2026년 공공기관 개인정보 보호수준 평가 강화, 우리 기관은 준비됐을까?

최근 공공기관을 대상으로 한 개인정보 유출 사고가 끊이지 않고 있다. 국민 세금으로 운영되는 공공기관이 정작 국민의 개인정보를 안전하게 지키지 못한다는 비판이 거세지면서, 개인정보보호위원회(이하 개인정보위)는 2026년 공공기관 개인정보 보호수준 평가 추진계획을 대폭 강화해 2026년 4월 8일 전체회의에서 확정했다.

개인정보 보호수준 평가가 더 엄격해진 이유

개인정보 보호수준 평가는 「개인정보 보호법」 제11조의2에 근거한 제도로, 공공기관이 법적 의무사항을 제대로 이행하는지 전반적인 보호 역량을 점검하기 위해 2024년부터 시행돼 왔다. 올해 평가는 전체 1,464개 기관을 대상으로 2026년 9월부터 2027년 3월까지 진행되며, 최종 결과는 2027년 4월에 공식 발표된다.

올해 가장 눈에 띄는 변화는 처벌 강도의 대폭 상향이다. 개인정보 유출 사고 발생 시 기존 최대 10점이던 감점이 최대 20점으로 두 배 높아졌고, 사후 대응이 미흡한 경우 추가로 최대 5점이 더 깎인다. 단 한 건의 유출 사고만으로도 최대 25점이 감점될 수 있어 등급 하락은 물론 기관 명단 공개라는 치명적 결과로 이어질 수 있다.

무엇이 어떻게 바뀌었나: 주요 변화 비교

2026년 평가 개편의 핵심을 정리하면 다음과 같다.

감점 리스크 구조: 유출 한 건이 등급을 무너뜨린다

아래 흐름도는 개인정보 유출 사고 발생 시 평가 점수가 등급에 어떤 영향을 미치는지 보여준다. 25점 감점은 B등급(80점 대)인 기관을 C 또는 D등급으로 끌어내릴 수 있는 수준이다.

🔻 최종 결과: 등급 하락(S→A→B→C→D) + 미흡 기관 명단 공개 + 개선권고·이행점검

💡 참고: 전년도 개선권고 미이행 시 최대 –20점, 평가 방해 행위(유출신고 고의 누락 등) 최대 –20점 등 추가 감점 항목도 존재한다. 이를 모두 고려하면 이론상 수십 점 감점도 가능하다. 이것이 바로 평소 운영 관리가 중요한 이유다.

2026년 평가에서 "내부자 보안"이 올해의 테마로 선정된 데는 이유가 있다. 공공기관 개인정보 유출 사고의 가장 큰 원인이 해킹이 아닌 내부자라는 불편한 진실 때문이다.

▶ 공공기관 유출의 71%는 내부자 과실·고의

• 개인정보위 출범(2020.8) ~ 2025.9월 집계: 공공기관 유출 사고 87건 중 62건(71%)이 내부 과실 원인
• 전체 유출 원인 중 업무 과실(내부) 비율: 민간 58% vs 공공 71% - 공공기관이 더 높음
• 2025년 전체(민간+공공) 447건 중 업무 과실: 약 110건(25%) - 단, 공공은 해킹 외 내부 비중 압도적
• '경위 확인 불가'·'파악 중' 사례까지 포함하면 실제 내부자 비율은 더 높을 수 있음

▶ 내부자 위협의 3가지 유형

1. 고의적 유출 - 개인정보를 영리 목적·사적 이용 등을 위해 의도적으로 외부 유출
   예) 공무원이 민원인·지인 정보를 무단 조회하여 제3자에게 제공 → 「개인정보 보호법」 위반 시 5년 이하 징역 또는 5천만 원 이하 벌금, 공공기관 직원은 원스트라이크 아웃제 적용(2022년 도입) - 1회 위반 시 즉시 파면·해임
2. 업무 과실 - 이메일 오발송, 파일 공개 범위 설정 실수, 출력물 방치 등 부주의에 의한 노출
   예) 다수 민원인에게 타인 개인정보가 포함된 회신 이메일 발송
3. 접근권한 남용 - 담당 업무와 무관한 개인정보를 열람·조회하는 행위
   예) 퇴직 또는 부서 이동 후에도 잔존 권한으로 시스템 접속

▶ 공공기관 내부자 관련 주요 사고 사례

• 경찰청 소속 경찰관 불법 조회 사건: 수사 외 목적으로 수천 건 개인정보 무단 열람, 지인 뒷조사에 활용
• 지방자치단체 담당 공무원: 주민등록 정보 열람 권한 남용, 이해관계자 정보를 반복 조회·유출
• 공공병원 직원: 환자 진료 기록을 외부 보험사에 무단 제공
• 사회보장 정보시스템 담당자: 복지 대상자 수급 정보를 개인 목적으로 반복 열람

※ 공공부문 신고 500만 건 중 상당수가 관공서 직원에 의한 불법 조회·유출 포함 (2024년 국회 자료)

▶ 내부자 위협, 왜 막기 어려운가?

• 정당한 권한 보유: 내부자는 시스템 접근 권한이 있어 방화벽·백신으로는 탐지 불가
• 이상 행위 탐지 어려움: 정상 업무 패턴과 구분되지 않아 로그만으로는 판별하기 어려움
• 신뢰 기반 문화: "같은 조직 구성원"이라는 심리적 허들로 의심·모니터링에 소극적
• 기술적 통제 미비: 최소권한 원칙 미적용, 퇴직자 계정 즉시 회수 미이행, 로그 미분석 등

▶ 2026년 "내부자 보안" 테마 평가, 무엇을 집중 점검하나?

• 개인정보처리시스템 접근권한 부여·변경·회수 이력 관리
• 접속기록(로그) 6개월 이상 보존 및 정기 점검 (월 1회 이상 권고)
• 대량 조회·비정상 시간대 접근 등 이상 행위 탐지·알림 체계 운영
• 불필요한 개인정보 처리시스템 계정 최소화 및 직책 변경 시 권한 재검토
• 내부자 보안 특화 교육 연 1회 이상 실시 및 서약서 징구
• 개인정보 취급자 목록 최신화 및 업무 범위 초과 접근 시 즉각 차단 절차 수립

출처: 개인정보보호위원회·KISA「2025년 개인정보 유출 신고 및 조사·처분 분석결과」(2026.5) / 신장식 의원실 개인정보보호위원회 제출 자료(2024.9)

※ 안랩 제품들은 독립적으로 도입하더라도 효과를 발휘하지만, V3(예방) → MDS(탐지) → EDR(분석/대응) → MDR(운영)로 이어지는 통합 구조를 구성하면 보호수준 평가의 정성지표 "개인정보 유출 등 사고 예방과 대응 노력" 항목에서 실질적인 증명력을 높일 수 있다.

2026년 개인정보 보호수준 평가가 던지는 메시지는 명확하다. 개인정보 보호는 매년 평가 직전에 서류를 정비하는 행위가 아니라, 365일 유지되는 실질적인 보안 체계가 돼야 한다는 것이다. 전문가가 참여하는 정성평가 비중이 50%로 확대된 만큼, "우리는 이런 절차를 갖추고 있습니다"를 보여주는 수준의 문서 만으로는 이제 통하지 않는다.

특히 내부자 보안이 올해 테마로 지정된 점은 시사하는 바가 크다. 외부 해킹 못지않게 내부 직원에 의한 데이터 유출이 빈번하다는 현실을 제도가 직접 겨냥한 것이다. 접근권한 최소화, 로그 모니터링 상시 운영, 이상 행위 탐지 체계 구축은 이제 '선택'이 아닌 '필수' 사항이다.

공공기관 개인정보 담당자라면 지금 당장 해야 할 일은 명확하다. 취약점 점검 결과와 조치 이력을 증빙으로 남기고, 접근권한 관리 현황을 정기적으로 점검하며, 사고 발생 시 즉시 가동할 수 있는 대응 SOP를 훈련하는 것이다. 문서로만 보여주는 보안이 아닌, 시스템과 사람이 함께 움직이는 실행 가능한 보안 체계만이 한층 강화된 개인정보 보호수준 평가에서 살아남을 수 있다.