[사이버 보안]해킹·악성코드·내부의 적까지…

SK컴즈·KT 등 대기업도 당해… 정보보호 관련 정부업무 일원화 필요

개인정보 보호에 대한 중요성은 지속적으로 강조되는 반면, 정보 유출은 끊임없이 일어나고 있다. 최근 4년간 개인정보 유출 건수가 무려 1억건에 이른다는 통계도 있다.

개인정보 유출의 주요 경로는 해킹이나 악성코드(바이러스) 등 인터넷을 통한 경우가 대부분이지만 최근에는 내부 직원에 의한 유출까지 일어나고 있다. 이에 따라 개인정보를 취급하는 기업들에게 전방위적인 정보보호 강화 움직임이 일어나고 있다.

개인정보의 유출은 개별회사의 보안 허점을 드러낸다는 오명뿐만 아니라 보이스피싱 등과 같은 2차 피해가 발생할 수 있다는 점에서 더욱 중요성이 부각되고 있다.

▲해마다 기업들이 보유하고 있는 개인정보 유출 사고가 일어난다. 개인정보 유출의 주요 경로는 해킹이나 악성코드(바이러스) 등 인터넷을 통한 경우가 대부분이지만 최근에는 내부 직원에 의한 유출마저 일어나고 있는 실정이다. (사진=뉴시스)

◇ 대기업도 안전지대 아니다 = 통상 대기업은 보안이 철저히 이뤄지고 있다는 기대감을 갖게 한다.

하지만 최근 몇 년간 대기업들이 보유한 개인정보들이 해킹이나 내부직원에 의해 유출되는 사례가 발생해 정보보호 체계의 허술함을 드러냈다.

지난 2008년 옥션 가입고객 중 1863만명의 고객정보가 유출되면서 개인정보 보호는 사회적인 이슈로 부상했다. 이후 보이스피싱과 같은 신종 금융사기가 무작위로 유출되는 개인정보를 바탕으로 이뤄진다는 사실 때문에 개인정보에 대한 중요성은 날로 커지고 있다.

하지만 개인정보 유출 사례는 끊이지 않고 있다. 지난 2011년에는 SK커뮤니케이션즈가 운영하는 네이트와 싸이월드 가입고객 3500만명의 개인정보가 유출되는, 사상 최대 규모의 개인정보 유출 사례도 발생했다. 또 KT와 넥슨 등 통신·게임업계 1위 기업 역시 개인정보 유출의 안전지대가 아니었다.

이들 기업들은 해킹 방지대책 체계를 갖춘 시스템을 도입하고, 정보조회를 실시간으로 감시하는 등 사후 대책 마련에 한창이다.

하지만 정보보호 노력은 일회성에 그쳐서는 안된다는 지적이다. 안랩 관계자는 “정보보호에 대한 중요성은 앞으로도 지속적으로 커질 것”이라면서 “기업들도 정보보호 관련 예산을 꾸준히 확충해 사고를 미연에 방지하는 것이 기업 경쟁력 확보와 브랜드 가치 제고라는 이익을 얻는 행위라는 점을 명심해야 한다”고 강조했다.

◇ 해킹과 개인정보 유출은 동전의 앞·뒷면 = 최근 여야 간 이견으로 진통을 겪고 있는 정부조직법 개편안에서도 개인정보 보호는 화두가 되고 있다. 여야는 인터넷 개인정보 보호는 방송통신위원회에 남겨두고, 개인정보보호 산업관련 정책은 미래창조과학부로 이관하는 것에 합의했다.

하지만 이를 두고 인터넷 전문가들은 우려의 목소리를 높이고 있다.

한국인터넷윤리학회, 개인정보학회, 인터넷기업협회 등 인터넷 관련 16개 학회 및 단체는 지난 7일 성명서를 통해 “그동안 통합 추진되던 인터넷 정책 업무가 산업정책은 미래부로, 인터넷 개인정보 보호는 규제기관인 방통위로 분산되려 한다”고 우려감을 나타냈다.

특히 초 단위로 변화하는 세계 인터넷 시장에서 규제와 진흥의 분리는 역차별이며, 인터넷 산업의 특성을 모르는 정치인들이 정치적 이해관계로 정부 기능을 조정한 사례라고 강도 높게 비판했다.

예를 들어 디도스나 해킹을 통해 주로 이뤄지는 개인정보 유출 사건이 발생할 경우, 이에 대한 규제는 방통위가 맡고 해킹방지 관련 기술정책은 미래부가 담당하게 된다. 따라서 이같은 사고가 발생할 경우 신속한 해결책 및 예방대책 마련이 어려울 수밖에 없다.

보안업계 한 관계자는 해킹과 개인정보 유출은 동전의 앞·뒷면과 같다고 지적했다. 그는 “최근 발생한 개인정보 유출 사고는 첨단기술 해킹과 바이러스(악성코드)에 의한 것”이라며 “이를 예방하기 위해서는 기술적·제도적 조치를 적기에 마련하는 것과 전문지식을 바탕으로 한 사후 조사가 필수적이므로 관련 업무를 한 부처에서 담당하는 것이 옳다”고 의견을 밝혔다.

◇ 기업 규모에 따라 책임도 달라진다 = 기업들이 보유한 개인정보 유출시 사회적 파장이 큰 대규모 기업의 책임을 강화하는 방안도 마련된다.

한국인터넷진흥원은 고려대학교 정보보호대학원과 함께 기업이 보유한 개인정보 유출 사고 발생시 매출과 같은 기업 규모에 따라 처벌 수위를 달리하는 ‘보안등급제’를 정보통신망법 상의 고시로 제정할 예정이다.

정보보호를 위한 시스템 구축 및 노력을 더 할 수 있는 기업에게는 관리책임을 강화하고, 정보보호 노력이 취약한 기업들에게도 일정 수준 이상의 정보보호 체계를 구축할 수 있도록 한다는 계획이다.