개인정보보호위원회는 LVMH(투이비통모에헤네시) 산하 디올과 티파니의 개인정보 유출 사고를 조사하고 있다고 1일 밝혔다.

개인정보위는 이번 조사를 통해 정확한 유출 대상과 규모를 파악하고 기술적·관리적 안전조치 이행 등 개인정보보호법 위반 여부를 확인할 계획이다. 사고 이후 유출 신고와 개별 정보 주체에게 통지까지 상당 시일이 소요된 데 대해서도 집중적으로 확인하고 있다. 개인정보보호법 시행령은 개인정보처리자가 1000명 이상, 민감정보 등의 개인정보가 유출된 것을 알게 되면 72시간 이내에 개인정보위에 신고하도록 규정하고 있다.

앞서 디올은 지난 1월쯤 발생한 유출 사고를 지난달 7일 인지했다며 같은 달 10일에 신고했다. 티파니도 4월쯤 발생한 유출 사고를 지난달 9일 인지했다고 22일 신고했다.

두 회사는 서비스형 소프트웨어(SaaS) 기반 고객관리 서비스를 이용하고 있으며, 두 건 모두 고객관리 서비스에 접속하는 직원 계정 정보를 이용해 개인정보가 유출된 사고로 파악됐다. 개인정보위는 SaaS에 대해서도 함께 들여다볼 계획이다.

SaaS는 소프트웨어를 서버 등에 설치하지 않고 인터넷을 통해 클라우드 형태로 제공하는 방식이다. 이를 이용하는 기업이 대규모 개인정보 유출 사고를 예방하기 위해서는 이중 인증수단 등을 직원 계정에 적용하고 접근할 수 있는 아이피(IP) 주소 제한 등 접근 통제 조치가 필요하다고 개인정보위는 설명했다. 또 피싱 등을 통해 계정이 탈취되지 않도록 개인정보 취급자에 대한 교육 및 관리·감독을 강화해야 한다고 강조했다.