1. 개인정보보호법 요건
1.1 안전성 확보조치
「개인정보 보호법」 제29조에 따라 개인정보처리자는 개인정보의 분실·도난·유출 등을 방지하기 위해 필요한 기술적·관리적·물리적 안전조치를 해야 한다.
구체적인 사항은 「개인정보 보호법 시행령」 제30조 및 「개인정보의 안전성 확보조치 기준」에서 정하며, 이번 시나리오와 관련성이 높은 항목은 다음과 같다.
- 개인정보처리시스템의 접근권한 관리
- 시나리오와 연결:
- EC2 IAM Role에 AmazonS3FullAccess 권한이 부여됨
- 공격자가 EC2의 자격증명을 탈취하자 S3에 광범위하게 접근 가능
- 따라서 최소권한 원칙에 따른 IAM 권한 설계가 적절했는지 평가 필요
- 개인정보에 대한 접근통제
- 시나리오와 연결:
- 탈취된 AWS Access Key를 이용한 비인가 AWS 접근
- SSRF를 이용한 EC2 내부 자원 접근
- 탈취한 IAM Role을 이용한 S3 비인가 접근
- 따라서 외부의 비인가 접근을 제한·탐지할 수 있었는지 평가 필요
- 개인정보 암호화
- 접속기록의 보관 및 점검
- 시나리오와 연결:
- 탈취된 Credential을 이용한 AWS API 호출
- S3 객체 접근 및 다운로드
- 비정상 IP·계정을 통한 개인정보 접근
따라서 공격 발생 후 누가, 언제, 어디에서, 어떤 개인정보에 접근했는지 추적할 수 있는 로그가 적절하게 수집 및 점검되었는지 평가 할 수 있을 것
- 취약점 및 악성프로그램 등에 대한 보안조치
- 시나리오와 연결:
- 웹 애플리케이션에 SSRF 취약점 존재
- EC2에서 IMDSv1 사용 가능
- 해당 취약점이 IAM Role 자격증명 탈취로 연결
따라서 취약점 점검 및 클라우드 보안설정 관리가 적절했는지 평가해볼 수 있다.
이번 시나리오의 AWS Key 노출, 과도한 IAM Role 권한, SSRF 취약점, 비인가 S3 접근 등을 위 기준에 따라 평가할 수 있다.
1.2 개인정보 유출 통지
개인정보처리자가 개인정보의 분실·도난·유출 사실을 알게 된 경우, 정보주체에게 해당 사실을 알려야 한다.
주요 통지사항은 다음과 같다.
- 유출된 개인정보의 항목
- 유출 시점 및 경위
- 피해 최소화를 위해 정보주체가 할 수 있는 방법
- 개인정보처리자의 대응조치 및 피해구제 절차
- 담당부서 및 연락처
현행 시행령상 원칙적으로 유출 사실을 안 때부터 72시간 이내 통지해야 한다.
1.3 개인정보 유출 신고
개인정보 유출이 다음 중 하나에 해당하면 개인정보보호위원회 또는 KISA에 72시간 이내 신고해야 한다.
- 1,000명 이상의 개인정보가 유출된 경우
- 민감정보 또는 고유식별정보가 유출된 경우
- 외부의 불법적인 접근으로 개인정보가 유출된 경우
구체적인 유출 항목이나 규모를 아직 모두 파악하지 못했더라도 우선 신고한 후 확인되는 내용을 추가로 보완할 수 있다.
이번 시나리오 적용
이번 공격은 외부 공격자가 AWS에 비인가 접근하여 S3 데이터를 직접 다운로드하는 구조이다. 따라서 S3 데이터가 개인정보라면, 유출 인원이 1,000명 미만이어도 ‘외부의 불법적인 접근에 의한 유출’ 요건으로 신고대상이 될 수 있다.
현재 시나리오에는 S3 데이터가 구체적으로 어떤 정보이며 몇 명의 정보인지가 정해져 있지 않으므로 이 부분을 추가로 설정할 필요가 있다.
2. 2026년 9월 개인정보보호법 개정
주요 개정사항은 2026년 9월 11일부터 시행된다.
2.1 개인정보 침해사고 범위 확대
현행 제도는 주로 개인정보의 분실·도난·유출을 중심으로 통지·신고 의무를 규정한다.
개정법에서는 이를 위조·변조·훼손 등까지 포함하는 ‘유출등’으로 확대한다.
따라서 개인정보를 외부로 반출한 경우뿐 아니라 랜섬웨어 등에 의해 개인정보가 변조·훼손된 경우도 침해 사고 통지 의무 기준에 해당된다.
2.2 ‘유출 가능성’ 통지 도입
개정법은 실제 개인정보 유출이 확정된 경우뿐 아니라 대통령령으로 정하는 ‘유출 가능성’이 확인된 경우에도 정보주체 통지를 요구할 수 있는 근거를 마련한다.
이는 침해 정황이 발견되었지만 실제 데이터 반출 여부를 조사 중인 상황에서도 통지 여부를 검토해야 한다는 의미가 있다.
이번 프로젝트에서도 비인가 S3 접근이 탐지되었으나 실제 반출 여부가 아직 확정되지 않은 단계를 별도의 컴플라이언스 판단 지점으로 설정할 수 있다.
다만 구체적인 ‘유출 가능성’ 판단요건은 하위법령을 함께 확인해야 한다.
2.3 중대한 침해에 대한 제재 강화
개정법에서는 고의 또는 중대한 과실로 3년 이내 반복적인 위반행위를 한 경우와 고의 또는 중대한 과실로 1천만명 이상 대규모 피해가 발생한 경우 등에 대해서는 전체 매출액의 최대 10% 범위에서 과징금을 부과할 수 있도록 한다.
또한 개인정보 처리·보호에 대한 사업주 또는 대표자의 최종적인 관리·감독 책임과 개인정보 보호책임자(CPO)의 역할도 강화된다.
3. 정보통신망법상 중첩 의무
3.1 침해사고 신고
「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제48조의3에 따라 정보통신서비스 제공자에게 침해사고가 발생하면 과학기술정보통신부 또는 KISA에 신고해야 한다.
시행령 제58조의2에 따른 신고기한은 침해사고 발생을 알게 된 때부터 24시간 이내이다.
추가적인 사고 내용이 확인되는 경우에도 확인한 때부터 24시간 이내 추가 신고해야 한다.
3.2 개인정보보호법과의 관계
두 법률은 판단 대상이 다름!
- 개인정보보호법: 개인정보가 유출되는 등 개인정보 침해가 발생했는지 판단
- 정보통신망법: 해킹 등 정보통신망에 대한 침해사고가 발생했는지 판단
따라서 AWS 해킹으로 개인정보까지 유출된 경우 두 법률이 동시에 검토될 수 있다.
특히 신고기한이 다르다는 점이 중요하다.
- 개인정보보호법: 72시간
- 정보통신망법: 24시간
따라서 두 법률이 모두 적용되는 사업자라면 침해사고 발생 초기부터 24시간 기준을 우선 고려하여 대응절차를 운영할 필요가 있다.
정보통신망법에는 다른 법률에 따라 이미 침해사고를 통지·신고한 경우 정보통신망법상 신고를 한 것으로 보는 중복신고 완화 규정도 존재한다.
근거: 「정보통신망법」 제48조의3 제1항 후단 (정보통신서비스 제공자가 이미 다른 법률에 따라 침해사고를 통지 또는 신고한 경우에는 정보통신망법상 침해사고 신고를 한 것으로 본다.)
