보안사고는 확정된 뒤가 아니라 의심되는 순간부터 시간이 흘러요. 대표자는 법이 정한 통지·신고와 회사가 정할 초동 보고를 나눠 봐야 해요. 이 글은 개인정보 유출등 의심 상황만 봅니다.

첫 한 시간 담당을 미리 정해야 하나요?

정해 두는 편이 맞아요. 개인정보 보호법 제34조는 개인정보가 분실·도난·유출되었음을 알게 되면 정보주체에게 지체 없이 알리고, 피해 최소화 대책을 마련하며, 정해진 바에 따라 보호위원회 또는 전문기관에 신고하라고 해요. 다만 “첫 1시간 안에 누구에게 보고하라”는 내부 보고 순서는 법에 적혀 있지 않아요.

그래서 첫 한 시간은 회사의 운영 기준으로 정해야 해요. 초동 담당자는 사고를 최종 판정하는 사람이 아니라, 사실을 모아 확산 차단 필요성과 개인정보 관련 여부를 먼저 가르는 사람으로 두면 좋아요. 법에서 요구되는 통지·신고 사항과 회사가 정하는 사고 콜트리는 구분해서 두는 편이 좋아요.

누구에게 어떤 순서로 보고하면 좋을까요?

제보자 → 초동 담당자 → 개인정보 담당 부서 → 대표자 순서로 먼저 고정하세요. 이 순서는 법정 결재라인이 아니라, 빠르게 한 번에 모이게 하는 내부 약속이에요.

가상 사례로, 직원 18명 온라인 판매사가 고객 800명의 주문 파일 링크가 외부에 열렸다는 제보를 받았다고 해요. 접속기록에는 외부 IP 열람 3회가 있고, 다운로드 여부는 아직 확인 중이에요. 이때 제보자는 화면을 캡처하고 링크를 더 퍼뜨리지 않아요. 초동 담당자는 링크 차단을 요청하고 로그 보존을 표시해요. 개인정보 담당 부서는 유출 항목, 시점과 경위, 고객이 피해를 줄일 방법, 회사 조치, 신고 접수 연락처를 빈칸 양식에 적기 시작해요. 대표자는 통지·신고 준비와 고객 안내 문안 작성 여부를 결정해요.

오늘 바로 할 일

  1. 초동 담당자 1명과 대행자 1명의 이름, 휴대폰, 야간 연락 방법을 적어 두세요.
  2. “제보 접수-차단 요청-로그 보존-대표 1차 보고” 순서를 한 장으로 붙여 두세요.
  3. 유출 항목, 시점·경위, 피해 예방 방법, 회사 조치, 담당 연락처 양식을 만들어 두세요.

개별 사고의 신고 대상과 방식은 사실관계에 따라 달라질 수 있어요.