일본 기업 총무 분야에서 2026년 들어 주요 의제로 다뤄지는 개념이 사이버 레질리언스(Cyber Resilience) 입니다. 침해 예방에서 멈추지 않고, 사고 이후의 서비스 유지와 복구까지 관리 범위에 넣는 접근입니다. 전문지 『월간총무』는 2026년 7월 특집에서 사이버 공격을 받은 뒤에도 공급을 멈추지 않은 대형 식품기업 사례를 다루며 이렇게 적었습니다. "사이버 공격은 더 이상 정보시스템 부서만의 기술 문제가 아니다."
이 전환에는 배경이 있습니다. 일본의 개인정보 유출 보고는 2024년도에 2만 1,007건으로 사상 최다를 기록했습니다. 전년 대비 58% 급증입니다. 데이터 사고가 총무·경영의 상시 의제가 된 것은 당연한 귀결입니다.
한국도 같은 길입니다. 한때 IT팀 구석의 과제였던 개인정보보호가, 이제 경영이 직접 지켜야 할 신뢰 자산이 되었습니다. 이유는 분명합니다. 개인정보 사고는 과징금과 복구비용을 발생시키고, 고객·파트너의 신뢰까지 깎습니다.
완전한 방어는 불가능하다는 전제로 바뀌었다
완벽한 방어는 없습니다. 규모와 무관하게 침해는 시간문제라는 것이 업계의 냉정한 전제가 됐습니다. 국내 사이버 침해사고 신고는 2023년 1,277건에서 2025년 2,383건으로 2년 만에 87% 늘며 역대 최고를 기록했습니다. 그래서 질문이 바뀝니다. "어떻게 막을 것인가"에서 "뚫렸을 때 얼마나 빨리 회복하고, 피해를 얼마나 줄일 것인가"로.
이 전환은 세 가지 관점의 이동을 요구합니다.
- 기술 → 경영: 방화벽을 몇 대 샀느냐가 아니라, 누가 어떤 데이터에 접근하는지 경영이 아느냐.
- 방어 → 회복: 사고를 0으로 만드는 것이 아니라, 유출을 알게 된 때부터 72시간 안에 통지·신고하고 복구에 착수하는 체계를 갖췄느냐.
- 비용 → 자산: 보안은 지출이 아니라, 파트너가 당신에게 데이터를 맡길 수 있게 하는 투자다.
개인정보 보호법은 과징금 상한을 매출액에 연동한다
이 전환을 앞당긴 것은 법 개정입니다. 2023년 9월 시행된 개정 개인정보 보호법은 과징금을 전체 매출액의 100분의 3을 초과하지 아니하는 범위에서 부과하도록 정했습니다(제64조의2제1항). 여기서 3%는 상한이고, 실제 산정은 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 매출액을 기준으로 합니다(같은 조 제3항). 상한과 산정 기준은 다른 층위입니다.
2026년 3월 10일 공포된 개정법은 상한을 **전체 매출액의 10%**로 높였고, 2026년 9월 11일부터 시행 중입니다. 적용 요건은 세 가지로 한정됩니다(제64조의2제2항). 1) 과징금 부과처분을 받은 날부터 3년이 지나기 전에 같은 호의 위반행위를 다시 한 경우(각각 고의 또는 중대한 과실이 있는 경우로 한정) 2) 고의 또는 중대한 과실로 위반하고 정보주체의 피해 규모가 1천만명 이상인 경우 3) 시정조치 명령에 따르지 아니하여 유출등이 발생한 경우.
유출이 한 번 있었다는 사실만으로 연매출 전체가 과징금의 모수(母數)가 되는 것은 아닙니다. 안전성 확보에 필요한 조치를 다한 경우에는 유출에 따른 과징금 부과 대상에서 빠지고(같은 조 제1항제9호 단서), 전체 매출액을 그대로 기준으로 삼는 경우는 정당한 사유 없이 매출액 산정자료 제출을 거부하거나 거짓 자료를 제출한 때입니다(같은 조 제4항). 그래도 과징금·피해구제비·복구비는 사고가 나면 바로 재무 부담으로 나타납니다.
숫자가 이를 증명합니다. 2025년 개인정보위가 부과한 과징금은 40건, 1,677억 원 — 전년 대비 172% 급증했습니다. 유출 신고 건수 자체도 뛰었습니다.
과징금의 무게는 특정 기업의 사례에서 실감됩니다.
| 기업 | 과징금 | 사유 | 시점 |
|---|---|---|---|
| 쿠팡 | 6,246억 원 | 유출 약 3,750만 명 + 활동기록 무단수집 | 2026-06 |
| SK텔레콤 | 1,348억 원 | 유심 해킹, 전체 이용자 2,324만 명 정보 유출 | 2025-08 |
| 메타(Meta) | 216억 원 | 민감정보 무단수집 | 2024-11 |
| 카카오 | 151억 원 | 오픈채팅 개인정보 유출 | 2024-05 |
| 골프존 | 75억 원 | 개인정보 유출 | 2024-05 |
사고는 밖이 아니라 안에서도 온다
유출의 원인을 뜯어보면, 대비의 방향이 보입니다. 2025년 유출 사고의 62%는 해킹이었지만, 4분의 1은 내부의 업무 과실이었습니다. 방화벽만으로는 막을 수 없는 몫입니다.
- 해킹62%
- 업무 과실25%
- 시스템 오류5%
- 기타·미상8%
외부 공격과 내부 업무 과실을 함께 줄이려면 기술적 보호조치와 접근권한 관리, 접속기록 점검을 같이 운영해야 합니다. 누가 어떤 데이터에 접근할 수 있는지 좁히고, 누가 무엇을 열람·다운로드했는지 기록을 남기는 것이 그 출발점입니다.
B2B 거래에서는 데이터 거버넌스가 계약 심사 항목이 된다
B2C의 경쟁 기준이 소비자 클릭이라면, B2B의 경쟁 기준은 파트너의 신뢰입니다. 그리고 신뢰는 점점 더 데이터 거버넌스로 증명됩니다. 공급사·고객사와 데이터를 주고받는 순간, 상대는 반드시 묻습니다 — "당신은 우리 직원·고객의 정보를 어떻게 지키는가."
이 질문에는 문서가 아니라 구조로 답할 수 있어야 합니다. 우리(한국피플소프트)가 채용·복지 플랫폼을 설계하며 택한 원칙은 그래서 단순합니다.
- 수집은 최소로 — 주민등록번호 등 고유식별정보와 민감정보는 수집하지 않습니다. 보유하지 않은 항목은 유출 대상이 되지 않습니다.
- 접근은 최소로, 기록은 전부 — 행 수준 보안(RLS)으로 권한을 최소화하고, 누가 무엇을 열람했는지 접속기록을 남깁니다.
- 법은 한 번 지키고 끝이 아니다 — 개정 법령을 분기마다 자동 대조해 방침의 최신성을 유지합니다.
핵심은 특정 제품이 아니라 태도입니다. 데이터를 적게 갖고, 접근을 좁히고, 흔적을 남기고, 사고를 전제로 대비하는 것 — 규모와 예산에 관계없이 오늘 시작할 수 있는 일입니다.
오늘 점검할 여섯 가지
거창한 인증서가 먼저가 아닙니다. 아래 여섯 가지가 갖춰졌는지가 먼저입니다.
필요한 만큼만 보유하는 것이 피해 범위를 줄인다
필요 이상의 개인정보를 보유하면 유출 시 피해 범위와 관리비용이 함께 커집니다. 반대로 필요한 항목만 보유하고 그 처리 내역을 공개하는 회사는, 파트너가 맡길 위험을 가늠하기 쉽습니다.
침해를 완전히 막은 회사는 없습니다. 침해 이후에도 서비스를 유지하고 피해 범위를 줄인 회사가 있을 뿐입니다. 회복 체계를 갖춘 기업이 B2B 거래에서 선택됩니다.
자료 출처
- 개인정보 보호법 [법률 제21445호, 2026-03-10 일부개정, 시행 2026-09-11] 제21조·제23조·제24조의2·제34조·제64조의2
- 개인정보 보호법 시행령 [대통령령 제36671호, 2026-09-10 일부개정, 시행 2026-09-11] 제30조·제39조·제40조
- 개인정보보호위원회, 「2024년 개인정보 유출 신고 동향 분석결과」(2025-03) 및 유출 신고·조사·처분 사례집(2026-05)
- 과학기술정보통신부·한국인터넷진흥원(KISA), 「2025년 사이버 위협 동향 및 2026년 전망」(2026-01)
- 국회 정무위원회 자료(개인정보위 제출), 2021–2025 과징금·유출 현황
- 일본 개인정보보호위원회(PPC) 연차보고 — 유출 보고 건수(2024년도)
- 『월간총무』 온라인, "사이버 레질리언스" 특집(2026-07)