유출 신고

정보가 새어 나가도 회사가 그 사실을 알리지 않던 시절이 있었습니다. 알리면 손해만 본다고 봤기 때문입니다. 기사가 나면 이탈이 생기고, 조용히 구멍을 막으면 아무 일도 없던 것처럼 지나갑니다. 그래서 유출은 대개 몇 달 뒤 누군가 자기 계정이 남의 손에 넘어간 것을 발견하면서 드러났습니다.

피해는 알리지 않은 그 몇 달 사이에 커졌습니다. 아이디와 비밀번호가 새어 나갔다면 같은 비밀번호를 쓰는 다른 서비스가 차례로 뚫립니다. 연락처가 새어 나갔다면 그 번호로 사칭 문자가 옵니다. 당사자는 자기 정보가 나갔다는 사실 자체를 모르니 비밀번호를 바꾸지도, 모르는 번호를 의심하지도 않습니다. 회사가 정보를 쥐고 있는 동안 막을 수 있었던 2차 피해가 그대로 일어났습니다.

그래서 각국의 개인정보 규정은 알리는 것을 회사의 선택이 아니라 의무로 못 박았습니다. 사고가 났다는 사실을 안 시점부터 시계가 돌아가고, 정해진 시간 안에 감독 기관에 신고하고 당사자에게 통지하지 않으면 그 자체가 별도의 위반이 됩니다. 유출 자체보다 늦게 알린 쪽이 더 무겁게 다뤄지는 구조를 만든 겁니다.

시작점은 사고를 안 시점입니다. 사고가 일어난 시점이 아닙니다. 석 달 전에 뚫린 것을 오늘 알았다면 오늘부터 시간을 셉니다. 대신 "확실해질 때까지 안 것이 아니다" 라고 미루는 것은 통하지 않습니다. 새어 나갔을 가능성을 인지한 때가 기준입니다.

1. 인지와 봉쇄 — 의심스러운 접근이나 잘못 나간 파일을 확인하고 우선 통로부터 막습니다. 열린 권한을 닫고, 노출된 접근 키를 새로 발급하고, 필요하면 해당 기능을 잠시 내립니다.
2. 범위 확인 — 어떤 항목이 몇 명분 나갔는지 셉니다. 이메일 주소만 나간 것과 주민등록번호가 섞여 나간 것은 이후 절차가 달라집니다. 로그가 남아 있지 않으면 이 단계에서 며칠이 날아갑니다.
3. 기관 신고 — 안 때부터 72시간 안에 감독 기관에 신고합니다. 이 시점까지 원인을 다 밝히지 못해도 아는 만큼 먼저 내고 나중에 보완합니다. 72시간은 조사를 끝내라는 시간이 아니라 알리라는 시간입니다.
4. 당사자 통지 — 유출된 정보주체, 곧 그 정보의 주인이 되는 사람에게 개별로 알립니다. 항목, 시점, 회사가 한 조치, 당사자가 할 일, 문의처를 담습니다. 연락처를 몰라 개별 통지가 어려우면 누구나 볼 수 있는 자리에 공지를 올립니다.
5. 후속 조치와 기록 — 비밀번호 초기화처럼 피해를 줄이는 조치를 하고, 판단한 근거와 시각을 남깁니다. 기관이 나중에 묻는 것은 언제 알았고 그때 무엇을 했느냐입니다.

건수가 일정 기준을 넘거나 민감한 항목이 섞이면 절차가 더 무거워집니다. 2단계에서 규모를 빨리 세는 것이 그래서 중요합니다.

혼자 판단할 수 없는 일이라 자리마다 맡는 몫이 다릅니다. 법적으로 신고 주체는 목적을 정해 정보를 다룬 개인정보처리자, 곧 회사입니다. 서버를 남이 굴려 줬더라도 의무는 회사에 남습니다.

1. 엔지니어 — 0시간에서 24시간. 통로를 막고 로그를 뒤져 무엇이 몇 건 나갔는지 셉니다. 3단계 이후의 모든 판단이 이 숫자 위에 서기 때문에 가장 먼저 움직입니다.
2. 법무 — 24시간에서 48시간. 신고 대상인지, 어느 기관에 내는지, 통지문에 무엇이 들어가야 하는지를 정합니다.
3. 대표 — 48시간 안. 서비스를 멈출지, 외부에 어떻게 말할지를 결정합니다. 미루면 실무가 못 움직입니다.
4. 고객 응대 — 통지 직전부터. 통지 메일이 나가면 문의가 몰리므로 답변 문안을 미리 맞춰 둡니다.

이 배치를 사고가 난 날 처음 짜면 72시간이 회의로 다 갑니다. 침해 사고 대응 계획에 누가 무엇을 맡는지 적어 두는 이유가 여기에 있습니다.

"어제 오후에 인지한 걸로 잡으면 내일 밤이 72시간 마감입니다."

시계가 이미 돌고 있으니 마감에서 거꾸로 일정을 짜자는 말입니다.

"원인 분석은 아직인데, 우선 아는 범위까지만 신고하고 보완하죠."

다 밝혀질 때까지 기다리면 기한을 넘기니 1차로 먼저 내자는 뜻입니다.

"이메일만 나간 게 맞나요? 로그로 확인되기 전엔 그렇게 못 씁니다."

통지문에 적는 항목은 추측이 아니라 기록으로 뒷받침돼야 한다는 말입니다.

페이지덱에서 실제로 걸렸던 건 해킹이 아니라 설정 실수였습니다. 공유 링크 권한을 바꾸는 작업을 하다가 한 시간 동안 일부 문서가 링크만 알면 열리는 상태가 됐고, 태오가 접근 로그에서 외부 접속 기록을 발견했습니다. 지현이 그 자리에서 인지 시각을 기록으로 남기고, 태오가 열린 문서와 접근한 흔적을 목록으로 뽑았습니다.

규원은 "사고라고 부를 정도인가" 부터 물었습니다. 외부에서 실제로 열어 본 흔적이 있는지가 갈림길이었고, 로그에 그 흔적이 있어 신고하는 쪽으로 정했습니다. 통지 메일이 나간 뒤 수아에게 문의가 몰렸지만, 무엇이 언제 열렸고 회사가 무엇을 했는지를 먼저 밝혔기 때문에 해지로 이어진 건은 많지 않았습니다.

바깥에서 침입해 훔쳐 간 경우만 유출이라고 생각하기 쉽습니다. 유출이라는 말이 해킹 기사와 붙어 다녀서 생기는 오해입니다. 실제로는 정보가 권한 없는 사람이 볼 수 있는 상태가 된 것이면 원인을 가리지 않습니다. 고객 명단을 다른 회사에 잘못 보낸 것, 수신자를 숨기지 않고 단체 메일을 보내 서로의 주소가 드러난 것, 퇴사자 계정이 살아 있어 계속 조회된 것이 모두 유출입니다. 이걸 실수라고만 보고 넘기면 신고 기한을 넘긴 채 몇 달 뒤 당사자 문의로 드러나고, 그때는 사고 자체보다 알리지 않은 기간이 문제가 됩니다.

알리면 손해라서 조용히 막는 편이 낫다는 생각도 남아 있습니다. 당장은 그래 보입니다. 하지만 기한을 넘긴 미신고는 유출과 별개의 제재 사유이고, 감독 기관은 회사가 알렸는지가 아니라 언제 알았는지를 기준으로 봅니다. 숨긴 사실이 나중에 드러나면 사고 대응이 아니라 은폐가 쟁점이 되고, 그 시점에는 개인정보처리방침에 적어 둔 문장과 실제 대응이 다르다는 점까지 함께 지적받습니다.