[ET시론] 개인정보 유출 잔혹사

개인정보 유출로 인한 잔혹 범죄가 잇따르고 있다. 지난해 말 발생한 '송파 살인사건'은 수원구청 공무원이 자동차관리시스템에서 취득한 피해자의 주소를 흥신소에 판매했고, 이를 통해 주소를 알게 된 범인이 전 연인의 집을 찾아가 가족을 살해했다. 올해 9월에도 서울교통공사 직원이던 범인이 내부 그룹웨어와 인사회계시스템에서 동료 여직원의 주소, 근무지, 근무시간을 알아내고 찾아가서 살해한 '신당역 살인사건'이 발생했다. 최근에는 건강보험공단 직원이 불법 대부업자에게 건당 10만원을 받고 가입자의 직장명과 직장 주소를 넘긴 일이 드러나 파면된 일도 있었다.

사건의 공통점은 해당 기관의 내부 직원이 개인정보를 고의로 유출해서 발생했다는 점이다. 특히 필요 이상으로 권한이 많은 개인정보 취급자가 개인정보를 조회해서 범죄에 사용한 사례라는 점이 두드러진다. 조사 결과 이들은 정상 절차를 통해 권한을 부여받은 것으로 드러났으며, 불행하게도 해당 공공기관은 개인정보가 불법적으로 사용된 사실을 범죄 발생 이전까지 전혀 알지 못했다.

2019년 행정안전부는 'n번방 사건' 후속 조치로 개인정보 유출을 방지하기 위해 개인정보관리시스템 접속기록 관리강화 계획을 발표했다. 접속기록 보관 기간을 6개월에서 1년으로 늘리고, 접속기록 점검 주기를 반기에서 매월 점검으로 강화했다. 또 아이디, 접속일시, 접속 IP, 수행업무 이외에 '정보 주체에 대한 접속기록(누구의 정보를 확인했는지)'를 남기도록 했다. 또한 개인정보를 다운로드한 경우 그 사유를 반드시 확인하도록 했다.

공공부문 개인정보 유출 현황

그럼에도 개인정보 유출로 인한 사건·사고가 계속 발생하는 것은 접속기록 관리 현장에 아직도 여러 한계가 있기 때문이다. 개인정보처리시스템에 발생한 처리 이력을 모니터링하는 접속기록관리시스템의 도입률은 과거에 비해 많이 향상됐지만 올해 2월 실시한 개인정보보호위원회의 조사에 따르면 부처(50개) 소관의 주요 개인정보처리시스템(459개) 가운데 56%에 불과했다. 개인정보접속기록관리시스템이 있다 해도 시스템 운영기관은 탐지 규칙을 설정하고 그에 따라 이상 행위 여부를 필터링하기 때문에 정당한 권한이 있는 자가 고의로 정보를 유출하는 것은 탐지하기가 어렵다. 또 개인정보 취급자 계정의 권한이 현행화되지 않는 등의 이유로 탐지 오류도 많이 발생한다.

현재 접속기록 점검은 대부분 부처별 운영사업단이나 산하 공공기관에서 총괄적으로 하고 있다. 업무수탁을 받은 유지보수업체가 하는 경우도 많다. 지방자치단체가 직접 점검하는 비율은 1% 수준으로 매우 낮은 현실이다. 이 때문에 접속기록 점검 범위와 점검 주체의 역할·책임(R&R)이 명확지 않을 수밖에 없다.

송파·신당역 살인사건에서 보듯이 업무상 필요한 최소한의 권한이 아니라 과도한 권한이 부여된 경우가 많다는 점도 문제다. 조회를 해당 지자체 거주민으로 제한하는 시스템도 있지만 자동차 관리시스템처럼 국민의 개인정보 조회가 가능한 시스템 이용자에게 권한이 과도하게 부여돼 있으면 더 위험하다.

공공부문 개인정보 처리건수 및 취급자 현황

대부분 개인정보처리시스템에 개인정보취급자의 접근권한, 접속기록 등을 실효성 있게 점검하는 관리체계가 미비하다는 점도 문제로 지적할 수 있다. '원스톱 민원 서비스 제공' 또는 '업무 효율화'를 강조하는 행정 현장에서 '필요 최소한의 권한 부여'라는 보안의 기본 원칙은 뒤로 밀리기 일쑤다. 이를 극복하는 방안으로 개인정보보호위원회는 지난 7월 '공공부문 개인정보 유출 방지대책'을 발표했다. 대책은 개인정보 유출을 막기 위해 공공부문이 취할 수 있는 조치를 망라했다고 해도 과언이 아니다.

대책에 담긴 주요 내용으로 △공무원이 국민의 개인정보를 고의 유출·부정 이용하였을 때 즉시 파면하는 원스크라이크 아웃 징계 시행 △대규모 시스템 소관 부처의 경우 부처-운영기관-이용기관을 포괄하는 통합적 개인정보 관리체계 구축 △접속기록 점검은 이용기관인 지자체가 소속 취급자에 대해 점검하도록 R&R 명확화 △기술적으로는 전체 정보시스템 1만6000여개 가운데 약 10%를 집중관리시스템으로 지정해 2025년까지 강화된 보호 조치 적용·인사 정보와 취급자 계정 연동을 통한 권한 자동 말소, 접속기록관리시스템 도입 의무화, 대규모 또는 민감정보 처리 시 상급자의 승인·소명 절차 의무화 등이다.

대책 시행과 함께 한국인터넷진흥원은 개인정보 유출 사고 조사인력 확충을 통해 관리실태 점검을 강화할 것이다. 웹사이트에 노출된 국민의 주요 개인정보 탐지·삭제도 지속 추진할 예정이다. 개인정보 유출 사고 근절 및 안전한 활용 기반 구축을 위한 법·제도 개선에도 참여해서 좀 더 실효성 있는 정책을 제안하는 등 다양한 노력을 기울일 계획이다. 나아가 근본적인 문제 해결과 피해 예방을 위해 공공뿐만 아니라 민간 개인정보 업무담당자 및 국민 모두를 대상으로 한 개인정보 보호 인식제고 교육과 홍보 활동도 이어 나가려 한다.

공공부문 개인정보 유츨 근절 추진 체계

공공분야 종사자는 수시로 '자신의 행위가 개인정보를 오·남용하고 있는 것은 아닌지'에 대한 소명 요청을 받게 되고, 대규모 개인정보 또는 민감정보를 다운로드하려면 사전·사후 승인을 받아야 한다. 앞으로 공공기관은 개인정보접속기록관리시스템을 도입해야 하고, 정부 인사시스템과의 연동을 위해 추가 개발도 필요하다. 예산 확보는 필수이고, 적정 인력 배치도 더이상 미루면 안 되는 과제가 되었다. 이는 그동안의 여러 대책 실시에도 일련의 사고를 사전에 막지 못한 우리가 이제라도 치러야 하는 사회적 비용이다.

고의적 개인정보 유출을 완벽하게 막는 방법은 사실 존재하지 않는다. 사전·사후 관리 시스템 강화 등으로 위험을 감소시키는 것이 최선의 대응책이다. 개인정보를 취급하는 과정의 모든 행위를 빠짐없이 기록하고 주기적으로 검토함으로써 개인정보 유출로 말미암아 발생할 수 있는 범죄 및 범죄 가능성을 예방해야 할 것이다. 개인정보 유출로 인한 잔혹한 범죄는 이제 더이상 우리 사회에서 발생해서는 안 된다. 제2의 송파 살인사건, 제2의 신당역 살인사건이 일어나지 않도록 공공 부문이 솔선수범해서 개인정보의 안전성을 관리하고 점검해야 한다. 디지털 초연결사회에서 개인정보는 '돈'이 아닌 '생명'이기 때문이다.

이원태 한국인터넷진흥원 원장 wtlee@kisa.or.kr

○이원태 원장은…

서강대에서 정치학(정치커뮤니케이션) 박사 학위를 받았다. 2007~2021년 정보통신정책연구원에서 ICT 기반 국가 미래전략, 국가 정보화전략, ICT 인문사회 융합 등 정책 연구를 수행했다. 2017년 사이버커뮤니케이션학회 부회장, 2018년 한국인터넷윤리학회 부회장, 2019년 한국인공지능법학회 부회장, 2020년 개인정보보호위원회 제도혁신단 자문위원 등을 역임했다. 2019년에는 지능정보사회 규범의 선도적 연구와 정책 공론화 과정의 공을 인정받아 국무총리 표창을 수상했다. 2021년 1월부터 한국인터넷진흥원장직을 맡고 있다.