중앙선관위, '인증 실패' 수십번도 허용…"개인정보보호 미흡"

고학수 개인정보보호위원회 위원장이 27일 서울 종로구 정부서울청사에서 열린 제21회 위원회 전체회의에 참석해 발언하고 있다./뉴시스

중앙선거관리위원회는 시스템을 사용하는 개인정보 취급자들이 바뀌었는데도 접근 권한을 수정하지 않는 등 개인정보보호를 소홀히 한 것으로 드러났다.

28일 개인정보보호위원회는 언론 및 국회 등의 지적에 따라 지난 11월부터 약 1달간 선거 관련 주요 시스템의 개인정보보호에 초점을 두고 사전 실태점검을 실시했다고 밝혔다. 사전 실태점검은 지난 9월15일 개정 보호법에 새롭게 반영된 내용으로, 유출 등이 일어나지 않았지만 개인정보 침해 가능성 등이 있는 경우에 선제적으로 점검하고 시정을 권고할 수 있는 제도다.

개인정보위는 사전 실태점검에서 전체 선거인(약 4400만명)의 개인정보가 포함된 통합명부시스템과 선거 사무 수행에 가장 많이 활용되는 선거관리시스템 등을 대상으로 개인정보 수집·이용·파기의 적정성, 개인정보의 안전성 확보 조치 여부 등을 집중적으로 확인했다.

점검 결과 중앙선관위는 일정 횟수 이상 인증이 실패한 경우에도 시스템 접근이 허용되는 취약점이 발견됐다. 일부 구간에서 안전하지 않은 암호화 방법을 사용하고 접속기록의 일부를 누락한 사실 등도 확인됐다.

개인정보위는 중앙선관위에 대해 △접근권한 통제 강화 △안전한 암호화 알고리즘 사용 △접속기록 보관 및 관리 개선 등의 내용으로 시정 권고하기로 했다.

아울러 △협의회 구성 및 전담 인력 마련 △서버 및 데이터베이스 구조 최적화 △선거 과정에서 정당·후보자 및 일반 국민을 대상으로 개인정보보호 사전 안내 강화 등에 대한 개선 권고도 병행하기로 했다.

개인정보위는 국민의 데이터를 대규모로 처리하는 공공시스템의 개인정보 유출로 사회적으로 심각한 피해가 발생하는 문제를 해결하기 위해 올해부터 3개년 간 집중관리시스템 운영기관을 대상으로 안전조치 강화계획 이행실태를 집중 점검하는 중이다.

집중 점검 결과 △시스템별 책임자 지정(45→90%) △안전조치방안 수립(25→48%) △비공무원 발급 절차 마련(26→67%) △전담 인력 확보(0.35→1.7명) 등의 과제는 빠르게 개선되는 모습을 보였다. 하지만 △협의회 설치 △취급자의 신속한 현행화를 위한 인사 정보 연계 △해킹 등 유출 사고 예방을 위한 이상 행위 탐지 △사전·사후 절차의 도입 등의 과제는 상대적으로 이행이 더뎠다.

개인정보위 관계자는 "개정 개인정보보호법 시행으로 유출 등에 책임 있는 공공기관에 대한 제재 수준이 획기적으로 높아진 만큼 공공부문 개인정보보호 수준을 조기에 개선해 나갈 필요가 있다"고 말했다.

이정현 기자 goronie@mt.co.kr