침해사고 법정기한 내 신고·통지 및 증거보존 쟁점

핵심 판단

침해사고·개인정보 유출 인지 시 법정기한 내 정보주체 통지 및 감독기관 신고가 이루어지는지, 초동 대응에서 로그·이미지 등 증거가 원형 보존되는지, 사고대응체계(비상연락·역할)가 정의되었는지가 핵심이다.

배경

사고 발생 시 통지·신고 기한을 넘기거나, 서버를 성급히 재부팅·초기화하여 증거가 훼손되는 사례가 많다. 유출 통지·신고 기한은 법정 요건이므로 지연은 중대한 결함이다.

주요 쟁점 및 심사 포인트

• 유출 인지 시점 정의 및 정보주체 통지·기관 신고 기한 준수 여부
• 증거보존(로그·디스크 이미지·타임라인) 절차 존재 여부
• 사고대응 조직·역할·에스컬레이션 체계 정의 여부

관련 인증기준

ISMS-P 인증기준(2023) 기준. 항목명은 「금융권 ISMS-P 인증기준 점검항목 안내서」로 검증함.

• 2.11.1 사고 예방 및 대응체계 구축
• 2.11.5 사고 대응 및 복구
• 3.5.3 정보주체에 대한 통지

관련 법령·가이드

조문 번호·명칭은 개정으로 달라질 수 있어, 실제 심사·인용 시 국가법령정보센터(law.go.kr) 최신본 재확인을 권장한다.

• 「개인정보 보호법」 제34조(개인정보 유출등의 통지·신고)
  • 유출 인지 시 정보주체 통지 및 보호위원회·전문기관 신고, 법정기한 준수 의무.(기한·기준은 시행령/최신본 확인 권장)
• 「정보통신망법」 제48조의3(침해사고의 신고 등)
  • 정보통신서비스 제공자 등의 침해사고 신고 의무.
• 「전자금융거래법」 제21조의5(침해사고의 통지 등)
  • 금융회사·전자금융업자의 전자금융 침해사고 통지 의무.

참고 가이드

• 개인정보 유출 대응 매뉴얼(개인정보보호위원회/KISA)
• 금융분야 침해사고 대응 가이드(금융보안원)

심사 시 확인사항 (증적)

• 사고대응 절차서·비상연락망·역할정의(RACI)
• 통지/신고 발송 증적 및 인지-대응 타임라인
• 증거보존 절차 및 사고 로그·이미지 보관 상태

주요 결함 사례

개인정보 유출 정황 인지 후 원인 파악을 이유로 통지·신고가 지연되고, 대응 과정에서 서버를 재설치하여 로그가 소실됨.

보완 대책

1. 인지 시점 기준 통지·신고 기한 관리 및 자동 알림 체계 수립
2. 초동 대응 시 증거보존 우선 원칙 및 포렌식 절차 표준화

연관 쟁점

• [ISSUE-009] 재해복구센터(DR) RTO/RPO 검증 및 Failover 실전훈련 실효성 쟁점
• [ISSUE-023] 랜섬웨어 대비 오프라인(Air-Gap) 백업 및 복구 훈련 쟁점

---

본 문서는 ISMS-P 인증심사 실무 참고용이며, 법적 자문이 필요한 사안은 법률 전문가 확인이 필요합니다. (v2 · 2026-08)