I사 개인정보 유출사고는 해커가 내부직원 PC를 악성코드에 감염시킨 후 정보 수집을 통해 DB 계정/패스워드를 수집하였으며 개인정보처리시스템 DB에 접속하여 확보한 개인정보를 외부로 유출한 것으로 조사되었다. 또한 DB 접속 시 세션 타임아웃 미적용, 망분리 운영 미흡 등의 취약점이 발견되었다. ISMS-P 인증을 유지하는 기업은 대부분 관리자페이지 및 서버/DB 접속 시 세션 타임아웃을 설정하고 있으며 개인정보 취급자에 대해 망분리하여 인터넷이 접속되지 않는 환경으로 구성하고 있다. 개인정보 취급자는 개인정보처리시스템에 접속하여 개인정보를 조회/변경/삭제 등 처리할 수 있는 직원 뿐 만 아니라, 서버/DB/네트워크 장비에 접속하여 운영하는 운영자도 망분리 대상에 포함하는 것이 안전하게 서비스를 운영할 수 있는 방안이다.
I사 개인정보 유출사고는 해커가 DB에 접속하여 확보한 개인정보를 외부로 유출한 것으로 조사됐고 망분리 운영 미흡 등 취약점이 발견되었다. DB 운영자도 망분리 대상에 포함하는 것이 서비스를 안전하게 운영하는 것이다.