SK컴즈, ISMS·PIMS 등 개인정보 인증 안 받아

SK커뮤니케이션즈가 ISMS인증, 개인정보관리체계인 PIMS 인증 등을 받지 않은 것으로 나타났다.

10일 국회입법조사처가 발표한 ‘네이트 해킹사고와 포털의 개인정보보호’ 보고서에 따르면 현재 정보통신망법 제47조는 정보보호관리체계(ISMS)를 자율적으로 인증 받도록 규정하고 있지만 SK컴즈의 경우 인증을 받지 않은 상태였다.

이러한 인증이 의무는 아니지만 이미 NHN, 다음커뮤니케이션이 ISMS인증을 받은 사실을 감안하면 다소 문제점이 존재한다고 국회입법조사처측은 지적했다.

또한 SK컴즈는 개인정보보호에 특화된 또 다른 관리체계 인증인 개인정보보호관리체계(PIMS)인증을 올해 초에 신청한 바 있으며 3분기에 심사를 희망한 것으로 나타났다.

국회입법조사처측은 “SK컴즈가 이미 오랜기간 포털을 운영해오면서 공식적인 정보 관리체계 인증을 받은 사실이 없다는 점을 드러낸다”면서 “이번사건의 문제가 어디 있는지를 가늠케 해준다”고 말했다.

보고서에서는 SK컴즈 측이 26일 오후 해킹 시도를 인지했으나 28일 오전에야 해킹 사실을 확인하고 이를 방송통신위원회와 수사당국에 신고한 것에 대해 인지 직후 수사기관 등에 의뢰해 초동대처를 했다면 대규모 사건은 피할 수 있었을 것이라고 꼬집었다.

이어 주요 해외국가들에 비해 우리나라 포털사이트의 개인정보 유출 위험성은 더욱 크다고 할 수 있는데 그 핵심적인 빌미를 제공하는 것이 ‘인터넷 실명제 의무화 조항’이라면서 이번 개인정보 해킹 사건은 실명제에 의한 개인정보 수집 및 보관 취약성을 여실히 보여주고 있다고 밝혔다.

국회입법조사처 측은 “주민등록번호 대체수단인 아이핀은 기존에 주민등록번호가 가지는 유출 위험성을 그대로 보유하고 있으므로 궁극적으로 주민등록번호 및 개인 식별번호 자체의 수집을 가급적 자제하는 방향으로 법과 제도의 개선이 이뤄질 필요가 있다”고 덧붙였다.

한편 이에 대해 SK컴즈 관계자는 “정보보호 관련해서 아무 인증을 받지 않았다는 것은 사실이 아니며 SK컴즈는 국제 정보보호 경영시스템 국제인증인 ‘ISO27001’을 2009년 1월 획득했다”면서 “‘ISO27001’은 ISMS와 세부적인 항목에서 차이가 있을 뿐 대부분 비슷한 내용으로 정보보호분야에서 최고의 권위를 인정받고 있다”고 해명했다.