중요한 요소임을 보여줍니다.

1 sources

m-i.kr

m-i.kr

EY(언스트앤영) 고객 세무정보 유출 사건

기업: Ernst & Young(EY)
사건 내용: 글로벌 회계·컨설팅 기업 EY가 제3자 IT 지원시스템 침해로 고객의 세무 관련 문서가 유출되는 사고를 겪었습니다. 이 과정에서 고객의 세금 및 금융정보가 담긴 민감한 문서들이 노출되었습니다.
시사점: 대형 금융·회계 기업도 제3자 시스템을 통한 보안 사고에서 자유로울 수 없다는 점을 고려할 때, 공급망 보안(supply chain security)의 중요성이 다시 한번 강조됩니다.

1 sources

dailysecu.com

dailysecu.com

Pillsbury 데이터 침해 공지

기업: Pillsbury
사건 내용: Pillsbury가 2026년 7월 19일 데이터 침해 공지(Notice of Data Breach)를 발표했습니다.
시사점: 식품 관련 주요 브랜드 역시 유출 사고 위험이 큽니다. 업계를 막론하고 보안 투자를 강화하는 것은 이제 필수입니다.

2. 정보유출 사고 및 판례 시사점

2026년 7월 18일 이후의 최신 판례에 대해서는 아직 구체적인 정보가 부족하지만, 일반적인 법적 환경은 다음과 같습니다.

법적 책임의 확대 추세:
보안 사고에 대한 기업의 책임 추궁이 더욱 강력해지고 있습니다. 내부 보안 신고제도 등 새로운 감시 체계가 도입되면서, 이제 개인정보 유출은 기업의 단순 실수로 치부할 수 없는 엄중한 책임의 영역이 되었습니다.

3. 개인정보보호법 최근 현황 (CISO/CPO 필수)

CPO(개인정보보호책임자) 독립성 강화 및 ISMS-P 의무화

정책 내용: 개정 개인정보보호법에 따라 CPO의 독립성이 강화됩니다. 일정 규모 이상의 개인정보 처리자는 2026년 9월 11일부터 전문 CPO 자격 요건(경력)을 갖춘 사람만을 CPO로 지정해야 합니다. 또한, 대규모 데이터를 취급하는 핵심 기관 및 기업은 'ISMS-P' 인증이 필수 요건이 됩니다.

CISO/CPO 필수 조치:

• CPO 신고 및 자격 요건 검증 강화
• ISMS-P 인증 의무 확대에 따른 보안 관리 체계 고도화
• 법정 상한 과징금 부과 가능성에 대비한 리스크 관리 강화

상장 기업 CISO 공시 의무 확대

정책 내용: 개정 시행령에 따라 'CISO 지정·신고 및 매출액 3,000억 이상' 조건이 삭제됩니다. 이에 따라 유가증권시장(코스피) 및 코스닥시장에 상장된 모든 법인이 정보보호 공시 의무 대상이 됩니다.

CISO/CPO 필수 조치:

• 상장 기업의 경우 CISO 공시 의무 여부 재확인 및 준비
• 정보보호 공시 관련 문서화 및 체계 정비
• 매년 정기 보고 및 공시 일정 수립

추가 시사점

개인정보 보호책임자와 보안책임자의 역할이 더 명확히 구분되는 방향으로 규제가 강화되고 있습니다. KT 사례에서 볼 수 있듯이, 사고 발생 시 기업의 빠른 대응과 재투자는 제재 수준에 영향을 미칩니다. CISO와 CPO는 사전 예방은 물론, 사후 대응 체계까지 탄탄하게 구축해야 합니다.