[PIS FAIR 2026] KOTRA, 개인정보보호 수준평가 2년 만에 C→S등급 도약 비결은?

경영진 관심·조직문화 확산·현장 실행력 확보가 핵심
생성형 AI 보안 솔루션 도입 등으로 가점도 획득

[보안뉴스 강초희 기자] 개인정보보호는 담당자 혼자 하는 업무가 아니라 경영진의 관심과 전 직원의 실천이 함께 만들어가는 조직문화다.

▲조은진 KOTRA 정보보안운영팀장이 PIS FAIR 2026에서 발표하고 있다 [출처: 보안뉴스]

대한무역투자진흥공사(KOTRA)가 공공기관 개인정보 보호 수준평가에서 2023년 C등급에서 2025년 S등급으로 도약한 경험을 공유하며 개인정보보호 관리체계 개선 전략을 소개했다.

조은진 KOTRA 정보보안운영팀장은 23일 서울 코엑스에서 열린 ‘제15회 개인정보보호 페어 & CPO워크숍‘(PIS FAIR 2026)에서 ‘공공기관 개인정보 보호 수준평가 우수사례, KOTRA의 C 탈출기 그리고 S 도전기‘를 주제로 발표했다.

KOTRA는 2023년 개인정보 보호 수준평가에서 69.54점을 받아 C등급을 기록했다. 당시 공공기관의 약 70%가 B등급 이상을 받은 상황에서 기대에 못 미치는 성적이었다.

조 팀장은 낮은 평가의 원인으로 개인정보보호 업무에 대한 조직 내 관심 부족과 담당자 개인에게 의존한 업무 구조를 꼽았다. 내부 직원용 개인정보파일 등록 의무화 사실조차 조직 내에서 충분히 공유되지 않았고, 개인정보파일 관리와 관련한 절차와 현황 관리도 미흡했다고 설명했다.

이에 KOTRA는 2024년부터 대대적인 개선 작업에 착수했다.

가장 먼저 추진한 것은 경영진의 관심과 지원 확보였다. KOTRA는 CPO 주재 개인정보보호 대책회의를 신설하고 개인정보파일 운영 부서장들이 직접 참여하는 협의체를 운영했다. 개인정보보호 활동 우수 직원을 대상으로 특별 포상 제도도 도입했다.

또한 개인정보보호 관리체계 국제표준인 ISO 27701 인증을 획득하며 조직 차원의 개인정보보호 역량 강화에도 나섰다.

조 팀장은 “기관장의 관심은 개인정보보호 문화 확산과 현장 실행력 확보로 이어지는 가장 중요한 출발점”이라고 강조했다.

조직문화 개선을 위한 활동도 병행했다. 기관장과 함께하는 개인정보보호 실천 다짐식을 개최하고 해외 무역관 직원들도 화상으로 참여하도록 했다. 출근길 캠페인과 표어 공모전, 퀴즈대회 등 다양한 참여형 프로그램도 운영했다.

특히 ‘개인정보 보호 ON 유출은 절대 NO’와 같은 표어를 공모를 통해 제작한 후 공문과 홍보물 등에 지속적으로 활용하며 임직원의 인식을 높였다.

현장 실행력 확보를 위해서는 개인정보보호 전담 인력을 배치하고 개인정보파일 현행화를 정례화했다. 전담 직원이 연간 8차례에 걸쳐 개인정보파일 현황을 점검하며 관리체계를 정비했다. 업적평가 지침도 개정해 개인정보보호 실적을 평가에 반영했다. 개인정보파일 현행화와 보호 활동을 조직 평가와 연계함으로써 현업 부서의 참여를 이끌어냈다.

지방지원본부와 현업 부서를 대상으로 한 맞춤형 컨설팅과 실태 점검도 실시했다. 이를 통해 부서별로 제각각 운영되던 동의서 양식과 개인정보 처리 용어를 표준화하는 성과도 거뒀다.

유출사고 예방을 위한 활동도 강화했다. 개인정보 유출사고 대응 교육과 모의훈련을 정례화하고, 사내 LED 전광판과 홍보물을 활용한 상시 캠페인을 진행했다. 특히 개인정보 유출사고는 공공기관 개인정보 보호 수준평가에서 가장 큰 감점 요인 중 하나인 만큼 사고 대응 역량 강화에 집중했다고 설명했다.

KOTRA는 평가 가점 항목에서도 성과를 거뒀다. 상담 데이터를 가명처리해 활용하는 중장기 계획을 수립하고, 생성형 AI 서비스 사용 시 개인정보와 내부정보 입력을 탐지·차단하는 보안 솔루션을 도입했다. 이 솔루션은 도입 이후 약 4만건의 개인정보 및 내부정보 입력 시도를 탐지(오탐 포함)한 것으로 집계됐다.

조 팀장은 “개인정보보호는 경영진의 관심과 임직원의 실천이 함께할 때 성과를 낼 수 있다”며 “개인정보보호 담당 부서가 중요성을 지속적으로 알리고 소통해야 조직 전체의 협업과 참여를 이끌어낼 수 있다”고 말했다.

[강초희 기자(choh@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다