개인정보 유출 사고 대응 가이드 — 발생 후 72시간이 핵심이다

개인정보 유출 사고는 발생 여부의 문제가 아니라 발생 시점과 대응 속도의 문제다. 국내 개인정보 보호법과 EU GDPR 모두 72시간 이내 신고 의무를 규정한다. 특히 2026년 9월 11일 시행 개정법은 기산점을 유출 '사실'이 아니라 '가능성'을 인지한 시점으로 앞당겼고, 유출 통지 시 손해배상 청구 방법까지 안내하도록 의무화했다. 정보통신서비스 제공자는 정보통신망법에 따라 침해사고 인지 후 24시간 신고 의무도 함께 진다. 이 72시간 안에 무엇을 해야 하는지 단계별로 정리한다.

T+0 ~ T+4시간: 초동 대응 및 격리

• 침해 시스템 즉시 네트워크 격리 (전원 차단 금지 — 메모리 증거 보존)
• 침해 범위 초기 파악 — 어떤 시스템이, 어떤 데이터가 영향을 받았는가
• 침해 대응팀(CIRT) 소집 — 보안·법무·PR·경영진 포함
• 증거 보전 시작 — 로그, 메모리 덤프, 네트워크 캡처
• 공격 경로 차단 — 악용된 계정 비활성화, 취약점 임시 차단

T+4 ~ T+24시간: 영향 범위 분석

• 유출된 개인정보 유형 파악 — 이름, 주민번호, 금융정보, 의료정보 등 민감도 분류
• 영향 받은 정보주체(피해자) 수 파악
• 데이터가 외부로 전송되었는지 확인 (네트워크 로그 분석)
• 외부 보안 전문기관 포렌식 지원 요청 검토

T+24 ~ T+72시간: 신고 및 피해자 통지

• 규제 신고: 개인정보보호위원회, 금융위원회(금융사), 의료기관(복지부) 등 소관 기관 신고
• 피해자 통지: 유출 사실, 유출 항목, 발생 시점, 조치 현황, 피해 최소화 방법을 개별 통지
• 공개 공지: 일정 규모 이상 유출 시 홈페이지 공지 의무 — 대상 규모와 게시 기간은 시행령 기준 확인
• 법무 검토: 집단소송·과징금 리스크 파악 및 대응 전략 수립

사고 이후: 재발 방지 및 사후 관리

• 근본 원인 분석(RCA) 보고서 작성
• 보안 아키텍처 개선 — 암호화, 접근 통제, DLP 강화
• 개인정보 영향평가(PIA) 재수행
• 임직원 보안 인식 교육 강화
• 사이버 보험 가입 여부 검토 (과징금·소송 비용 보장)

GDPR vs 국내 개인정보 보호법 신고 비교

• 신고 기한: 양쪽 모두 72시간 이내
• 과징금: GDPR 최대 전 세계 매출 4% / 국내 최대 전체 매출액 10% (2026.9.11 시행 개정법, 중대·반복 위반)
• 피해자 통지: 양쪽 모두 고위험 유출 시 개별 통지 의무
• 차이점: GDPR은 DPO(개인정보보호책임자) 지정 의무, 국내는 CPO(개인정보보호책임자) 지정