개인정보 오남용 모니터링 탐지룰 최적화 및 소명 관리 쟁점

핵심 판단

개인정보취급자의 무단 조회를 탐지하기 위한 이상행위 룰이 단순 대량조회를 넘어 변칙 패턴(친인척·심야·반복 조회 등)까지 포괄하는지, 탐지 건에 대한 소명·사후조치가 대장으로 관리되는지, 감시자와 시스템관리자 직무가 분리되었는지가 핵심이다.

배경

오남용 솔루션은 도입했으나 룰이 미흡하거나, 탐지 알림이 발생해도 소명 요청·감사 없이 방치되는 경우가 많다. 접속기록 점검은 법정 의무이므로 형식적 운영은 결함이 된다.

주요 쟁점 및 심사 포인트

• 변칙 조회(친인척·심야·연속조회 등) 탐지룰 구비 및 주기적 최적화 여부
• 이상 탐지 건 소명 대장 작성 및 사후 감사·조치 여부
• 오남용 감시자와 시스템관리자 계정 직무 분리 여부

관련 인증기준

ISMS-P 인증기준(2023) 기준. 항목명은 「금융권 ISMS-P 인증기준 점검항목 안내서」로 검증함.

• 2.11.3 이상행위 분석 및 모니터링
• 2.9.5 로그 및 접속기록 점검
• 3.2.4 개인정보 목적 외 이용 및 제공

관련 법령·가이드

조문 번호·명칭은 개정으로 달라질 수 있어, 실제 심사·인용 시 국가법령정보센터(law.go.kr) 최신본 재확인을 권장한다.

• 「개인정보의 안전성 확보조치 기준」 제8조(접속기록의 보관 및 점검)
  • 접속기록을 최소 1년(2년 대상 별도) 보관하고 월 1회 이상 점검, 오·남용 여부 확인 의무.
• 「개인정보 보호법」 제29조(안전조치의무)
  • 안전성 확보에 필요한 기술적·관리적·물리적 조치 의무의 모법.
• 「신용정보업감독규정」(신용정보 안전조치)
  • 신용정보 처리 시 접근기록 점검·오남용 방지 기준(해당 시, 최신본 확인 권장).

참고 가이드

• 「개인정보의 안전성 확보조치 기준 안내서」(개인정보보호위원회, 2025.11)

심사 시 확인사항 (증적)

• 이상행위 탐지룰 정의서 및 룰 개정 이력
• 탐지 알림-소명요청-처리결과 연계 대장
• 접속기록 월 점검 결과 보고서 및 감사 조치 내역

주요 결함 사례

오남용 탐지 알림이 다수 발생했음에도 소명 요청이나 감사 조치 없이 방치되고, 접속기록 점검이 형식적으로만 수행됨.

보완 대책

1. 분기별 탐지룰 최적화 검토 및 변칙 패턴 룰 추가
2. 소명 미제출 시 권한 일시정지 연동 등 사후조치 자동화

연관 쟁점

• [ISSUE-027] 서버·DBMS 접근제어 및 명령어(쿼리) 통제 쟁점
• [ISSUE-037] 콜센터 녹취록·상담 개인정보 마스킹 및 보관기간 쟁점

---

본 문서는 ISMS-P 인증심사 실무 참고용이며, 법적 자문이 필요한 사안은 법률 전문가 확인이 필요합니다. (v2 · 2026-08)