따릉이 개인정보 유출 사고를 상징하는 스마트폰 앱과 균열된 보안 아이콘 일러스트

따릉이 개인정보 유출 462만 명, 공공기관이 놓친 필수 대응 3가지

작성자:

안녕하세요! 성징어의 IT 잉크사이트(IT Ink-Sight) 성징어입니다.

지난 7월 21일, 서울시설공단이 공공자전거 따릉이 회원 462만 명의 개인정보가 유출됐다고 공식 발표했습니다. 발표 직후 여러 언론이 이 소식을 비중 있게 다뤘지만, 정작 눈여겨봐야 할 대목은 462만이라는 숫자보다 사고의 시점이었습니다. 그런데 이 사고, 실은 2024년 6월에 이미 벌어진 일이었습니다. 공단이 유출 사실을 처음 인지한 시점도 2024년 7월이었고요. 그러니까 저희는 지금, 사고 발생으로부터 무려 2년 가까이 지난 시점에서야 전모를 알게 된 셈입니다. 게다가 이 사실이 세상에 드러난 계기도 공단의 자발적인 신고가 아니라, 경찰이 전혀 다른 사이버범죄를 수사하다가 우연히 발견한 단서였다는 점에서 더 씁쓸합니다.

따릉이 개인정보 유출, 무슨 일이 있었나

따릉이는 서울시가 2015년 도입한 공공자전거 공유 서비스로, 시민들이 짧은 거리를 이동할 때 부담 없이 이용하는 생활밀착형 공공서비스로 자리 잡았습니다. 회원 가입 시 휴대전화번호나 이메일 같은 개인정보를 입력해야 대여가 가능한 구조인 만큼, 가입자 규모가 곧 잠재적 유출 규모와 직결됩니다. 이번 따릉이 개인정보 유출 사고가 유독 파장이 컸던 이유도 이 서비스가 특정 계층이 아니라 서울 시민 대다수가 일상적으로 접하는 인프라라는 점 때문입니다.

사건의 시작은 2024년 6월 28일부터 30일 사이였습니다. 따릉이 앱이 분산서비스거부(DDoS)로 추정되는 사이버 공격을 받아 약 80분간 전산이 마비됐습니다. 공단은 이때 관계기관에 장애 발생 사실을 신고했습니다. 여기까지는 통상적인 장애 대응 절차대로 흘러갔습니다.

문제는 그다음부터입니다. 공단이 의뢰한 서버 보안업체가 이 공격을 분석한 결과를 담은 10페이지짜리 보고서를 2024년 7월 18일 제출했는데, 이 보고서에는 아이디를 포함한 6개 항목의 개인정보가 유출됐다는 사실이 명시돼 있었습니다. 즉 공단은 이 시점에 이미 따릉이 개인정보 유출이 실제로 발생했다는 사실을 문서로 확인했던 것입니다. 그런데도 서울시에 이 사실을 보고하지 않았고, 개인정보보호위원회나 한국인터넷진흥원(KISA)에도 신고하지 않았습니다.

가해자는 인증 절차의 허점을 이용한 10대 남성 2명으로 파악됐습니다. 정상적인 절차라면 로그인 후 발급받은 인증 토큰을 서버가 매번 검증해야 하는데, 따릉이 일부 서버는 이 검증 과정 없이 특정 값만 입력하면 다른 회원의 정보를 조회할 수 있는 구조였습니다. 보안 업계에서 흔히 ‘취약한 객체 수준 권한 부여’라고 부르는 유형의 허점으로, 로그인 여부와 무관하게 요청 값만 바꾸면 남의 정보를 들여다볼 수 있었다는 뜻입니다. 이 방식이면 별도의 해킹 도구나 고급 프로그래밍 지식 없이도, 요청 값을 순차적으로 바꿔가며 자동으로 정보를 긁어모으는 스크립트 하나만으로 대량의 회원 정보를 수집할 수 있었을 것으로 추정됩니다.

인증 토큰 없이 뚫린 허술한 구조

이 대목에서 제가 눈여겨보는 지점은 취약점 자체의 기술적 난이도입니다. 따릉이 개인정보 유출을 가능하게 한 이 취약점은 최신 제로데이나 정교한 사회공학 기법이 아니라, 웹 애플리케이션 보안 점검에서 가장 기본적으로 확인하는 항목 중 하나였습니다. 인증 토큰 검증 로직 하나만 제대로 구현돼 있었어도 462만 명의 정보가 빠져나가는 일은 없었을 가능성이 큽니다.

유출된 항목은 회원의 가입 시기와 가입 경로에 따라 조금씩 달랐습니다. 필수 수집 항목인 아이디와 휴대전화번호는 물론, 선택 수집 항목이었던 이메일 주소, 생년월일, 성별, 체중, 우편번호, 주소, 그리고 미성년 회원의 경우 보호자의 휴대전화번호와 생년월일까지 포함됐습니다. 주민등록번호 같은 고유식별정보는 해당 서버에 없었다는 게 공단 측 설명이지만, 이 정도 조합만으로도 스미싱이나 피싱에 악용될 소지는 충분합니다.

이런 유형의 취약점은 사실 국제적으로도 낯선 이름이 아닙니다. 국제 웹 보안 표준화 단체인 OWASP가 매년 발표하는 API 보안 위협 목록에서, 로그인한 사용자가 자신의 권한 범위를 벗어나 다른 사용자의 데이터에 접근할 수 있게 만드는 이런 유형의 결함은 수년째 상위권에 이름을 올리고 있습니다. 그만큼 흔하고, 그만큼 잘 알려진 위험이라는 뜻입니다. 그런데도 462만 명 규모의 서비스에서 이 기본적인 점검 항목이 빠졌다는 사실은, 개발 단계에서든 이후 보안 점검 단계에서든 최소한의 체크리스트가 작동하지 않았다는 방증이기도 합니다.

80분의 장애, 그리고 1년 6개월의 침묵

여기서부터가 이번 따릉이 개인정보 유출 사고를 단순한 해킹 사건이 아니라 거버넌스 실패 사례로 봐야 하는 이유입니다. 서울시 한정훈 교통운영관은 지난 2월 6일 브리핑에서 “서울시설공단이 2024년 6월 따릉이 앱 사이버 공격 당시 개인정보 유출 사실을 확인하고도 별도의 조처를 하지 않아 초기 대응이 이뤄지지 않은 사실을 확인했다”고 밝혔습니다. 공단은 웹 방화벽을 설치하는 조치는 취했지만, 정작 개인정보보호법이 요구하는 이용자 통보와 관계기관 신고는 건너뛰었습니다.

이 침묵은 얼마나 길었을까요. 2024년 7월 보고서 제출부터 2026년 1월 경찰 통보까지, 자그마치 1년 6개월입니다. 그동안 462만 명의 회원은 자신의 정보가 유출됐다는 사실조차 모른 채 따릉이를 계속 이용했습니다. 국회에서는 이를 두고 “462만 명 시민의 소중한 개인정보가 초보적인 수준의 해킹에 허망하게 털린 것은 서울시설공단의 보안 불감증이 얼마나 심각한지 보여주는 단면”이라는 비판이 나왔고, “유출을 인지하고도 이용자 통보와 신고를 누락한 것은 법 위반 소지가 다분한 무책임한 행정”이라는 지적도 이어졌습니다.

왜 이런 일이 반복될까요. 공공기관 담당자 입장에서 생각해보면 어느 정도 짐작이 갑니다. 유출 사실을 즉시 보고하면 당장 감사와 문책이 뒤따르지만, 침묵하면 당장은 별다른 일이 벌어지지 않습니다. 더구나 3자 유출이나 실제 피해가 확인되지 않은 상태라면 “일단 지켜보자”는 판단이 조직 내부에서 힘을 얻기 쉽습니다. 문제는 이런 판단이 개인의 일탈이 아니라 구조적으로 반복 가능하다는 점입니다. 보고를 늦출수록 책임을 회피할 가능성이 커지는 유인 구조가 남아 있는 한, 비슷한 사고는 또 벌어질 수밖에 없습니다.

우연한 별건 수사로 드러난 진실

더 놀라운 대목은 이 사고가 밝혀진 경위입니다. 서울시 설명에 따르면, 경찰이 전혀 다른 사이버범죄 사건을 수사하던 중 피의자의 컴퓨터에서 따릉이 관련 정보를 발견했고, 이를 2026년 1월 27일 공단에 통보하면서 사실관계 파악이 시작됐습니다. 만약 그 피의자가 다른 범죄로 붙잡히지 않았다면, 이 사고는 지금도 세상에 알려지지 않았을 것이라는 사실이 이번 사고의 가장 아찔한 대목입니다.

서울시는 이후 경찰청에 공단 공공자전거운영처 시스템 관리팀에 대한 수사를 요청했고, 개인정보보호위원회와 KISA에도 사고를 정식 신고했습니다. 감사를 통해 공단 내부에서 누가 이 사실을 알고 있었는지, 어떤 경위로 보고가 누락됐는지도 규명하겠다고 밝혔습니다.

개인정보보호법은 개인정보처리자가 유출 사실을 알게 됐을 때 지체 없이, 통상 5일 이내에 정보주체에게 통지하고 개인정보보호위원회나 KISA 같은 전문기관에 신고하도록 규정하고 있습니다. 이 조항이 존재하는 이유는 명확합니다. 유출 당사자가 스스로 비밀번호를 바꾸거나 피싱 문자에 대비하는 등 최소한의 자기방어를 할 수 있도록 시간을 벌어주기 위해서입니다. 그런데 이번 따릉이 개인정보 유출 사고에서는 이 5일이 1년 6개월로 늘어났고, 그마저도 자발적 신고가 아니라 우연한 발각으로 끝났습니다. 법이 정한 절차가 서류상으로만 존재했을 뿐, 실제 조직 안에서는 작동하지 않았다는 뜻입니다.

사이버 공격부터 신고 누락, 우연한 발각까지 이어지는 타임라인 인포그래픽

서울시설공단의 뒤늦은 사과와 462만 명 보상

지난 7월 21일 공식 발표에서 서울시설공단은 뒤늦게나마 피해 회원에게 따릉이 30일 이용권(1시간) 쿠폰을 지급하겠다고 밝혔습니다. 쿠폰은 8월 중 지급되며 지급 시점 기준 3개월 안에 사용해야 합니다. 공단은 웹 취약점을 보완하고 이상 접속 모니터링을 강화했으며, 정기적인 보안 진단과 모의침투 테스트를 정례화했다고 설명했습니다. 늦었지만 재발 방지 체계 자체는 방향을 제대로 잡은 셈입니다. 경찰 수사 결과 제3자 유출이나 실제 2차 피해 정황은 확인되지 않았다는 점은 그나마 다행이며, 앞으로도 이런 모니터링이 일회성에 그치지 않기를 바라는 마음입니다.

다만 저는 이 보상안을 보면서 씁쓸함을 감추기 어려웠습니다. 개인정보가 유출된 462만 명에게 자전거 1시간 이용권을 제공하는 것이 과연 적절한 보상인지에 대한 의문 때문입니다. 물론 자전거 대여 서비스라는 사업 특성상 현금 보상이 쉽지 않다는 점은 이해하지만, 1년 6개월간 통지받지 못한 채 지낸 시간에 대한 보상치고는 소박하다는 인상을 지우기 어렵습니다.

더구나 이 보상안은 유출 자체에 대한 보상이라기보다는, 뒤늦은 발표로 인한 불편에 대한 사과에 가깝습니다. 실제로 유출된 개인정보로 인해 스미싱이나 피싱 시도가 있었는지, 있었다면 몇 건이었는지에 대한 구체적인 후속 모니터링 결과는 아직 충분히 공개되지 않았습니다. 경찰 수사에서 2차 피해 정황이 확인되지 않았다는 설명만으로 462만 명 모두가 안심할 수 있을지는 별개의 문제입니다. 저는 이 부분에 대해서는 서울시와 공단이 최소 수개월 단위로 후속 모니터링 결과를 공개하는 것이 신뢰 회복의 첫걸음이라고 생각합니다.

락앤락과 비교해보면 보이는 공공기관의 사각지대

비슷한 시기에 나온 또 다른 개인정보 유출 사고와 비교해보면 흥미로운 지점이 드러납니다. 생활용품 기업 락앤락은 2024년 4월 메일 서버 취약점을 악용한 해킹으로 약 130만 명의 개인정보를 유출당했는데, 개인정보보호위원회는 지난 7월 8일 락앤락에 과징금 5억300만 원과 과태료 540만 원을 부과했습니다. 락앤락 사고의 원인으로는 2022년에 이미 공개된 보안 취약점을 조치하지 않은 점, 주요 서버 관리자 계정에 동일한 비밀번호를 사용한 점, 고유식별정보를 암호화하지 않은 점 등이 지적됐습니다.

숫자만 놓고 보면 따릉이 개인정보 유출 규모(462만 명)가 락앤락 사고(130만 명)보다 3.5배가량 큽니다. 그런데도 공공기관인 서울시설공단에 부과될 것으로 예상되는 과징금은 민간기업인 락앤락보다 오히려 낮을 가능성이 높습니다. 왜 이런 역전 현상이 생기는지는 다음 대목에서 설명하겠습니다.

두 사고의 공통점도 눈에 띕니다. 락앤락 역시 2022년에 이미 알려진 취약점을 방치했다가 뒤늦게 발목이 잡혔고, 서울시설공단도 기본적인 인증 검증 로직을 놓친 채 서비스를 운영해 왔습니다. 둘 다 최신 공격 기법이 아니라 진작 알려진 허점을 방치한 결과였다는 점에서, 이번 사고들은 보안 투자 부족보다 ‘알고 있던 위험을 우선순위에서 밀어낸’ 관리의 문제에 가깝습니다. 다만 민간기업은 과징금이라는 명확한 재무적 신호를 통해 그 대가를 치르는 반면, 공공기관은 그 신호가 상대적으로 무디다는 차이가 있습니다.

공공기관 해킹 유출, 이번이 처음이 아니다

사실 공공기관의 해킹발 개인정보 유출은 이번이 처음 있는 일이 아닙니다. 국회 정무위원회 자료에 따르면 개인정보보호위원회가 2020년 8월 출범한 이후 지난 4년간 처분한 해킹발 개인정보 유출 사고는 총 148건이었고, 이 가운데 129건이 민간, 19건이 공공기관에서 발생했습니다. 62건에 대해 부과된 과징금 총액은 257억 원이었는데, 공공기관 중 가장 많은 과징금을 부과받은 곳은 135만 명의 정보가 유출된 한국사회복지협의회로, 금액은 4억8,000만 원에 그쳤습니다. 같은 기간 민간기업인 골프존은 221만 명 유출 사고로 75억 원, LG유플러스는 68억 원의 과징금을 부과받았으니 규모 대비 처분 수준의 격차가 한눈에 드러납니다.

비교적 최근 사례로는 중소벤처기업부 산하기관이 운영한 창업지원 플랫폼 ‘모두의 창업’에서 합격자 5천여 명의 개인정보와 사업 아이디어가 함께 유출된 사고도 있었습니다. 이 사고 역시 유출 규모는 크지 않았지만, 단순 개인정보를 넘어 예비 창업자들의 사업계획과 아이디어 같은 민감한 경영 정보까지 포함됐다는 점에서 사업 아이디어 도용이나 2차 피해 가능성까지 우려를 낳았습니다. 국회에서는 이번에도 어김없이 “공공기관 과징금 산정 체계를 전면 재검토해야 한다”는 지적이 나왔습니다. 이런 흐름 속에서 따릉이 개인정보 유출 사고가 터진 것을 보면, 공공기관의 개인정보 관리 책임을 묻는 제도가 실제 위험 규모를 따라가지 못하고 있다는 인상을 지우기 어렵습니다.

매출액 없는 공공기관, 과징금 상한 20억 원의 함정

현행 개인정보보호법은 민간기업에는 전체 매출액을 기준으로 최대 3%까지 과징금을 부과할 수 있도록 하고 있습니다. 실제로 쿠팡은 6,247억 원, SK텔레콤은 1,347억 원의 과징금을 부과받은 사례가 있습니다. 반면 공공기관은 매출액 개념이 없거나 산정이 어렵다는 이유로 과징금 상한이 20억 원으로 묶여 있습니다. 국회 자료에 따르면 2021년 이후 공공기관에 부과된 최고 과징금은 한국연구재단의 7억300만 원이었고, 전북대학교(6억2,300만 원), 공무원연금공단(5억3,200만 원) 등이 뒤를 이었습니다. 이 구조대로라면 462만 명 규모의 따릉이 개인정보 유출도 실제 과징금은 민간기업 기준의 수억 원에서 크게 벗어나지 않을 공산이 큽니다.

이양수 국회의원은 이와 관련해 “현행 규정대로라면 공공기관은 국민 개인정보를 대규모로 유출해도 민간기업에 비해 턱없이 낮은 과징금만 부담하게 된다”며 “과징금 산정 체계를 전면 재검토하고 재발 방지를 위한 철저한 보안대책과 책임 있는 처벌이 뒤따라야 한다”고 지적한 바 있습니다. 저는 이 지적이 이번 따릉이 개인정보 유출 사고에도 그대로 적용된다고 봅니다. 유출 규모나 초기 대응 실패의 심각성을 감안하면 20억 원이라는 상한선 자체가 억지력으로 작동하기 어려운 수준입니다.

물론 과징금 상한을 무작정 높이는 것만이 해법은 아닐 수 있습니다. 공공기관의 예산은 결국 세금에서 나오기 때문에, 과징금을 올리는 것이 실질적으로는 다른 시민 서비스 예산을 깎는 결과로 이어질 수 있다는 반론도 있습니다. 그럼에도 불구하고 최소한 유출 규모나 대응 실패의 중대성에 따라 처분 수위가 차등화되는 구조, 그리고 기관장이나 담당 부서장에 대한 인사·행정상 책임을 명확히 묻는 별도의 장치는 지금보다 훨씬 촘촘해질 필요가 있어 보입니다. 과징금이라는 금전적 신호가 약하다면, 그 공백을 메울 다른 형태의 책임 장치가 있어야 한다는 뜻입니다.

민간기업과 공공기관의 개인정보 유출 과징금 상한 격차를 보여주는 비교 그래프

9월 시행 개인정보보호법 개정이 공공기관에 던지는 질문

공교롭게도 오는 9월 11일부터는 개정된 개인정보보호법 시행령이 시행됩니다. 반복적이거나 중대한 개인정보 유출에는 매출액의 최대 10%까지 징벌적 과징금을 부과할 수 있고, 일정 규모 이상 기업은 CPO(개인정보보호책임자) 지정과 권한, 예산 확보 의무가 대폭 강화됩니다. 이 개정안은 3년 이내 반복 위반, 고의 또는 중대한 과실로 1천만 명 이상의 정보주체에게 피해를 초래한 경우, 시정명령 불이행으로 유출이 발생한 경우 등에 징벌적 과징금을 적용하도록 하고 있습니다.

세부적으로 들여다보면, 일정 규모 이상의 기업은 CPO를 지정하거나 교체할 때 이사회 의결을 거쳐 개인정보보호위원회에 신고해야 하고, CPO가 보호 업무에 필요한 전문 인력과 예산을 실제로 확보하고 있는지, 그 내용을 대표이사와 이사회에 정기적으로 보고하도록 하는 의무도 새로 생겼습니다. 유출 사고가 발생했을 때 “몰랐다”거나 “담당자가 보고를 누락했다”는 식의 해명이 더는 통하기 어려운 구조를 만들겠다는 취지로 읽힙니다. 이런 관점에서 보면 따릉이 개인정보 유출 사고에서 드러난 ‘보고서는 받았지만 위로 올라가지 않은’ 구조야말로 이번 개정이 겨냥하는 전형적인 실패 유형이라고 할 수 있습니다.

그런데 여기서 짚고 넘어가야 할 문제가 있습니다. 이 매출액 기반 과징금 체계는 애초에 공공기관을 염두에 두고 설계된 것이 아니라는 점입니다. 매출액이 없는 지자체 출연기관이나 공기업에는 이 강화된 과징금 산정 방식이 그대로 적용되기 어렵습니다. 결국 이번 개정으로 민간기업의 유출 억지력은 한층 강화되겠지만, 서울시설공단 같은 공공기관에는 여전히 20억 원 상한이라는 낡은 틀이 남아 있을 가능성이 높습니다. 이번 따릉이 개인정보 유출 사고가 공공기관용 과징금 체계 개편 논의의 기폭제가 될 수 있을지 지켜볼 대목입니다.

ISP·ISMP 실무자가 이번 사고에서 챙겨야 할 점

저는 공공 정보화 사업을 컨설팅하는 입장에서 이번 사고를 조금 다른 각도로도 들여다보게 됩니다. 첫째, 이번 취약점은 첨단 공격 기법이 아니라 인증 토큰 검증이라는 기본 중의 기본을 놓친 결과였습니다. ISP나 ISMP 단계에서 요구사항 정의서에 API 인가 체계 검증을 명시적으로 포함시키고, 구축 이후에는 정기 모의침투 테스트를 계약 조건에 못박아 두는 것이 왜 중요한지 이번 사례가 잘 보여줍니다. 특히 위탁운영이나 유지보수 사업자가 자주 바뀌는 공공 시스템일수록, 인수인계 과정에서 보안 점검 항목이 누락되기 쉽다는 점도 함께 고려해야 합니다. 사업 범위 정의서(SOW)에 보안 점검 주기와 책임 주체를 명시하지 않으면, 매번 “이번 사업자 책임은 아니다”라는 식의 책임 공백이 생기기 마련입니다.

둘째, 이번 사고의 진짜 문제는 취약점 자체보다 유출 인지 이후의 보고 체계 공백이었습니다. 보안업체가 유출 사실을 담은 보고서를 제출했는데도 조직 내부에서 그 정보가 의사결정권자나 상급기관까지 올라가지 못했다는 점은, 기술적 보안 통제만큼이나 유출 대응 프로세스와 보고 라인 설계가 중요하다는 사실을 보여줍니다. 공공기관 정보보호 수준진단이나 관리체계 컨설팅을 수행할 때, 저는 이제 “탐지 이후 보고까지 걸리는 시간과 경로”를 별도 점검 항목으로 두어야 한다고 생각합니다. 보고 체계도는 문서로만 존재해서는 안 되고, 실제 담당자가 사고 발생 시 몇 시간 안에 누구에게 무엇을 보고해야 하는지를 훈련을 통해 체득하고 있어야 실효성이 생깁니다.

ISP ISMP 실무자를 위한 공공기관 보안 점검 체크리스트 일러스트

셋째, 462만 명이라는 규모와 20억 원이라는 과징금 상한 사이의 간극은 공공기관 발주 사업의 보안 예산 편성 논리에도 영향을 미칠 수 있습니다. 과징금이 억지력으로 작동하지 않는다면, 결국 사전 예방 투자를 정당화하는 근거는 과징금 회피가 아니라 기관 신뢰도와 시민 피해 예방이라는 본질적 가치가 되어야 합니다.

넷째, 유출 대응 계획(IRP·Incident Response Plan) 자체를 별도 산출물로 요구하는 관행도 이번 기회에 점검해볼 만합니다. 많은 공공 정보화 사업 제안요청서에는 침해사고 대응 절차가 형식적으로 한두 줄 언급되는 데 그치는 경우가 적지 않습니다. 하지만 따릉이 개인정보 유출 사고처럼 탐지는 됐는데 보고가 안 되는 상황을 막으려면, 사고 인지 시점부터 정보주체 통지·관계기관 신고까지 이어지는 흐름을 담당자 개인의 판단이 아니라 RACI 형태로 명문화한 문서가 필요합니다. 저는 앞으로 공공기관 정보보호 컨설팅을 수행할 때 이 부분을 산출물 체크리스트에 명시적으로 넣어야겠다고 다짐하게 됩니다.

마무리하며

따릉이 개인정보 유출 사고를 취재하듯 들여다보면서 제가 가장 놀란 지점은 취약점의 정교함이 아니라 조직의 침묵이었습니다. 462만 명의 정보가 새어 나갔다는 사실을 문서로 확인하고도 1년 6개월 동안 아무 조치가 없었다는 것, 그리고 그 침묵이 자발적 신고가 아니라 우연한 별건 수사로 깨졌다는 것. 이 두 가지가 겹치면서 이번 사고는 기술적 결함을 넘어선 조직 문화의 문제로 읽힙니다.

앞으로 9월 개인정보보호법 시행령이 본격 적용되고, 공공기관 과징금 체계에 대한 재검토 논의도 조금씩 힘을 받는 분위기입니다. 다만 제도가 바뀌는 속도보다 현장의 보고 문화가 바뀌는 속도가 더 느리다면, 비슷한 사고는 또 반복될 수밖에 없습니다. 이번 서울시설공단 감사 결과가 어떤 식으로 마무리되는지, 그리고 그 결과가 이후 다른 공공기관의 유출 대응 관행에 실제로 영향을 미치는지는 앞으로도 계속 지켜볼 필요가 있는 대목입니다. 여러분이 속한 조직이라면, 유출 정황을 담은 보고서가 책상 서랍 속에서 1년 넘게 잠들어 있는 일이 없다고 자신 있게 말할 수 있을까요.

참고한 글

함께 보면 좋은 글

댓글 남기기