왜 지금 DLP인가 - 국내 사고들을 보며 든 생각

SECURITY NOTE · 2026.07

요즘 뉴스 보면서, DLP를 진지하게 다시 생각하게 됐다

올해 상반기에만 굵직한 유출 사고가 몇 건씩 터졌다. 남 일 같지 않아서 정리해봤다 — 왜 지금 DLP(Data Loss Prevention) 얘기가 다시 나오는지, 국내에서는 실제로 어떤 일들이 있었는지.

READ · 7 MIN TAG · SECURITY / DLP

01 왜 갑자기 다들 DLP 얘기를 할까

사실 DLP는 새로운 개념이 아니다. 예전부터 있던 솔루션이고, "필요하긴 한데 우선순위는 아니었던" 항목 중 하나였다. 그런데 최근 1년 사이 분위기가 확실히 달라졌다. 통신사, 이커머스, 카드사까지 업종을 가리지 않고 대형 유출 사고가 연달아 터지면서, 보안 투자를 미루던 기업들도 더는 미룰 수 없는 상황이 됐다.

아래는 최근 국내에서 실제로 있었던 사고들을 시간순으로 정리한 것이다. 숫자로 보니 체감이 다르더라.

RECENT_INCIDENT_LOG.KR — 2025.04 ~ 2026.06

2025.04 SK텔레콤 과징금 1,348억 유심 인증키 등 25종 정보 유출, 가입자 약 2,700만 건. 내부 악성코드가 수년간 방치된 채 발견되지 않았다.

2025.08 KT 신고 지연 논란 해킹 사실을 1년 넘게 알리지 않았다는 지적을 받았고, 피해 서버를 폐기해 증거 은폐 의혹까지 불거졌다.

2025.08 롯데카드 - 개인신용정보 유출 사고 발생.

2025.11~12 넷마블 / 신한카드 - 주요 기업 계정·고객 정보 유출이 연이어 확인됐다.

2026.06 쿠팡 과징금 6,246억 퇴사한 전직 직원이 재직 당시 얻은 인증키로 위조 토큰을 만들어 8개월간 정보를 들여다본 사건. 역대 최대 과징금이 나왔다.

개인적으로 가장 인상 깊었던 건 쿠팡 사건이다. 고도의 해킹 기법이 아니라, 퇴사자의 계정·인증키가 제대로 회수되지 않아서 벌어진 일이었다. 외부 침입을 막는 방화벽이나 백신만으로는 애초에 막을 수 없는 유형의 사고라는 뜻이다.

3,755만 쿠팡 사고로 유출된 개인정보 건수

3% → 10% 2026년 개정된 개인정보보호법상 과징금 상한 (매출액 대비)

02 법도, 여론도 예전과 다르다

2026년 2월 국회를 통과한 개인정보보호법 개정안은 중대한 유출 사고를 낸 기업에 대해 과징금 상한을 매출액 3%에서 최대 10%까지 올렸다. 여기에 반복·고의 위반 기업에는 징벌적 과징금을 별도로 적용하는 방안도 논의되고 있고, 개인정보 유출 피해자들의 집단소송 제도도 속도를 내는 분위기다.

설문조사에서도 국민의 상당수가 징벌적 손해배상 도입에 찬성한다는 결과가 나온 걸 보면, 이제 "사고가 나면 사과문 하나 올리고 넘어가던" 시대는 지난 것 같다. 보안 투자를 비용이 아니라 리스크 관리로 봐야 하는 이유가 여기 있다.

개인정보위 관계자의 말이 인상적이었다. 사고의 경위, 사전 보호조치, 사후 대응 수준까지 전부 제재 판단 근거가 된다는 것 — 즉 "우리는 뭘 했는가"를 증명할 수 있어야 한다는 뜻이다. DLP는 바로 이 "증명"을 가능하게 하는 도구이기도 하다.

03 그래서 DLP는 정확히 뭘 막아주나

DLP를 "유출을 100% 막는 마법 솔루션"으로 오해하는 경우가 많은데, 사실 핵심은 데이터가 어디로 움직이는지 보이게 만드는 것에 가깝다. 위 사고들을 보면 공통점이 하나 있다 — 데이터가 빠져나가는 걸 아무도 실시간으로 몰랐다는 것. 쿠팡 건도 8개월 동안 발견되지 못했다.

실무적으로 DLP가 커버하는 영역은 대략 이렇게 나뉜다.

• 01 내부자 반출 통제 USB, 개인 메일, 메신저 첨부 등으로 민감 정보가 나가려 할 때 실시간으로 탐지·차단한다. 퇴사 예정자의 이상 행동 패턴도 여기서 잡힌다.
• 02 클라우드·SaaS 업로드 가시성 개인 구글드라이브, 사내 승인 안 된 협업툴로 파일이 올라가는지 모니터링한다. 재택·하이브리드 근무 환경에서 특히 중요해진 영역이다.
• 03 문서 단위 암호화·워터마킹 설령 파일이 유출되더라도 열람 권한이 없으면 내용을 볼 수 없게 만들거나, 출처를 추적할 수 있게 워터마크를 심는다.
• 04 이상 접근 패턴 탐지 퇴사자 계정, 비정상 시간대 대량 조회처럼 "권한은 있지만 행동이 이상한" 케이스를 잡아낸다. 쿠팡 사건과 가장 맞닿아 있는 기능이다.

04 도입 전에 스스로 던져본 질문들

막상 도입을 검토하려면 막막할 수 있는데, 개인적으로 정리해본 체크포인트는 이렇다.

Q1 우리 회사에서 "민감정보"가 어디에, 얼마나 흩어져 있는지 파악이 되어 있는가

Q2 퇴사자 계정·접근권한 회수 프로세스가 문서화되어 있는가

Q3 사고 발생 시 "언제, 무엇을, 누가" 봤는지 3일 안에 재구성할 수 있는가

Q4 현업 부서가 DLP를 "업무 방해"가 아니라 "안전장치"로 받아들일 준비가 됐는가

특히 마지막 질문이 실제로는 가장 중요하다고 느낀다. 아무리 좋은 솔루션을 들여놔도 현업에서 우회 경로를 찾기 시작하면 무용지물이기 때문이다. 정책 설계와 예외 처리를 얼마나 촘촘하게 하느냐가 관건인 것 같다.

05 정리하며

결국 DLP는 "해킹을 막는 도구"라기보다 "데이터가 조직 밖으로 나가는 순간을 놓치지 않는 장치"에 가깝다는 생각이 든다. 최근 사고들의 공통점도 정교한 해킹보다는 관리 소홀, 뒤늦은 발견, 불투명한 접근 통제였다. 완벽한 방어는 없겠지만, 최소한 "우리는 무엇을 알고 있었는가"에 답할 수 있는 체계는 이제 선택이 아니라 기본값이 되어가는 것 같다.

— 관련 사고를 정리하다 보니 생각보다 길어졌다. 다음엔 실제 DLP 도입 사례별 비교로 이어서 써볼 예정.

#DLP솔루션 #개인정보보호 #데이터유출방지 #정보보안 #내부정보유출 #개인정보보호법 #보안솔루션 #기업보안