매출 10% 과징금 시대, 개정 개인정보보호법과 접속기록 기반 사고 대응

오는 9월 11일부터 개정 개인정보보호법이 시행됩니다. 가장 크게 달라지는 부분은 과징금입니다. 대규모 개인정보 유출 등 중대한 위반이 발생하면 과징금 상한이 매출액의 3%에서 최대 10%로 올라갑니다. 유출 사고 한 건이 회사의 존립을 흔들 수 있는 규모가 되면서, 보안은 '비용'이 아니라 '리스크 관리'의 문제로 다시 논의되고 있습니다.

핵심 요약

보도와 공개 자료에 따르면, 9월 11일 시행되는 개정 개인정보보호법은 반복 위반이나 대규모 유출 등 중대한 경우 과징금 상한을 매출액의 최대 10%까지 높입니다. 사고가 나면 '누가 언제 어떤 데이터에 접근했는지'를 접속기록으로 입증할 수 있어야 피해 범위를 빨리 확정하고 과실 정도를 소명할 수 있습니다. 결국 접속기록 기반 사고 대응과 인증 이후의 접근통제가 과징금 리스크를 낮추는 직접적인 수단이 됩니다.

무엇이 바뀌나

이번 개정의 핵심은 제재 수위의 상향입니다. 그동안 개인정보 유출에 대한 과징금 상한은 매출액의 3% 수준이었지만, 개정법은 반복적이거나 중대한 위반에 대해 이를 최대 10%까지 높입니다. 보도에 따르면 3년 내 위반을 반복하거나 1,000만 명 이상의 대규모 개인정보가 유출된 경우 등이 대상으로 거론되며, 과징금 산정 기준도 강화되는 것으로 전해집니다.

과징금뿐 아니라 유출 통지·신고 의무와 개인정보 보호책임자(CPO)의 역할·책임을 강화하는 내용도 함께 포함된 것으로 알려졌습니다. 다만 적용 대상과 세부 요건, 매출액 산정 방식 등은 회사마다 다르게 적용될 수 있으므로 공식 법령과 컴플라이언스 검토로 확인하는 것이 안전합니다.

왜 지금 주목해야 하나

'매출액의 최대 10%'라는 숫자는 그 자체로 메시지가 분명합니다. 유출 사고 한 건의 비용이 특정 부서의 손실이 아니라 회사 전체의 경영 리스크가 될 수 있다는 뜻이기 때문입니다. 규제가 강해질수록 기업은 '사고를 막는 것'만큼이나 '사고가 났을 때 무엇을, 얼마나 빨리 소명할 수 있는가'를 함께 준비해야 합니다.

실제로 최근 국내 대형 사고들을 조사한 결과에서도 계정·인증정보 관리, 접속기록(로그) 보존, 이상징후 탐지라는 기본기에서 공통적으로 문제가 확인됐습니다. 특히 접근제어 서버의 로그가 남아 있지 않아 침투 경로 규명 자체가 어려웠던 사례는, 접속기록이 사고 대응과 소명의 핵심 증거라는 점을 잘 보여줍니다.

기업·보안담당자에게 미치는 영향

과징금 상한이 높아진 환경에서는 '사고가 나더라도 피해 범위를 빨리 확정하고, 무엇을 했는지 입증할 수 있는가'가 실질적인 방어선이 됩니다. 사고 발생 시 조사·수사·규제 대응 과정에서 가장 먼저 요구되는 것이 접근 기록이기 때문입니다. 누가 어떤 계정으로 어떤 시스템·데이터에 언제 접근했는지가 남아 있지 않으면, 피해 규모를 축소해 소명하기도, 무고함을 입증하기도 어렵습니다.

따라서 방어의 무게중심을 '경계에서 막는 것'만이 아니라 '인증 이후 내부에서 무엇에 접근하는지 통제하고 기록하는 것'으로 함께 옮길 필요가 있습니다.

지금 점검·대비할 것

• 접속기록(감사) 보존: 중요한 시스템·데이터베이스에 대한 접근 기록을 충분한 기간 동안 위·변조 없이 보존하고 있는지, 사고 시 즉시 조회·제출할 수 있는지 점검합니다.
• 인증 이후 접근통제: 인증에 성공한 계정이라도 민감한 시스템·데이터에 접근할 때는 최소 권한과 별도의 통제·승인 절차를 두어, 계정이 탈취되거나 오·남용돼도 곧바로 핵심 자산에 도달하지 못하게 합니다.
• 이상행위 탐지: 정상 권한을 가진 계정의 업무 범위를 벗어난 대량 조회나 평소와 다른 시간대·경로의 접근을 탐지해 조기에 걸러냅니다.
• 사고 대응·소명 절차: 유출 통지·신고 의무와 대응 절차를 개정법 기준으로 다시 점검하고, 접근 기록을 근거로 피해 범위를 확정·소명하는 흐름을 미리 준비합니다.

상담 안내

개정법 시행에 맞춰 '누가 언제 어떤 데이터에 접근했는지'를 접속기록으로 입증할 수 있는 체계가 갖춰져 있는지 점검이 필요하다면 도움을 드릴 수 있습니다. PNPSECURE는 데이터베이스 보안에서 출발해 통합 접근통제·계정관리·접속기록(감사)으로 영역을 넓혀온 관점에서, 접속기록 기반 사고 대응과 인증 이후 접근통제 체계를 함께 살펴봅니다. 접속기록 기반 사고 대응·소명 체계 점검 상담으로 문의해 주세요.