매년 느는 공공 부문 개인정보 유출...개보위, 다음달까지 긴급점검

1만명 이상 주민번호 처리하는 시스템 대상
개인정보 많은 집중관리시스템도 확대 지정
“공공기관, 사전 예방 중심 관리 강화”

공공부문의 개인정보 유출 현황. 자료 출처 개인정보보호위원회

매년 개인정보 유출 사고가 증가하고 있는 공공 영역의 보안 강화를 위해 당국이 긴급 실태점검에 나선다. 1만명 이상 주민등록번호를 처리하는 시스템 등 대규모 정보를 다루는 시스템부터 사전 예방 중심의 관리를 강화한다는 목표다.

개인정보보호위원회는 지난 11일 제3회 전체회의에서 이같은 안건을 논의하고, 다음 달까지 긴급 실태점검을 실시한다고 12일 밝혔다.

개인정보위는 이번 조치에 대해 “위험 기반 관리, 증적 중심 점검, 결과와 인센티브 연계로 자발적 개선 유도라는 원칙에 맞춰 사전 예방 업무를 추진해 나가겠다”고 설명했다.

개인정보위에 따르면 공공 부문의 개인정보 유출 신고 건수는 2023년 41건에서 2024년 104건, 지난해 128건으로 매년 증가하는 추세다. 특히 유출 사고 중 64%는 업무 과실로 인해 발생했다.

우선 개인정보위는 공공 부문 집중관리시스템을 2024년 382개에서 올해 387개로 확대한다.

집중관리시스템은 개인정보 100만명 이상 또는 개인정보 취급자 200명 이상을 보유하고 있거나 민감 정보 등을 처리하는 공공 시스템을 말한다. 지정되면 개인정보취급자 권한 부여 시 인사정보와 연계해 접속기록 자동 분석 등 일반 시스템보다 강화된 안전조치를 적용해야 한다.

이번 신규 지정에는 대한적십자사의 혈액정보관리시스템 등 국민의 개인정보 처리가 많은 시스템이 포함됐다.

이어 개인정보위는 다음 달까지 387개의 집중관리시스템과 1만명 이상 주민등록번호를 처리하는 공공 시스템을 대상으로 긴급 실태 점검을 진행한다.

점검에서는 최신 보안패치 적용 여부, 취급자 접속 시 인증서·1회용 비밀번호 등 안전한 인증수단 적용, 로그기록에 주민등록번호 등 주요 정보가 남지 않도록 비식별조치 여부 등을 중점 점검한다.

또한 1만건 이상 주민등록번호를 처리하는 시스템은 주민등록번호 암호화 시 안전한 암호화 알고리즘 이용 여부와 암호키 관리 방식 등을 점검한다.

점검 결과 미흡 사항은 기관별로 조치하면서 개인정보위는 위험도에 따라 컨설팅 등 개선 조치까지 지원할 예정이다.

일정 규모 이상(공공 1만명 이상·민간 5만명 이상) 주민등록번호 등 고유식별정보를 처리하는 기관 대상의 안전관리 실태조사도 개편한다. 그동안 점검은 기관이 자체적으로 진행해 결과를 서면으로 제출하는 형식적인 방식에 그쳤기 때문이다.

개인정보위는 먼저 공공기관의 개인정보 파일 목록에 있는 고유식별정보 유형, 처리 규모 등을 바탕으로 위험 정도를 파악해 점검 대상을 선정한다. 또한 기존 26개 점검 항목을 개편하고 고유식별정보에 접근할 수 있는 취급자 권한 부여 현황 , 취급자가 정보 조회 시 일부 마스킹 등 비식별 조치, 암호키 관리실태 등을 중점적으로 살펴볼 예정이다.

우수 점검 기관에 대해서는 일정 기간 점검 면제 등 인센티브 정책도 운영한다.

송경희 개인정보보호위원장은 “공공부문을 필두로 우리 사회 전반에 사전 예방 중심 개인정보 보호 체계가 뿌리내릴 수 있도록 사전 예방 중심 정책을 적극 펼쳐나가겠다”고 밝혔다.