정부, 해킹 증거 인멸에 징역형과 과징금 추진

2026년 7월 28일 개인정보보호위원회가 개인정보 유출 사고 조사와 관련된 자료를 고의로 숨기거나 없애는 행위에 형사처벌과 매출액 연동 과징금을 부과하는 입법 방침을 국회에 보고했습니다. 언론에 공개된 추진안에는 징역 2년 이하 또는 벌금 2천만 원 이하, 매출액 최대 3%의 과징금이 담겼습니다.

이번 정책은 해킹을 당한 사실 자체를 처벌하는 제도가 아닙니다. 조사에 필요한 서버, 로그, 접속기록, 시스템 이미지, 내부 보고자료 등을 은닉하거나 폐기해 사실 확인을 방해하는 행위를 직접 제재하는 방안입니다. 공격을 받은 기업의 초기 보안 수준, 사고 발견 뒤의 신고, 피해 확산 방지, 조사 협조, 증거 보존을 각각 평가하는 구조가 예상됩니다.

먼저 확인해야 할 현재 상태

이 사안은 2026년 7월 29일 기준으로 국회를 통과해 시행 중인 완성된 법률이 아닙니다. 개인정보보호위원회가 국회에 입법 방침을 보고한 단계입니다. 법률안의 정확한 조문, 적용 대상, 과징금 산정 기준, 고의성 판단 기준, 법인과 임직원의 책임 범위, 시행일은 정부안 작성과 국회 심사 과정에서 조정될 수 있습니다.

기사에 제시된 징역형과 과징금 수치는 정책 방향을 이해하는 기준입니다. 실제 사건에 바로 적용할 수 있는 확정 기준으로 사용해서는 안 됩니다. 법률은 시행 전에 발생한 행위에 소급 적용되지 않는 것이 원칙입니다. KT, LG유플러스, 쿠팡과 관련해 이미 발생한 행위에는 기존 법률과 당시의 행정명령, 형법상 공무집행방해 등 적용 가능성이 검토됩니다.

이 글은 공개된 입법 방침과 2026년 7월 29일까지 확인된 조사 결과를 토대로 정책의 의미를 설명합니다. 개별 사건의 형사책임과 민사책임은 수사기관과 법원의 판단에 따라 확정됩니다.

법안이 담으려는 내용

1. 조사자료를 없앤 행위에 형사처벌 근거 신설

추진안은 개인정보 유출 사고의 제재를 피할 목적으로 조사 관련 자료를 은닉하거나 폐기한 경우 형사처벌할 수 있는 별도 규정을 마련하는 내용입니다. 공개된 수준은 징역 2년 이하 또는 벌금 2천만 원 이하입니다.

형사처벌은 자연인에게 적용되는 책임이 중심이 됩니다. 실제 삭제를 지시한 사람, 승인한 사람, 수행한 사람, 보고를 받고도 계속 진행하도록 둔 사람의 역할이 조사 대상이 될 수 있습니다. 법인에 대한 양벌규정이 포함될지는 최종 문안을 확인해야 합니다.

수사와 재판에서는 다음 사항이 중요해질 가능성이 큽니다.

• 해당 자료가 사고 조사와 관련된 자료였는지
• 당사자가 조사 개시 또는 자료 보전 필요성을 알고 있었는지
• 삭제·폐기·은닉 행위가 실제로 있었는지
• 자동 삭제 정책이 계속 작동한 이유가 무엇인지
• 제재 회피 또는 조사 방해 목적이 있었는지
• 정상적인 보안 조치와 증거 보존을 함께 수행할 수 있었는지
• 삭제 이후 복구 시도와 자진 보고가 있었는지
• 경영진, 보안조직, 법무조직, 외부업체의 지시 관계가 어떻게 구성됐는지

형사처벌 조항은 문언의 명확성이 중요합니다. 기업은 평상시에도 서버 교체, 데이터 파기, 로그 순환 저장, 클라우드 자원 자동 종료를 수행합니다. 위법한 증거 인멸과 정상적인 시스템 운영을 구분할 수 있는 기준이 법률과 하위 규정에 구체적으로 제시돼야 합니다.

2. 매출액 최대 3% 과징금 근거 신설

추진안에는 조사자료 은닉·폐기 행위에 매출액 최대 3%의 과징금을 부과하는 방안도 포함됐습니다. 과징금은 사업자에게 부과되는 행정상 금전 제재입니다. 대기업과 플랫폼 기업에서 정액 과태료의 억지력이 낮다는 문제를 해결하기 위해 매출액 연동 방식을 사용하는 정책입니다.

최종 제도에서는 과징금 산정의 기준 매출액이 중요한 쟁점이 됩니다. 전체 매출액, 국내 매출액, 관련 서비스 매출액, 위반행위 관련 매출액 가운데 어떤 범위를 사용할지에 따라 부과 규모가 크게 달라집니다. 연결재무제표상 계열회사 매출을 포함하는지도 명시해야 합니다.

과징금 산정 시 고려할 요소로 다음 항목이 예상됩니다.

• 삭제되거나 폐기된 자료의 중요성
• 피해자 수와 개인정보의 민감성
• 조사 지연 기간
• 사실관계 규명에 발생한 장애의 정도
• 반복 위반 여부
• 경영진의 관여 수준
• 자진 신고와 조사 협조 수준
• 자료 복구 가능성과 실제 복구 노력
• 피해자 통지와 보호조치 이행
• 사고 전 보안 투자와 사고 후 개선 조치

형사처벌과 과징금은 목적과 적용 대상이 다릅니다. 동일 사건에서 행위자에 대한 형사책임과 사업자에 대한 과징금이 함께 검토될 수 있습니다. 최종 법률은 중복 제재의 비례성과 절차적 권리를 함께 설계해야 합니다.

3. 조사 방해 행위의 범위 확대

공개된 방침은 서버 폐기와 접속기록 삭제를 대표 사례로 제시합니다. 실제 디지털 사고 조사에서 보존 대상은 훨씬 넓습니다.

• 웹 서버, 데이터베이스 서버, 인증 서버, 권한관리 서버
• 가상머신 이미지와 스냅샷
• 클라우드 관리 콘솔의 감사 로그
• 방화벽, 웹방화벽, VPN, 프록시, DNS 로그
• 운영체제 보안 로그와 애플리케이션 로그
• 계정 생성·변경·삭제 기록
• API 키, 인증서, 토큰 발급과 사용 기록
• EDR, 백신, 보안관제 경보
• 백업 파일과 복구 지점
• 소스코드 저장소와 배포 이력
• 장애·보안 티켓과 사내 보고서
• 메신저, 이메일, 회의록, 결재문서
• 외주업체 작업 내역과 원격접속 기록
• 장비 반출, 폐기, 교체 기록
• 개인정보 처리 흐름과 데이터베이스 조회 기록

자료를 다른 장소로 옮기고 제출 사실을 숨기는 행위도 은닉으로 평가될 수 있습니다. 파일 이름이나 시간정보를 변경하는 행위, 일부 구간만 골라 제출하는 행위, 조사기관에 사실과 다른 시스템 구조를 설명하는 행위도 조사 방해 판단에 영향을 줄 수 있습니다.

기존 제도에서 무엇이 부족했나

개인정보 보호법은 개인정보보호위원회가 개인정보처리자에게 관계 물품과 서류 등의 자료 제출을 요구하고 현장 검사를 실시할 수 있도록 정하고 있습니다. 자료 제출 거부, 검사 방해, 거짓 자료 제출에는 기존 제재 규정이 적용될 수 있습니다. 정보통신망법 체계에도 침해사고 신고, 자료 보전, 조사 협조와 관련된 의무가 존재합니다.

최근 사건에서는 이미 사라진 서버와 로그를 복구하지 못할 때 사실관계를 입증하기 어려운 문제가 확인됐습니다. 자료 제출 요구 시점에 원본이 존재하지 않으면 조사기관은 삭제 전 상태를 직접 확인하기 어렵습니다. 삭제를 지시한 사람의 의도도 별도로 입증해야 합니다. 기존 과태료의 상한이 낮은 경우 대규모 사업자에 충분한 억지력이 생기지 않는다는 지적도 이어졌습니다.

추진안은 조사자료 보존 의무를 명확하게 만들고, 조사 방해 행위의 경제적 유인을 줄이는 방향을 제시합니다. 기업이 사고 규모를 정확히 밝힐 수 있도록 원본 자료와 분석 가능한 복제본을 확보하게 하는 효과도 기대됩니다.

최근 사례 1: KT 서버 43대 악성코드 감염과 미신고

확인된 내용

2025년 11월 6일 KT 침해사고 민관합동조사단은 KT가 2024년 3월부터 7월까지 BPF도어와 웹셸 등 악성코드에 감염된 서버 43대를 발견하고도 정부에 신고하지 않은 채 자체 조치한 사실을 발표했습니다.

조사단 설명에 따르면 일부 감염 서버에는 가입자의 성명, 전화번호, 이메일 주소, 단말기 식별번호인 IMEI 등이 저장돼 있었습니다. 개인정보 유출 규모, 핵심 가입자 정보 저장 서버의 피해 여부, 다른 통신사 공격과의 연관성은 당시 추가 조사 대상이었습니다.

포렌식 과정에서는 악성코드 흔적이 지워진 상태가 확인됐습니다. 관련 백신을 실행한 기록이 발견되면서 과거 감염 사실이 드러났습니다. 당국은 서버 폐기와 사실 설명 과정에 공무집행을 방해할 목적이 있었는지 확인하기 위해 수사기관에 수사를 의뢰했습니다.

이 법안과 연결되는 지점

이 사례는 사고를 발견한 시점과 신고 시점 사이의 공백이 조사 결과에 큰 영향을 주는 상황을 보여줍니다. 악성코드 파일, 메모리 정보, 네트워크 연결 기록, 명령 실행 이력, 침투 계정, 외부 전송 기록이 사라지면 다음 질문에 답하기 어려워집니다.

• 공격자가 최초로 들어온 날짜
• 공격자가 사용한 취약점과 계정
• 공격자가 접근한 서버의 전체 범위
• 외부로 전송된 개인정보의 종류와 양
• 공격자가 남아 있던 기간
• 동일 공격자가 다른 시스템에 접근했는지
• 내부 대응 과정에서 누가 어떤 결정을 내렸는지

추진안이 시행되면 사고 신고 누락과 자료 삭제가 각각 독립적인 책임 사유로 검토될 가능성이 있습니다. 조직 내부에서 자체 복구를 시작하기 전에 증거 보존 절차를 가동해야 할 필요성도 커집니다.

최근 사례 2: LG유플러스 APPM 침해 의혹과 서버 폐기·OS 재설치

공개된 경과

2025년 7월 18일 익명의 화이트해커가 KT와 LG유플러스의 서버 침해 정황을 제보했고, 한국인터넷진흥원은 회사에 자체 점검을 요청했습니다. 2025년 8월 11일 과학기술정보통신부가 LG유플러스에 자체 조사 결과 제출을 요구했습니다. 다음 날 APPM 관련 서버의 운영체제 업데이트가 진행됐다는 사실이 국회에서 제기됐습니다.

APPM은 서버 계정과 권한을 관리하는 시스템입니다. 공개된 보도에서는 APPM 소스코드와 데이터베이스 유출, 임직원과 협력사 관련 정보, 다수 계정정보 노출 정황이 언급됐습니다. 서버 운영체제 재설치는 기존 시스템의 파일과 로그에 영향을 줄 수 있어 포렌식 분석 가능성을 낮출 수 있습니다.

LG유플러스는 사이버 침해가 없었다는 자체 판단과 함께 포렌식용 자료를 제출했다고 설명했습니다. 국회와 정부 조사에서는 제출된 자료가 업데이트 이전 상태를 충분히 담고 있는지, 서버 폐기와 재설치가 조사에 어떤 영향을 줬는지 확인하는 절차가 이어졌습니다. 2026년에는 경찰 수사와 관계자 입건 보도도 나왔습니다. 형사책임은 수사와 재판을 통해 확정됩니다.

이 법안과 연결되는 지점

운영체제 업데이트와 서버 교체는 일반적인 유지보수 작업입니다. 침해사고 조사 통보를 받은 뒤 같은 작업이 진행되면 작업 목적, 승인 절차, 보존 조치, 대체 증거의 완전성이 중요한 판단 요소가 됩니다.

적절한 대응은 다음 순서로 구성할 수 있습니다.

• 변경 작업 전 시스템 상태 기록
• 디스크와 메모리의 포렌식 이미지 확보
• 로그 중앙 저장소의 별도 보존
• 해시값 생성과 보관자 기록
• 조사기관과 작업 범위 협의
• 긴급 보안 패치의 필요성과 실행 시각 기록
• 업데이트 전후 차이 분석
• 폐기 장비의 반출 금지와 봉인
• 외부 포렌식 기관의 독립 검증

추진안은 정상적인 긴급 조치와 위법한 증거 훼손을 구분하는 기준을 요구합니다. 회사가 서비스를 보호하기 위해 즉시 패치해야 하는 상황도 존재합니다. 이때 원본 보존과 작업 기록이 충분하면 조치의 정당성을 설명할 수 있습니다.

최근 사례 3: 쿠팡 대규모 개인정보 유출과 접속로그 삭제

개인정보위가 확인한 내용

개인정보보호위원회는 2026년 6월 11일 쿠팡의 기본적인 안전조치 미흡으로 약 3,755만 명의 개인정보가 유출됐다고 발표했습니다. 개인정보위는 쿠팡에 과징금 6,246억 8,100만 원과 과태료 1,680만 원을 부과하고 시정명령과 공표 조치를 의결했습니다.

조사 과정에서는 유출통지와 파기 의무 위반, 개인정보보호책임자의 독립성 관련 문제, 조사 방해가 추가로 확인됐습니다. 개인정보위와 과학기술정보통신부 조사 결과에 따르면 사고 관련 접속기록의 보전이 요구된 뒤에도 약 5개월 분량의 웹 접속로그가 수동으로 삭제됐습니다. 일정 기간이 지나면 로그를 자동 삭제하는 내부 정책도 중단되지 않아 일부 애플리케이션 로그가 사라졌습니다.

삭제된 기간에는 공격자의 배송지 관리 페이지 접근이 다수 포함된 것으로 조사됐습니다. 로그가 사라지면서 최초 유출 시점, 피해 범위, 해당 기간에 영향을 받은 정보주체를 특정하는 데 제한이 생겼습니다. 과학기술정보통신부는 자료 보전 명령 불이행과 기록 삭제 문제를 수사기관에 의뢰했습니다.

이 법안과 직접 연결되는 이유

쿠팡 사례는 새 입법 방침의 필요성을 설명하는 가장 구체적인 사례입니다. 조사기관이 자료 보전을 요구한 뒤 수동 삭제와 자동 삭제가 함께 발생했다는 점이 확인됐습니다. 기존 개인정보 보호법 위반에 대한 대규모 과징금은 이미 부과됐습니다. 추진안은 조사자료 삭제 행위 자체에 별도의 형사처벌과 매출액 연동 과징금을 부과할 수 있는 근거를 추가하려는 내용입니다.

이 사례는 자동화된 데이터 수명주기 정책도 조사 대응 체계에 포함해야 한다는 점을 보여줍니다. 다음 기능은 사고가 발생하면 즉시 확인해야 합니다.

• 로그 자동 삭제 주기
• 클라우드 객체 수명주기 규칙
• 데이터베이스 파티션 자동 삭제
• 백업 보존기간
• 보안제품 경보 보존기간
• 퇴직자 계정과 토큰 삭제 정책
• 개발·운영 배포 기록의 보존기간
• 협력업체가 보관하는 원격접속 기록
• 데이터웨어하우스 정리 작업
• 개인정보 파기 배치 작업

법무조직이 자료 보존을 지시해도 기술 시스템의 자동화 규칙이 계속 작동하면 자료가 사라질 수 있습니다. 사고 대응 책임자는 각 시스템 소유자에게 보존 중지 명령을 전달하고 실제 적용 여부를 검증해야 합니다.

세 사례에서 확인되는 공통 문제

사고 인지 기준이 조직마다 다르게 운영됨

보안 경보가 발생해도 내부에서 침해사고로 확정되지 않았다는 이유로 신고와 증거 보존이 늦어질 수 있습니다. 법적 신고 기한은 조직의 최종 결론 시점과 항상 일치하지 않습니다. 합리적인 침해 정황을 확인한 시점, 책임자에게 보고된 시점, 외부 기관이 통보한 시점을 함께 기록해야 합니다.

자체 조치가 원본 증거를 변경함

악성코드 삭제, 서버 재설치, 계정 초기화, 패치, 장비 교체는 피해 확산을 막는 데 필요한 조치입니다. 동일한 작업이 원본 증거를 변경하기도 합니다. 포렌식 이미지와 로그 복제본을 먼저 확보하고 긴급 조치를 진행하는 절차가 필요합니다. 즉시 조치가 필요한 상황에서는 변경 전후 상태와 수행 이유를 상세히 기록해야 합니다.

자동 삭제 정책이 조사 개시 뒤에도 계속 작동함

로그 순환 저장과 데이터 자동 파기는 비용과 개인정보 최소 보유를 위해 사용됩니다. 사고 조사 단계에서는 법적 보존 명령이 우선 적용될 수 있습니다. 조직은 자동 삭제를 중단하는 기능, 보존 대상 데이터만 별도 저장하는 기능, 보존 종료 승인을 기록하는 기능을 준비해야 합니다.

기술조직과 법무조직의 명령 체계가 분리됨

법무조직은 보존 명령을 발행할 수 있습니다. 기술조직은 실제 시스템의 데이터 구조와 삭제 자동화를 알고 있습니다. 두 조직의 정보가 연결되지 않으면 보존 대상이 누락됩니다. CISO, CPO, 법무책임자, 데이터책임자, 클라우드 운영책임자가 하나의 사고 대응 절차에서 역할을 수행해야 합니다.

경영진 보고가 늦거나 축소될 수 있음

대규모 사고의 신고와 시스템 중단은 경영 판단과 연결됩니다. 보안 책임자가 경영진에게 직접 보고할 수 있는 체계가 필요합니다. 경영진은 사고 규모가 확정되기 전에도 증거 보존과 외부 신고 검토를 승인할 수 있어야 합니다.

디지털 증거 보존은 어떻게 수행해야 하나

1. 보존 명령을 즉시 발행

침해사고 가능성이 확인되면 법무 또는 지정 책임자가 문서화된 보존 명령을 발행합니다. 보존 명령에는 사건명, 적용 시스템, 대상 기간, 대상 자료, 담당자, 금지 행위, 종료 승인자를 적습니다.

2. 자동 삭제를 실제로 중단

문서 전달만으로 보존이 완료되지는 않습니다. 클라우드, 데이터베이스, 로그 플랫폼, 백업, 보안제품, 협업도구의 보존 설정을 직접 변경해야 합니다. 설정 변경 화면, 명령어 결과, 적용 시각, 담당자를 기록합니다.

3. 원본과 분석본을 구분

원본 자료는 수정 권한을 제한한 저장소에 보관합니다. 분석팀은 검증된 복제본을 사용합니다. 각 파일과 이미지의 해시값을 생성하고 복사·이동·열람 기록을 남깁니다.

4. 시간 동기화 상태 확인

서버마다 시간이 다르면 사건 순서를 재구성하기 어렵습니다. NTP 설정, 시간대, 서머타임 적용 여부, 로그 기록 형식을 확인합니다. 시간 오차가 발견되면 보정 근거를 문서화합니다.

5. 클라우드 사업자와 외주업체에 보존 요청

조사에 필요한 로그가 외부 사업자에게 있을 수 있습니다. 계약서의 보존기간, 자료 제공 절차, 해외 저장 위치, 하도급 구조를 확인합니다. 요청 시각과 회신 내용을 기록합니다.

6. 장비 폐기와 재설치를 승인제로 전환

사고 관련 장비는 일반 자산 폐기 절차에서 제외합니다. 포렌식 책임자와 법무책임자의 공동 승인 후 변경하거나 폐기합니다. 물리 장비의 위치, 봉인 상태, 반출 기록을 관리합니다.

7. 조사기관 제출본의 완전성을 검증

일부 로그만 제출된 상황이 생기지 않도록 시스템별 보유 기간과 결손 구간을 표로 정리합니다. 누락된 자료가 있으면 누락 원인, 복구 가능성, 대체 자료를 함께 설명합니다. 사실과 추정을 구분해 제출합니다.

기업의 사고 대응 절차가 달라지는 부분

신고 판단을 신속하게 수행해야 함

사고가 확정될 때까지 내부 조사만 계속하는 방식은 법적 위험을 키울 수 있습니다. 초기 경보 단계에서 신고 의무와 개인정보 유출 신고 의무를 검토하는 절차가 필요합니다. 정보통신망법상 침해사고 신고, 개인정보 보호법상 유출 신고·통지, 금융·통신 등 업종별 보고 의무를 한 번에 확인해야 합니다.

증거 보존 책임자를 지정해야 함

사고 대응 책임자와 증거 보존 책임자의 역할을 구분해 지정할 수 있습니다. 사고 대응 책임자는 공격 차단과 서비스 복구를 지휘합니다. 증거 보존 책임자는 원본 확보, 변경 통제, 제출 기록을 관리합니다. 두 책임자는 작업 순서를 공동 승인합니다.

이사회와 최고경영진의 역할이 커짐

대규모 기업은 보안사고 대응 정책, 로그 보존 예산, 포렌식 계약, 사이버보험, 외부 신고 체계를 이사회 수준에서 점검할 필요가 있습니다. 최고경영진은 자료 삭제나 서버 폐기를 승인하는 과정에서 법적 보존 여부를 확인해야 합니다.

협력업체 계약을 수정해야 함

관제, 클라우드 운영, 개발, 데이터 처리, 장비 유지보수를 외부에 맡긴 조직은 계약에 다음 내용을 포함해야 합니다.

• 사고 통보 기한
• 로그 최소 보존기간
• 보존 명령 수령과 이행 절차
• 조사기관 자료 제출 협조
• 장비 폐기와 데이터 삭제 사전 승인
• 하도급 사업자의 동일 의무
• 해외 저장 데이터의 제공 절차
• 계약 종료 뒤 자료 반환과 보존
• 포렌식 비용과 책임 분담

입법 과정에서 정교하게 정해야 할 쟁점

1. 고의와 과실의 기준

형사처벌에는 명확한 고의 판단 기준이 필요합니다. 조사 개시 사실을 알고 제재 회피 목적으로 삭제한 행위, 보존 명령을 받고도 삭제를 지시한 행위, 허위 설명으로 자료 존재를 숨긴 행위는 중대한 책임과 연결될 수 있습니다.

담당자의 단순 실수, 시스템 장애, 알려지지 않은 자동 삭제 규칙, 정상적인 보존기간 만료는 사실관계를 개별적으로 확인해야 합니다. 기업이 합리적인 통제와 검증 절차를 운영했는지도 판단 요소가 됩니다.

2. 긴급 차단 조치의 보호

활성 공격이 진행 중이면 계정 정지, 네트워크 차단, 프로세스 종료, 패치, 서버 격리가 필요합니다. 법률은 선의의 긴급 대응이 위축되지 않도록 기준을 제시해야 합니다. 작업 전 원본 확보가 불가능한 상황에서는 이유와 수행 내역을 즉시 기록하고 사후에 조사기관에 설명할 수 있어야 합니다.

3. 보존 대상의 범위

조사와 관련된 모든 데이터를 무기한 보존하면 비용과 개인정보 과다 보유 문제가 생깁니다. 사건 기간, 관련 시스템, 관련 계정, 관련 데이터 유형을 합리적으로 한정하는 기준이 필요합니다. 조사기관도 보존 명령의 범위와 기간을 구체적으로 제시해야 합니다.

4. 과징금 기준 매출액

매출액 3%의 기준을 법률에 명확히 적어야 예측 가능성이 생깁니다. 국내 매출, 전체 매출, 관련 서비스 매출, 연결 매출의 범위를 정해야 합니다. 위반행위와 매출의 관련성, 기업 규모, 지급 능력도 함께 검토할 수 있습니다.

5. 개인 책임과 법인 책임

삭제 지시가 여러 단계의 의사결정을 거쳐 이뤄지는 경우 책임자를 특정하기 어렵습니다. 최고경영자, CISO, CPO, 법무책임자, 시스템 관리자, 외부업체의 권한과 실제 관여를 확인하는 기준이 필요합니다. 실무자가 상급자의 위법한 지시를 신고할 수 있는 내부 채널과 보호 절차도 중요합니다.

6. 자진 신고와 협조에 대한 감경

사고를 신속히 신고하고 원본을 보존하며 피해자 보호를 수행한 기업에는 감경 기준을 적용할 수 있습니다. 삭제 사실을 뒤늦게 발견한 뒤 즉시 알리고 복구에 협조한 경우도 별도로 평가할 필요가 있습니다. 투명한 협조가 실제 제재 산정에 반영된다는 기준이 공개되면 기업의 초기 대응이 빨라질 수 있습니다.

7. 피해자의 정보 접근

로그 삭제는 조사기관의 업무에 영향을 줍니다. 피해자도 자신의 정보가 언제, 어디에서, 어떤 방식으로 조회됐는지 확인하기 어려워집니다. 최종 제도는 피해자 통지, 조사 결과 공개, 분쟁조정과 손해배상에 필요한 정보 제공 절차를 함께 검토할 필요가 있습니다.

8. 여러 법률의 중첩

한 번의 해킹 사건에는 개인정보 보호법, 정보통신망법, 전자금융거래법, 신용정보법, 전기통신사업법, 형법, 업종별 감독규정이 적용될 수 있습니다. 조사 방해 행위에도 과징금, 과태료, 형사처벌, 시정명령, 이행강제금이 함께 문제될 수 있습니다. 제재 목적과 산정 요소를 정리해 절차적 예측 가능성을 확보해야 합니다.

이용자에게 어떤 의미가 있나

이용자는 사고 발생 뒤 자신의 개인정보가 유출됐는지 확인할 수 있어야 합니다. 사고 규모와 기간은 로그와 시스템 기록을 통해 확인됩니다. 자료가 사라지면 피해자를 특정하기 어렵고 통지 범위도 부정확해질 수 있습니다.

증거 보존 의무가 강화되면 다음 효과를 기대할 수 있습니다.

• 유출 시점과 범위를 정확히 확인
• 영향을 받은 이용자에게 빠른 통지
• 공격자가 본 정보의 종류 확인
• 계정 재설정과 금융 모니터링 대상 선정
• 재발 방지 조치의 적정성 검증
• 분쟁조정과 손해배상에 필요한 사실 확인
• 감독기관의 제재 근거 확보
• 동일 공격의 다른 피해 기업 탐색

제도의 효과는 실제 집행 기준과 조사 역량에 따라 달라집니다. 로그를 장기간 저장하는 과정에서 개인정보가 추가로 노출되지 않도록 암호화, 접근통제, 분리 보관, 열람 기록도 함께 운영해야 합니다.

기업이 지금 준비할 실무 점검표

사고 대응 정책

• 침해 의심 단계에서 법무·CISO·CPO에게 동시에 알리는 절차가 있는가
• 신고 기한 계산의 시작 시점을 문서화하는가
• 긴급 차단과 증거 보존의 작업 순서가 정해져 있는가
• 야간과 휴일에도 보존 명령을 발행할 수 있는가
• 정부 조사 통보를 받은 뒤 변경 작업을 승인제로 전환하는가

로그와 데이터 보존

• 시스템별 로그 종류와 보존기간을 목록화했는가
• 자동 삭제와 수명주기 규칙을 한 화면에서 확인할 수 있는가
• 보존 명령 적용 시 자동 삭제를 중단할 수 있는가
• 원본 로그를 수정 불가능한 저장 방식으로 보관할 수 있는가
• 클라우드 감사 로그와 관리자 활동 로그를 별도로 저장하는가
• 시간 동기화와 로그 무결성을 정기 검증하는가

포렌식 준비

• 외부 포렌식 전문기관과 긴급 계약 체계가 있는가
• 디스크, 메모리, 가상머신, 컨테이너 자료를 확보할 도구가 있는가
• 해시값과 보관자 기록을 관리하는 양식이 있는가
• 장비 봉인과 반출 통제 절차가 있는가
• 분석본과 원본의 저장 위치와 권한이 분리돼 있는가

조직과 책임

• CISO와 CPO가 최고경영진에게 직접 보고할 수 있는가
• 시스템 소유자와 데이터 소유자가 지정돼 있는가
• 자료 삭제 승인권자가 명확한가
• 외주업체의 보존 책임이 계약에 포함돼 있는가
• 위법한 삭제 지시를 신고할 수 있는 채널이 있는가
• 사고 대응 훈련에 법무와 홍보조직도 참여하는가

대외 대응

• 조사기관에 제출한 자료의 목록과 사본을 보관하는가
• 확인된 사실과 추정 내용을 구분해 발표하는가
• 피해자 통지 문안에 유출 항목과 보호조치를 구체적으로 적는가
• 추가 조사 결과가 나오면 통지 내용을 갱신하는가
• 보존할 자료에 제3자의 개인정보가 포함될 때 안전한 제출 방식을 협의하는가

법안 추진이 주는 정책적 의미

이번 입법 방침은 해킹 이후의 기업 행동을 독립적인 책임 영역으로 다루겠다는 정책입니다. 사고 발생 전의 예방 조치, 사고 발생 직후의 신고, 조사 단계의 증거 보존, 피해자 통지, 재발 방지 이행이 각각 평가 대상이 됩니다.

보안사고는 기술조직만의 업무로 처리할 수 없습니다. 법무, 개인정보 보호, 경영진, 감사, 인사, 구매, 홍보, 외주관리 조직이 동일한 사실과 기록을 공유해야 합니다. 증거 보존은 조사 대응을 위한 업무이며 피해 범위를 정확히 확인하는 개인정보 보호 업무이기도 합니다.

기업이 가장 먼저 해야 할 일은 로그를 무조건 오래 저장하는 조치가 아닙니다. 어떤 로그가 어디에 있고 누가 삭제할 수 있으며 사고 발생 시 자동 삭제를 어떻게 중단할지 확인하는 작업입니다. 필요한 범위의 자료를 안전하게 보존하고 접근을 통제하며 보존 종료 시점을 승인하는 체계가 필요합니다.

정리

2026년 7월 28일 공개된 방침은 개인정보 유출 사고 조사자료를 은닉하거나 폐기한 행위에 징역 2년 이하 또는 벌금 2천만 원 이하의 형사처벌과 매출액 최대 3%의 과징금을 부과하는 방향을 담고 있습니다.

KT 사건에서는 악성코드 감염 서버 43대의 미신고와 삭제된 감염 흔적이 확인됐습니다. LG유플러스 사건에서는 APPM 침해 의혹 통보 뒤 서버 운영체제 재설치와 서버 폐기 문제가 제기됐습니다. 쿠팡 사건에서는 자료 보전 요구 뒤 약 5개월 분량의 웹 접속로그가 수동 삭제되고 자동 삭제 정책도 계속 작동한 사실이 개인정보위 조사에서 확인됐습니다.

세 사건은 사고 초기의 기록 보존이 피해 규모 확인, 공격 경로 분석, 피해자 통지, 행정조사, 형사수사에 직접 영향을 준다는 점을 보여줍니다. 최종 법률은 고의성, 정상적인 시스템 운영, 긴급 보안 조치, 과징금 산정, 개인과 법인의 책임, 자진 협조 감경을 구체적으로 정해야 합니다.

기업은 법률안 확정을 기다리지 않고 증거 보존 절차를 점검할 수 있습니다. 자동 삭제 중단, 원본 분리 보관, 변경 승인, 외주업체 보존 의무, 경영진 보고, 조사기관 제출 기록을 갖추는 작업은 현재의 개인정보 보호와 침해사고 대응에도 필요한 기본 조치입니다.

참고자료

IT조선 - 정부, 해킹 증거 인멸하면 징역 2년·매출 3% 과징금 추진

국가법령정보센터 - 개인정보 보호법

국가법령정보센터 - 정보통신망 이용촉진 및 정보보호 등에 관한 법률

대한민국 정책브리핑 - 범부처 정보보호 종합대책 발표

연합뉴스 - KT 서버 악성코드 감염 미신고 조사 결과

연합뉴스 - LG유플러스 APPM 서버 폐기·OS 재설치 의혹

연합뉴스 - 쿠팡 개인정보 유출 민관합동 조사 결과

개인정보보호위원회 - 쿠팡 과징금·시정명령 의결