AI는 새 구멍을 만들지 않았다 — 은행권 동시다발 침해로 본 "옆문" 관리
9월 말 국내 은행과 금융사 7곳에서 고객 정보가 유출됐습니다. 공격자는 공개된 AI 침투 테스트 도구를 썼지만, 뚫린 곳은 대출모집인용 외부 시스템처럼 오래전부터 관리가 약했던 옆문이었습니다.
Solutions
필요한 보안을,
필요한 보안을,
하나의 생태계에서.
Insights
전체 아티클 →
보안 트렌드 아티클
Security Tips
사용자가 꼭 지켜야 할
사용자가 꼭 지켜야 할
보안 수칙 10가지
해킹 피해의 90%는 기본 수칙만 지켜도 예방할 수 있습니다.
01
강력한 비밀번호 + MFA 사용
12자 이상, 대소문자·숫자·특수문자 조합. 서비스마다 다른 비밀번호를 사용하고, 반드시 2단계 인증(OTP)을 활성화하세요.
02
OS·소프트웨어 즉시 업데이트
취약점 패치는 공격자보다 먼저 적용해야 합니다. 자동 업데이트를 켜두고, 지원이 종료된 OS는 즉시 교체하세요.
03
피싱 메일 주의
발신자 주소를 꼼꼼히 확인하고, 의심스러운 링크·첨부파일은 절대 클릭하지 마세요. 택배·금융기관 사칭 문자도 마찬가지입니다.
04
공공 Wi-Fi에서 VPN 사용
카페·공항 등 공개 네트워크에서는 중간자 공격(MITM) 위험이 있습니다. VPN을 연결하거나 중요 업무는 모바일 데이터를 사용하세요.
05
정기적인 데이터 백업
랜섬웨어 피해 시 백업만이 복구 수단입니다. 3-2-1 규칙(3개 사본, 2가지 매체, 1개 오프사이트)을 따르세요.
06
비밀번호 관리자 사용
모든 비밀번호를 외울 필요 없습니다. 검증된 비밀번호 관리자를 사용해 각 사이트마다 고유한 강력한 비밀번호를 생성·저장하세요.
07
출처 불명 앱·파일 설치 금지
공식 앱스토어 외 경로로 설치된 앱, 크랙·불법 소프트웨어는 악성코드의 주요 유입 경로입니다. 절대 설치하지 마세요.
08
백신·EDR 상시 실행
신뢰할 수 있는 보안 소프트웨어를 항상 최신 상태로 유지하세요. 실시간 보호 기능을 절대 꺼두지 마세요.
09
계정 이상 징후 모니터링
낯선 로그인 알림, 발송하지 않은 이메일, 모르는 결제 내역이 보이면 즉시 비밀번호를 변경하고 보안팀에 신고하세요.
10
개인정보 최소 공개
SNS에 생년월일·전화번호·위치 정보를 과도하게 공개하면 스피어피싱 표적이 됩니다. 개인정보는 필요한 곳에만 최소한으로 제공하세요.
침해사고 발생 시 — 즉시 네트워크 연결을 차단하고, 감염 기기를 격리한 후 KISA 인터넷침해대응센터(118)에 신고하세요.
기업의 경우 AXIO HOLDINGS 보안팀에 긴급 연락하면 초동 대응을 지원합니다.
For Security Officers
보안담당자를 위한
보안담당자를 위한
2026 법령 대응 가이드
2026년 개정 법령에 따라 내부 지침과 개인정보처리방침에서 반드시 손봐야 할 항목을 정리했습니다.
CPO 지정 절차에 이사회 의결 반영
2026.09.11 시행
개인정보보호법 §31
일정 규모 이상 개인정보처리자는 CPO 지정 시 이사회 의결과 보호위원회 신고를 거쳐야 합니다.
미지정·자격미달 지정·의결 누락·신고 누락이 각각 과태료 대상으로 신설됐습니다.
이 의무는 수탁자에게도 준용됩니다.
개인정보 관리규정에 CPO 지정 절차(이사회 의결 → 신고) 조항 신설
현 CPO의 자격 요건 충족 여부 검토 및 필요 시 재지정
수탁사 계약서에 CPO 지정·신고 의무 준수 조항 추가
침해사고 대응 매뉴얼 — 72시간 / 24시간 이원화
2026.09.11 시행
개인정보보호법 §34 · 정보통신망법 §48의3
개정법은 유출 “가능성”을 인지한 시점부터 72시간 내 통지를 의무화했고,
정보통신망법은 침해사고 인지 후 24시간 신고입니다.
기산점도 시한도 다르므로 하나의 흐름도로 묶으면 반드시 누락이 발생합니다.
‘유출등’의 정의에 위조·변조·훼손이 포함된 점도 반영해야 합니다.
사고 대응 절차서를 72h(개인정보) / 24h(망법) 두 트랙으로 분리 작성
“확실해질 때까지 대기” 조항 삭제 — 가능성 인지 시점에 시계 시작
야간·주말 인지 시나리오 포함한 비상연락체계 갱신
위조·변조·훼손 사건도 신고 대상임을 판단 기준표에 명시
CISO 임원 지정 및 정보보호위원회 설치
2026.10.01 시행
정보통신망법 · 시행령
중기업을 넘는 기업은 CISO를 임원으로 지정해야 합니다(중기업은 정보보호 부서장 지정 가능, 새로 임원을 지정해야 하는 기업은 6개월 유예).
CISO 신고 의무 기업은 정보보호위원회(위원장 CISO, IT·개인정보·인사·재무 부서장)를 두고 심의 결과를 CEO에, 주요 사항은 이사회에 보고해야 합니다.
고의·중과실로 침해사고를 반복하면 관련 매출액의 3% 이내 과징금, 시정명령 미이행 시 1일 평균매출액 0.02%의 이행강제금이 부과되며,
의심 정황만으로 정부 직권조사가 가능해졌습니다.
CISO 직위·보고라인을 임원으로 조정 — 유예 6개월 안에 인사규정 개정
정보보호위원회 설치·운영 규정 제정, CEO·이사회 보고 절차 명문화
직권조사 대응 절차 신설 — 자료 제출 창구·법무 연계
강화인증 대상(매출 1조·3조원 기준, 최근 3년 내 조사·과징금) 해당 여부 확인
보안 투자 실적 문서화 — 과징금 감경 근거
2026.09.11 시행
개인정보보호법 과징금 규정
중대·반복 위반 과징금 상한이 전체 매출액의 10%로 올랐습니다(기존 3%).
동시에 개인정보보호 예산·인력·설비 투자 및 운영이 감경 사유로 신설됐습니다.
투자했다는 사실보다 투자를 증명할 수 있는 기록이 중요해졌습니다.
연도별 보안 예산·인력·설비 투자 내역 대장 작성
교육·훈련·모의해킹 수행 증적 체계적 보관
매출액 10% 기준 최대 과징금 시나리오 경영진 보고
ISMS-P 인증 준비 착수
2027.07.01 적용
개인정보보호법 · 정보통신망법
일정 규모 이상 개인정보처리자의 ISMS-P 인증이 의무화됩니다.
시행은 2027년 7월 1일이지만 준비에 통상 6개월~1년이 소요됩니다.
구체적 의무 대상 범위는 시행령에서 확정됩니다.
자사가 의무 대상에 해당하는지 시행령 확정 내용 모니터링
현행 통제 수준과 ISMS-P 인증기준 갭 분석 수행
인증 준비 예산·일정 차년도 계획에 반영
[금융] 내부 업무망 SaaS 이용 통제기준
2026.04.20 시행
전자금융감독규정 시행세칙 §2의3
금융회사의 내부 업무망 SaaS 이용이 허용됐으나,
금융보안원 등 보안성 평가를 통과한 SaaS만 가능하며
고유식별정보·개인신용정보 처리 시에는 예외가 적용되지 않습니다.
반기 1회 정보보호통제 이행 평가 후 CISO 주재 정보보호위원회 보고 의무가 있습니다.
도입 SaaS의 보안성 평가 통과 여부 및 데이터 처리 범위 검증
반기별 자체평가 프로세스·증적 양식 설계
클라우드 이용업무 중요도 평가 기준 사내 규정화
[금융] 전자금융기반시설 취약점 분석·평가
연 1회 상시
전자금융거래법 시행령 §11의6
자체전담반 또는 외부 전문기관을 통해 사업연도마다 1회 이상 실시해야 합니다.
신설 규정은 아니지만 실무에서 누락이 잦은 항목입니다.
당해 사업연도 수행 여부 확인 및 미수행 시 즉시 계획 수립
평가 결과 보고서 및 조치 이행 증적 보관
유출 통지문에 손해배상 청구 방법 안내 추가
2026.09.11 시행
개인정보보호법 §34
개정법은 유출 통지 시 손해배상 청구 방법까지 안내하도록 의무화했습니다.
중대한 과실이 인정되면 실제 손해액의 최대 5배까지 배상 대상이 됩니다.
유출 통지문 표준 양식에 손해배상 청구 절차·창구 항목 신설
처리방침의 ‘권익침해 구제방법’ 항목에 배상 청구 안내 보강
개인정보 보호책임자 항목 — 대표자 최종책임 명시
2026.09.11 시행
개인정보보호법 §31
개정법은 사업주 또는 대표자를 최종 책임자로 명시했습니다.
처리방침의 보호책임자 항목에 CPO만 기재되어 있다면 보완이 필요합니다.
보호책임자 항목에 대표자 최종책임 문구 반영
CPO 성명·직위·연락처 최신화 (재지정 시 즉시 갱신)
자동화 결정에 대한 거부·설명 요구권 고지
시행 중
개인정보보호법 자동화 결정 규정
AI·알고리즘이 신용평가·채용심사 등 중요한 영향을 미치는 결정을 자동으로 내리는 경우,
정보주체는 거부·설명 요구·재심사를 요구할 수 있습니다.
해당 시스템을 운용한다면 사전 고지와 권리 행사 절차가 처리방침에 있어야 합니다.
자사 자동화 결정 시스템 목록 작성 (AI 스코어링·추천·심사 포함)
처리방침에 자동화 결정 기준·절차·거부권 행사 방법 항목 신설
본인전송요구권(마이데이터) 항목 신설
2026.08.20 시행령
개인정보보호법 · 신용정보법
전송요구권이 금융에서 의료·통신·유통 분야로 확대됩니다.
대상 사업자는 처리방침에 전송 대상 정보·요구 방법·처리 절차를 기재해야 합니다.
전송요구 대상 정보 항목 식별 및 처리방침 반영
정보주체 인증 수단·전송 이력 관리 체계 안내 문구 추가
국외 이전 근거 정비 — 인증·적정성 확인
2026.05.19 시행령
개인정보보호법 §28의8 · 시행령 §29의8
AWS·Azure·GCP 등 글로벌 서비스를 쓰면 이미 국외 이전에 해당합니다.
현행법상 이전 근거는 동의 · 인증 · 적정성 인정이며,
2026년 5월 19일 시행령은 인증 고시 절차를 구체화하고
5년 범위의 유효기간을 두도록 했습니다.
제3국 재이전에도 규정이 준용됩니다(§28의11).
사용 중인 SaaS·클라우드의 서버 소재지 전수 조사
각 서비스별 이전 근거(동의/인증/적정성) 정리 및 재이전 구조 확인
처리방침 국외이전 항목에 이전받는 자·국가·목적·보유기간·연락처 명시
개인정보위 별표2 인증 목록 변동 모니터링 (제외될 수 있음)
가명정보 처리 — 위험도 기반 기준 반영
2026.03.31 개정
가명정보 처리 가이드라인
개인정보보호위원회가 전면 개정한 가이드라인은
위험성 판단 기준을 ‘위험도 기반’ 체계로 전환했습니다.
가명정보를 활용 중이라면 내부 처리 기준을 다시 맞춰야 합니다.
가명처리 적정성 검토 절차를 위험도 기반으로 재설계
처리방침의 가명정보 처리 목적·항목·보유기간 항목 점검
2026.01.22 — 인공지능 기본법 · 시행령
시행 완료
고영향·생성형 AI 사업자에 투명성·안전성 확보 의무(사전 고지, 생성물 표시 등). 과태료는 계도기간 운영 중이지만 의무 자체는 이미 발생.
2026.04.20 — 전자금융감독규정 시행세칙
시행 완료
금융회사 내부 업무망 SaaS 이용 허용. 반기별 자체평가 의무 시작.
2026.05.26 — 자본시장법·외부감사법 시행령
시행 완료
불공정거래 30억·회계부정 10억이던 과징금 상한 폐지.
2026.07.07 — 정보통신망법 (허위조작정보)
시행 완료
허위·조작정보를 고의로 유통하면 손해액 최대 5배 배상, 과징금 최대 10억 원. 게시판·커뮤니티를 운영한다면 신고·삭제 절차 점검.
2026.08.20 — 본인전송요구권 시행령
시행 완료
의료·통신·에너지에 한정됐던 본인전송요구권을 전 분야로 확대. 평균매출 1,800억 원 초과 + 민감·고유식별정보 5만 명 또는 개인정보 100만 명 이상 처리자, 공공시스템운영기관이 정보전송자. 민간 일부는 유예 적용.
2026.09.11 — 개인정보보호법 개정 법률·시행령
시행 완료
과징금 매출액 10%, CPO 이사회 의결, 유출 가능성 72시간 통지,
손해배상 안내 의무. 가장 광범위한 영향 — 내부 지침·처리방침 탭 항목 반영 여부 점검.
2026.10.01 — 정보통신망법·시행령 (정보보호 제도 개편)
시행 · 신규
CISO 임원 지정(중기업 예외, 유예 6개월), 정보보호위원회 의무 설치,
반복 침해사고 매출 3% 과징금, 이행강제금, 정부 직권조사, ISMS 강화인증 도입.
2026.12.17 — 전자금융거래법 (PG)
예정
PG업자 정산자금 전액 외부관리(신탁·예치·지급보증보험, 1년차 60% → 2년차 80% → 3년차 100%), 자본금 요건 상향, 대주주 변경 허가·등록 신설.
2027년 상반기 — CISO 임원 지정 유예 종료 · 강화인증 고시
예정
10월 1일 시행분의 후속 일정. 신규 임원 지정 유예 6개월이 끝나고, ISMS 강화인증 세부 기준이 시행 후 6개월 안에 고시될 예정. 정확한 기산점은 고시로 확인.
2027년 — 상장사 정보보호 공시 전면 확대
입법예고
정보보호산업법 시행령 개정안: 매출 3,000억 원 기준을 없애 유가증권·코스닥 상장사 전체와 ISMS 의무 기업으로 확대. 2027년 공시 대상분부터 적용 추진(확정 전).
2027.07.01 — ISMS-P 인증 의무화
준비 기간
개인정보보호법 §32의2. 의무 대상과 취득 기한은 시행령 확정 전(입법예고안에서 공공시스템운영기관·이동통신사·본인확인기관 등 거론). 준비에 통상 6~12개월.
2027.09.05 — 기존 자사주 처리 기한
상장사
기존 취득 자사주는 소각 또는 주총 승인 필요. 외국인 지분 제한 업종은 3년 유예.
⚠️ 확인 안내 — 본 정리는 2026년 10월 12일까지 공개된 자료를 기준으로 작성했습니다.
이번 개정에서 항 번호가 이동한 조문이 여럿이며, 일부 시행령은 확정 전 단계입니다.
실제 적용 전 국가법령정보센터,
개인정보보호위원회,
금융위원회 원문으로 대조하시기 바랍니다.
도입 검토가 필요하시면 marco@axiosoft.co.kr로 문의해 주세요.
About AXIO
AI 보안,
AI 보안,
더 강하게.
AXIO HOLDINGS는 AI 기반 위협 탐지, 개인정보 보호, 취약점 진단 등 차세대 사이버 보안 솔루션을 개발합니다. 보안에서 출발한 기술력으로 업무 자동화와 교육까지 영역을 넓혀, 기술이 사람의 일상을 더 안전하고 스마트하게 만들도록 합니다.
AI위협 탐지·분석
스캔·로그·이벤트를 AI가 판정하고 조치 가이드를 만듭니다.
24/7보안관제
실시간 이벤트 탐지와 자동 대응으로 공백 없이 지킵니다.
ZeroTrust 설계
모든 접근을 검증하는 원칙으로 서비스를 설계합니다.
20+자체 개발 솔루션
보안·업무·교육 전 영역을 직접 만들고 운영합니다.