서울특별시의회 김인호 부의장(새정치민주연합·동대문구3)은 24일 열린 서울혁신기획관 종합감사에서 서울시 인권정책을 검토·지적했다. 김인호 부의장은 최근 3년간 인권침해 관련 무료법률상담의 총202건이 ▲2013년 52건 ▲2014년 99건 ▲2015년 51건이라고 밝혔다. 그러면서 김 부의장은 2015년 인권침해 무료법률상담건수가 2014년 대비 50% 가까이 줄어들었다고 지적했다. 김 부의장은 “상담건수가 감소한다는 것은 소통의 창구가 좁다는 것을 의미한다. 현재 16명의 변호사가 참여하고 있는데 인권 상담변호사를 더 확충해야 한다”고 밝혔다. 더불어 “예약과 상담이 각각 인권담당관실, 법무담당관실에서 따로 진행하고 있어 행정의 비효율성을 초래한다”며 “부서간 업무협의를 통해 업무를 통합해야 한다”고 말했다. 또한 김 부의장은 서울시 인권침해현황과 관련하여 ▲2013년 10건 ▲2014년 8건 ▲2015년 7건으로 인권침해건수가 줄어드는 추세이지만 여전히 매년 꾸준하게 발생하고 있으며, 인권침해 유형은 성희롱, 폭언, 개인정보침해 등 다양해지고 있다고 밝혔다. 김 부의장은 “꾸준하게 발생하고 있는 인권침해 예방과 올바른 후속조치를 위해서 그동안 발생한 침해사례에 대한 정확한 분석이 선행되어야 한다”며 “좀더 세분화된 침해 유형 분류의 근거를 마련하고, 유형별 맞춤형 인권교육과 재발 방지 대책을 강구해야 한다”고 말했다. 이어 김 부의장은 “서울시 인권정책 1차 기본계획에 최근 급증하고 있는 ‘사이버 인권침해’ 분야가 빠져있다”며 “온라인 인권강화를 위해 보안대책을 마련해달라”고 요구했다. 김 부의장은 서울시 인권정책 전반에 대해 검토, 지적하며 “인권은 인간의 가장 존엄한 권리이며 이 시대의 가치라고 생각한다. 사람이 가치있는 인권도시 서울을 만들기 위해 서울시가 앞장서야 한다”고 말했다. 온라인뉴스부 iseoul@seoul.co.kr

최상 보안 등급 ‘가’급 국가시설인 부산항이 가출한 중학생에게 뚫렸다. 부산경찰청 국제범죄수사대는 부산항에 잠입해 일본행 국제여객선에 몰래 승선한 김모(15)군을 밀항단속법 위반 등의 혐의로 입건했다고 28일 밝혔다. 경찰에 따르면 김군은 지난 17일 오후 1시쯤 경북 경산의 한 중학교 방학식을 마친 뒤 열차를 타고 무작정 부산에 내려왔다. 학년 초 성적표를 위조했다가 발각된 적이 있는 데다 성적도 저조한 게 고민이 돼 가출한 것이다. 김군은 오후 9시쯤 어둠을 틈타 부산세관 뒤편 컨테이너 야적장에 잠입했다. 체격이 왜소한 탓에 철문 아래 30㎝ 틈을 쉽게 통과했다. 선박과 연결된 갱웨이(선박에서 터미널까지 승객 이동 길)에 잠입한 뒤 2.7m 높이 펜스도 넘어 일본 시모노세키로 향하는 2만t급 선박에 들어가 화장실에 숨었다. 하지만 오후 9시쯤 출항할 예정이던 여객선이 기상 악화로 승객을 태우지 못하고 화물만 실은 채 18일 오전 3시쯤 일본으로 떠났다. 이를 몰랐던 김군은 갑판 위로 나왔다가 시모노세키항 입항 직전인 오전 7시쯤 선원에게 발각됐다. 김군은 19일 오전 7시쯤 이 선박이 부산항에 돌아온 뒤 경찰에 넘겨졌다. 국가정보원과 부산지방해양수산청, 부산항만공사, 부산항보안공사는 지난 20일 보안대책회의를 열어 당시 보안 담당자를 징계하고 보안등, 철조망 등을 추가 설치하는 등 뒤늦은 보안 강화 대책을 내놓은 것으로 알려졌다. 부산 김정한 기자 jhkim@seoul.co.kr

달리는 자동차를 해킹해 운전자의 의지와 상관없이 마음대로 조종할 수 있는 것이 실험을 통해 밝혀졌다. 미국 과학매체 와이어드는 21일(현지시간) 미국의 한 보안 연구팀이 자동차를 원격 조작하는 실험을 시행했다고 전했다. 연구팀은 노트북을 사용해 약 16km 떨어진 거리에서 달리고 있는 자동차 지프 체로키의 시스템을 해킹해 자신들이 원하는 명령을 내렸다. 그러자 주행 중인 차량의 에어컨에서 찬바람이 나오기 시작했고 라디오 채널이 멋대로 바뀌어 시끄러운 음악이 흘러나왔으며 전면 유리의 와이퍼가 작동하기 시작했다. 이어 액셀이 작동하지 않고 차량은 감속했다고 당시 차량을 운전한 와이어드의 앤디 그린버그 기자는 말했다. 자동차 해킹을 실험으로 입증한 보안 전문가는 NSA 해커 출신 찰리 밀러와 보안전문회사인 IO액티브의 연구원 크리스 발라섹이다. 이들은 지난 2013년에도 포드의 이스케이프와 도요타의 프리우스 자동차 시스템을 해킹하는 실험을 선보였다. 당시 실험은 뒷좌석에 앉아 케이블로 노트북을 차량용 진단 포트에 연결한 상태에서 해킹했지만, 이번 실험은 무선으로도 자동차를 해킹할 수 있다는 것이 입증된 것이다. 이들이 해킹에 이용한 부분은 지프 체로키를 비롯한 피아트 크라이슬러의 차량에 탑재되는 인터넷 연결 기능 시스템인 ‘유커넥트’의 취약점이다. 유커넥트는 영상과 음악, 내비게이션 등 각종 엔터테인먼트 기능에 사용되는 시스템으로 셀룰러 네트워크를 통해 인터넷에 연결돼 있다. 연구팀은 이런 자동차의 IP 주소만 얻을 수 있다면 시스템 펌웨어에 해킹 코드를 심어 어디서든 시스템에 접속할 수 있다고 밝혔다. 문제는 자동차 해킹이 심각한 문제를 일으킬 수 있다는 것이다. 운전자의 의지와 상관없이 원격으로 자동차의 엔진을 갑자기 정지시킬 수 있고 브레이크도 작동하지 않게 해 사고를 일으킬 수도 있다. 이런 사실이 실험을 통해 입증되자 인터넷상에서는 불안감을 나타내는 목소리가 커지고 있다. 이에 대해 피아트크라이슬러는 지난 16일 유커넥트 기능을 탑재한 모델에 쓰이는 소프트웨어의 보안 기능을 향상하기 위해 업데이트를 공개했다. 이들은 “자동차의 소프트웨어도 스마트폰 등과 마찬가지로 보안대책을 향상시키기 위한 업데이트가 필요하다”고 설명했다. 한편 연구팀은 오는 8월 미국 라스베이거스에서 열리는 보안 컨퍼런스인 ‘블랙 햇’에서 이번 연구성과를 발표할 예정이다. 윤태희 기자 th20022@seoul.co.kr

오는 3월부터 방화벽이나 키보드 보안 등 금융사의 보안 프로그램을 의무적으로 내려받지 않아도 된다. 액티브X·공인인증서 폐지 등 제도 변화와 맞물리면서 금융소비자의 전자금융거래 관행에 상당한 변화를 만들 것으로 보인다. 19일 금융 당국에 따르면 금융위원회는 이달 말 전체회의에서 금융사가 전자금융거래 보호 차원에서 금융서비스 이용자가 보안 프로그램을 내려받도록 해야 한다는 전자금융감독규정상의 조항을 삭제하는 방안을 추진 중이다. 금융 당국 관계자는 “금융산업에 대한 사전 규제를 사후 점검으로 바꾸는 차원에서 금융 관련 보안 프로그램 다운로드 의무를 삭제하는 것”이라고 설명했다. 현행 전자금융감독규정은 해킹 등 침해 행위로부터 금융소비자를 보호하고자 이용자의 컴퓨터나 휴대전화 등 전자적 장치에 보안 프로그램을 설치하도록 하는 등 보안대책을 적용해야 한다고 의무화하고 있다. 신융아 기자 yashin@seoul.co.kr

정부 부처의 인터넷 홈페이지에서 보안에 취약한 액티브엑스(X) 사용이 축소될 것으로 보인다. 안전행정부는 14일 영상회의로 45개 부처의 정보화담당관 업무회의를 열고, 부처 간 협업 활성화 방안과 전자정부 보안 확대 등을 논의했다. 부처 간 칸막이 없는 행정을 위해 정부에서는 클라우드 업무시스템을 도입 중이다. 클라우드 시스템은 업무 자료를 개인 컴퓨터가 아니라 서버에 저장하는 것이다. 따라서 언제 어디서든 업무 처리가 가능하고 부처와 기관의 벽을 허물고 자료가 공유된다. 클라우드 시스템의 장애가 되는 액티브X는 정부 업무 환경에서 제거될 예정이다. 액티브X는 마이크로소프트(MS)사가 인터넷 익스플로러 사용을 위해 개발한 기술로 특정 홈페이지에 접속하면 자동으로 설치된다. 정부는 MS의 인터넷 익스플로러 외에 크롬, 파이어폭스, 사파리, 오페라 등으로도 정부 웹사이트를 이용할 수 있도록 하고 이를 기관 평가에 반영할 계획이다. 부처별로 관리하는 홈페이지에 대한 ‘총량제’도 도입된다. 부처에서 필요 이상의 웹사이트를 운영하면 예산상 불이익이 간다. 보안대책이 없고, 사용자 숫자가 적은 홈페이지는 사이트를 아예 없애기로 했다. 정부에서 만든 1100여개의 스마트폰 애플리케이션도 체계적으로 관리된다. 현재 정부 앱 가운데 30%는 기능을 검증하지 않은 해외 앱스토어에만 등록돼 있다. 윤창수 기자 geo@seoul.co.kr

올 초 카드 3사에서 1억건 이상의 개인정보가 유출된 것으로 확인됐고, 그 여파가 가시기도 전에 KT에서 1200만건의 개인정보가 다시 유출된 것으로 확인됐다. 카드 3사에서 유출된 개인정보가 모두 회수돼 2차 유출은 없다던 정부의 장담을 반박이나 하듯 8000만건의 개인정보가 대출중개업자에게 팔려나간 사실이 알려지면서 국민의 불안은 극에 달하고 있다. 이번 개인정보 유출은 기업이 보안의 기본 원칙을 철저히 지키지 못함에 근본 원인이 있다. 더욱 우려되는 점은 해당 회사가 유출 사실을 확인한 것이 아니라, 해당 정보가 불법 유통되는 과정에서 수사 당국에 의해 인지돼 알려졌다는 점이다. 2년 전 유사한 해킹으로 870만건의 개인정보가 유출된 뒤 세계 최고 보안 인프라를 갖춰 국민이 안심할 수 있는 서비스를 제공하겠다는 KT의 약속도 말뿐이 되고 말았다. 정보통신강국인 대한민국이 ‘개인정보 공개 공화국’이라는 불명예로 휘청거리고 있다. 공개된 국민의 개인정보를 어떻게 보호해야 할지 막막할 지경이나, 문제 해결의 실마리는 모든 당사자들이 보안의 기본으로 돌아가는 평범한 사실에서 찾아야 한다. 외주 인력에 대한 보안 관리가 철저히 강화돼야 한다. 외주 인력의 내부 개인정보에 대한 접근은 적절히 제한돼야 한다. 해킹 사고로 정보 유출은 100% 막을 수는 없지만, 상시 모니터링으로 유출 사실을 조기 탐지해 피해 확산을 최소화해야 한다. 시스템 설계에서 운영까지 모든 과정에서 보안이 최우선적으로 반영돼야 한다. 시스템 설치와 운영 과정에서도 유출로 이어질 가능성이 있는 취약점을 부단히 찾고, 상시 모니터링으로 대규모 정보 유출을 미리 차단해야 한다. 정보 유출로 인한 피해는 최소화돼야 한다. 유출된 개인정보를 이용해 비정상적 카드 결제가 이뤄질 수 있으므로 정부의 대책 마련과 국민의 주의가 요구된다. 의심스러운 인터넷 주소는 절대 클릭하지 말고 전화로 요구하는 어떤 개인정보 제공 요구도 응하지 않아야 한다. 유출된 개인정보의 불법 유통과 활용에 대한 모니터링도 여러 기관이 협력해 강화돼야 한다. 금융소비자가 자기정보결정권을 확보하고, 불법 활용에는 징벌적 과징금을 매출액의 3%로 확대하며, 정보유출 기업에 최대 50억원의 과징금을 부과하며, 주민번호 노출을 최소화하고, 최고경영자(CEO)의 보안책임을 강화하는 내용으로 지난 10일 발표된 정책은 국회와 협조해 시급히 시행돼야 한다. 이번 대책은 문제 해결의 시작점이며 이번 대책이 담지 못한 추가 대책도 고려해야 한다. 글로벌 프라이버시 3대 원칙은 기업이 어떻게 개인정보를 처리하고 있는지 상세히 알려 주고, 소비자의 동의 및 통제하에 개인정보가 처리되며, 다른 사이트 간 개인정보가 연계되지 않도록 하는 것이다. 금융정보 보안대책은 주로 자기정보결정권과 처리 투명성 요구에 집중돼 마련됐으나 개인정보 연계 방지 요구는 고려되지 못한 측면이 있다. 사이트 간 개인정보 연계를 가능케 하는 만능열쇠인 주민번호가 여전히 수집처리되기 때문이다. 사이트 간 개인정보 연계를 막을 수 있는 영역별 대체 식별정보 체계를 도입해야 한다. 민간 분야 영역별 식별정보 체계는 조세 기반, 실명제 그리고 신용도 조회를 확보하도록 해야 하며 기존 식별 인프라를 활용하도록 구성돼야 한다. 국가 보안의 기본 방향성 변경도 고려돼야 한다. 모든 기업에 일관적으로 최소 수준의 보호조치만 요구할 것이 아니라, 정부가 상위 수준 가이드 라인만 제시하고 일정 규모 이상 기업이 스스로 하위 세부 보안 수준을 마련해 그에 따른 피해는 기업 스스로 책임지도록 하는 방침도 고려해야 한다. 시민단체가 주장하는 징벌적 손해배상제도와 집단소송제의 도입도 장기적으로 고려할 시점이다. 무엇보다도 중요한 점은 기업들의 보안 의식을 높이고 실질적인 보안 투자를 유도하며 소비자의 신뢰를 높일 수 있는 지배구조를 포함한 법 제도 정비와 환경 조성이다.

한 해 평균 3건에 달할 정도로 금융회사의 정보 유출 사고가 발생하지만 징계 수준은 기관주의, 과태료 최대 600만원에 그치고 있다. 18일 김기식 민주당 의원(정무위)에 따르면 2008년 이후 금융감독원으로부터 주의 이상의 처분을 받았거나 현재 검사가 진행 중인 정보 유출 사고 건수는 17건이었다. 카드 3사의 정보 유출에 대한 징계는 임직원에 대한 징계가 아직 확정되지 않아 제외됐다. 모두 더해 20건 가운데 금감원이 검사하다 적발한 사건은 1건에 불과했고 나머지는 사고 발생 이후 금융회사가 직접 보고했거나 수사기관이 금감원에 통보한 것이다. 금융사 임직원에 대한 징계는 주의, 주의적 경고, 문책경고, 직무정지, 해임권고 등 5단계로 이뤄진다. 그중 문책경고부터 중징계다. 하지만 17건 가운데 현재 검사가 진행 중인 스탠다드차타드(SC)은행과 씨티은행을 제외한 15건에서 문책경고 이상의 중징계를 받은 것은 한 건도 없었다. 과태료도 최대 600만원을 받는 데 그쳤다. 과태료 600만원은 ‘금융지주회사법’이 아닌 ‘신용정보의 이용 및 보호에 관한 법률’(신용정보법)의 적용을 받았기 때문이다. 금융지주회사법은 고객 정보의 엄격한 관리를 위해 고객정보 관리인 선임, 업무지침서 작성, 고객정보 취급방침 마련 등을 규정하며 이를 위반할 경우 5000만원 이하의 과태료를 부과하도록 돼 있다. 하지만 정보 유출 사태는 이 규정에 해당되지 않는다는 것이 금융당국 측의 해석이다. 신용정보법은 업무상 알게 된 타인의 신용정보를 업무 목적 외에 누설하거나 이용해서는 안 되고 신용정보전산시스템에 관해 보안대책을 수립하지 않았을 때 600만원 이하의 과태료를 부과하도록 규정돼 있다. 금융당국은 “개인정보 유출 금융사에 징벌적 과징금 제도를 도입하고 과태료 수준도 5000만원으로 올리는 등 제재 수준을 강화하는 방안을 추진하고 있다”고 말했다. 김진아 기자 jin@seoul.co.kr

브라질의 한 축구경기장 라커룸에서 네 명의 경찰관이 축구 팬 한 명을 곤봉으로 폭행하는 장면이 포착됐다고 4일(현지시간) 영국 일간지 메트로가 보도했다. 영상은 지난 일요일 브라질 중부 고이아스(Goiás) 주에서 열린 빌라 노바(Vila Nova)와 아틀레티코(Atletico GO)간의 라이벌 전에서 양측 팬들 간 몸싸움이 발생한 뒤, 경찰이 이를 진압하는 과정에서 몰래 촬영된 것으로 알려졌다. 사건에 개입된 경찰관들은 현재 조사를 받고 있으나, 징계여부는 아직 결정되지 않은 것으로 알려졌다. 한편 지난 1일에도 브라질 SC 코린티안스의 저조한 성적에 분노한 축구팬 100여명이 상파울로 소재 월드컵 센터에 철조망을 뚫고 침입해 팀의 공격수 파올로 게레로의 목을 조르고, 센터 직원들과 몸싸움을 벌이는 등 경찰이 도착할 때까지 한동안 소동을 벌인 것으로 알려졌다. 이번 사태에 대해 피파(FIFA)측은 “월드컵을 앞두고 철저한 보안대책이 필요하다”면서 “공공기관과 민간 모두 축구팬들과 선수들, 관계자들의 안전을 보장하기 위해 노력해야 할 것” 이라는 입장을 전했다. 다행히 이번 사건으로 중상을 입은 사람은 없었지만, 4개월 앞으로 다가온 브라질 월드컵 안전대책 마련에 적신호가 켜졌다. 사진·영상=유튜브 장고봉 PD goboy@seoul.co.kr

브라질의 한 축구경기장 라커룸에서 네 명의 경찰관이 축구 팬 한 명을 곤봉으로 폭행하는 장면이 포착됐다고 4일(현지시간) 영국 일간지 메트로가 보도했다. 영상은 지난 일요일 브라질 중부 고이아스(Goiás) 주에서 열린 빌라 노바(Vila Nova)와 아틀레티코(Atletico GO)간의 라이벌 전에서 양측 팬들 간 몸싸움이 발생한 뒤, 경찰이 이를 진압하는 과정에서 몰래 촬영된 것으로 알려졌다. 사건에 개입된 경찰관들은 현재 조사를 받고 있으나, 징계여부는 아직 결정되지 않은 것으로 알려졌다. 한편 지난 1일에도 브라질 SC 코린티안스의 저조한 성적에 분노한 축구팬 100여명이 상파울로 소재 월드컵 센터에 철조망을 뚫고 침입해 팀의 공격수 파올로 게레로의 목을 조르고, 센터 직원들과 몸싸움을 벌이는 등 경찰이 도착할 때까지 한동안 소동을 벌인 것으로 알려졌다. 이번 사태에 대해 피파(FIFA)측은 “월드컵을 앞두고 철저한 보안대책이 필요하다”면서 “공공기관과 민간 모두 축구팬들과 선수들, 관계자들의 안전을 보장하기 위해 노력해야 할 것” 이라는 입장을 전했다. 다행히 이번 사건으로 중상을 입은 사람은 없었지만, 4개월 앞으로 다가온 브라질 월드컵 안전대책 마련에 적신호가 켜졌다. 사진·영상=유튜브 장고봉 PD goboy@seoul.co.kr

올 3월 동시다발로 전산 사고를 겪은 금융회사 5곳이 금융감독원의 징계를 받았다. 그러나 당초 금감원이 엄중한 조치를 내릴 것이라고 공언했던 것과 달리 9개월이라는 긴 시간의 검사에도 불구하고 징계는 경징계로 끝났다. 금감원은 지난 3월 20일 전산사고가 난 농협중앙회와 농협은행, 농협생명보험, 농협손해보험, 신한은행, 제주은행을 검사한 결과 전산 보안대책 수립·운용 과정에서 잘못이 확인돼 농협중앙회를 제외한 5곳에 대해 기관주의 조치를 하고 임직원 23명을 제재했다고 5일 밝혔다. ‘3·20 전산대란’은 금융사와 KBS 등 언론사 전산이 동시에 마비된 사건이다. 금감원은 해당 회사 직원들이 악성코드에 감염된 사이트에 접속했고 해커가 이를 통해 악성코드를 뿌린 것이 사고의 원인이 된 것으로 결론냈다. 특히 농협중앙회는 농협은행과 농협생보, 농협손보의 정보기술(IT) 업무를 위탁받아 운영하면서 방화벽 보안정책과 백신 업데이트 서버를 제대로 관리하지 않아 사고 원인을 제공한 것으로 나타났다. 이에 더해 장애가 발생했는데도 별도의 대책을 마련하지 않아 똑같은 장애가 생기게 했고 일부 백업 데이터가 손실됐는데도 이를 몰랐던 것으로 드러났다. 금감원은 다만 농협중앙회에 대한 제재 권한이 없어 감독관청인 농림축산식품부에 검사 결과를 통보했다. 농식품부는 이와 관련해 농협중앙회에 경영진 등 관련자를 중징계하라고 지시했다. 이번 제재는 금감원이 위법·부당 행위가 확인되면 경영진에 대해서도 엄중하게 조치할 방침이라고 발표한 것과 달리 예상보다 징계 수준이 낮았다. 3·20 전산대란은 금융당국이 지난 7월 대형 전산 사고가 날 경우 최고경영자(CEO)가 중징계를 받을 수 있도록 금융전산 보안 강화 종합대책을 마련했을 정도로 큰 사건이었다. 김진아 기자 jin@seoul.co.kr

지난달 20일 발생한 방송사·금융기관에 대한 대규모 해킹은 그동안의 사이버 공격과 마찬가지로 북한의 소행으로 결론났다. 정부가 그제 발표한 ‘3·20 해킹’ 내용에 따르면, 북한은 8개월 전부터 우회접속 경로를 통해 이들 기관의 전산망에 악성코드를 심은 뒤 공격을 감행했다. 이전보다 더 치밀하게 대비해야 한다는 경각심을 갖기에 충분하다. 무엇보다 미사일 발사 징후, 개성공단 폐쇄 등 북한의 잇단 위협과 맞물려 사이버 도발이 이뤄졌다는 점에서 그 심각성을 더하고 있다. ‘3·20 해킹’ 합동대응팀이 공격 주체로 지목한 북한의 정찰총국 산하에는 1만 2000여명의 해커가 있고, 이 중 1000여명은 중국 등 해외에서 암약하고 있다고 한다. 이들은 그간 4만 8000여건의 국내 사이트를 공격했다. 국내 전산망을 풀방구리에 쥐 드나들듯 자유자재로 유린한 셈이다. 이처럼 어느 나라보다 촘촘히 연결된 우리의 인터넷망은 사이버 공격에 매우 취약하다. 북한은 심각한 경제적 궁핍 속에서도 2000년대 중반부터 돈은 덜 들고 공격 효과가 큰 사이버 인력 양성에 주력해 왔다. 이른바 ‘사이버 전사들’이다. 이들은 군사적인 목적 외에도 기업체 해킹을 통한 외화벌이에도 투입된다고 한다. 2009년 디도스 공격과 2011~12년 농협 및 언론사 전산망 마비 사태에서도 우리는 북한의 지능화한 사이버 공격 수법을 여실히 보았다. 이번 사태는 총체적인 사이버 안전망이 하루속히 구축돼야 한다는 점을 보여주었다. 특히 악성코드에 대한 보안대책으로 마련한 기업의 배포 서버가 해킹의 도구로 악용돼 민·관·군의 합동 대응만이 피해를 줄일 수 있다는 것을 입증했다. 서버들이 전산망을 마비시키는 ‘숙주 역할’을 했다는 점에서다. 또한 해외 서버를 활용한 공격 경유지도 다양해져 만일 주요 사회간접자본에 대한 동시다발적 사이버 공격이 이뤄진다면 사회적 대혼란을 겪을 수 있음을 확인케 했다. 사이버 방어는 휴전선 철책을 지키는 일 못지않게 중요해졌다. 숭숭 뚫린 사이버망을 방치했다간 제2의 사이버 테러는 언제든지 발생한다. 우리는 사이버 공격이 발생할 때마다 실효성 있는 대책을 세우라고 주문한 바 있다. 정부는 미국과 중국이 사이버 공격을 새로운 유형의 전쟁으로 간주하고 예산 증액에 잇따라 나서고 있는 사례를 본보기로 삼아야 할 것이다. 국민들도 일상 생활에서 사이버 안보의식을 가져야 대형 참사를 막을 수 있다.

다양한 스마트기기의 확산과 소셜네트워크서비스(SNS) 이용 증가 등으로 엄청난 양의 데이터가 쏟아지고 있다. ‘빅데이터’ 시대를 맞아 정부와 기업들은 빅데이터를 경쟁력 강화 방안으로 삼고 있다. 빅데이터는 그동안 ‘존재하지만 포착할 수 없었던’ 사람들의 속내와 욕망을 파악하고 숨겨져 있던 흐름이나 추세를 잡아낼 수 있는 유용한 도구다. 이 때문에 빅데이터를 마케팅에 활용하는 기업들이 늘고, 축적된 각종 국가통계를 사회적인 목적에 활용하기 위한 정부 차원의 시도도 본격화되고 있다. 하지만 많은 기업은 보안 때문에 빅데이터의 분석을 망설이고 있는 것으로 나타났다. 해커들이 축적된 빅데이터를 공략할 것이 뻔하기 때문이다. 이에 따라 엄청나게 많은 데이터의 보안을 어떻게 유지할 것인지가 숙제로 남아 있다. 빅데이터는 개인정보뿐만 아니라 위치·의료기록·대출 정보 등이 담겨 있기 때문에 해킹으로 인해 정보가 유출될 경우 피해가 더욱 커질 수 있다. 빅데이터 시대의 화두 역시 보안이다. 29일 네트워크장비 전문업체 시스코가 전 세계 18개국 정보기술(IT) 전문가 1800명을 대상으로 빅데이터에 관한 인식을 조사한 결과 빅데이터 분석이 어려운 첫 번째 이유로 보안문제가 꼽혔다. 조사결과에 따르면 응답자의 27%가 데이터 보안을 지목했고 예산 부족(20%), 인력 부족(15%) 등이 뒤따랐다. 특히 보안에 대한 우려가 커 48%는 향후 빅데이터 도입 추진 과정에서 IT 정책 및 보안 수단이 강화돼야 한다고 답했다. 전문가들은 방대한 데이터 수집과 분석, 활용이 기업의 경쟁력으로 연결되는 빅데이터 시대에는 개인정보를 노린 범죄가 더 기승을 부릴 수 있다고 지적한다. 예를 들어 개인이 자발적으로 제공한 개인정보나 SNS에 올린 글과 사진, 카드 사용 내역, 위치정보 등이 데이터베이스(DB)에 축적돼 사생활을 고스란히 드러내는 정보로 재탄생할 수 있다. 트위터나 블로그 등에 올린 내용을 통합분석하면 특정인의 생활패턴을 파악할 수 있다는 것이다. 미국 디지털 매체 와이어드 기자인 매트 호난은 애플의 클라우드 서비스 ‘아이클라우드’ 계정이 해킹돼 모든 데이터가 삭제된 적이 있다. 호난의 아이클라우드 계정에 들어간 해커는 비밀번호를 초기화하고 아이폰, 아이패드, 맥북에 담긴 데이터를 차례로 지웠다. 해커는 호난의 트위터, 블로그 등 다른 경로를 파악해 전자메일 주소, 신용카드 마지막 네 자리를 알아낸 뒤 아이클라우드 계정을 해킹한 것으로 알려졌다. 박춘식 서울여대 정보보호학과 교수는 “국내 기업들도 서비스나 마케팅에 빅데이터를 활용하는 사례가 늘고 있다”며 “빅데이터는 개인에 대한 더 많은 정보를 담고 있기 때문에 해킹될 경우 프라이버시 침해 우려가 심각하다”고 밝혔다. 박 교수는 “지능형지속위협(APT) 등 방어하기 어렵고 끊임없이 발생하는 신종 해킹 위협을 고려할 때 더욱 강력한 보안대책을 만들어야 한다”고 말했다. ‘3·20 사이버테러’에 사용된 것으로 보이는 APT는 페이스북이나 트위터와 같은 SNS로 위장해 메일을 보낸 뒤 단축 인터넷주소(URL)나 첨부파일을 열어보도록 유도한다. 기업이나 이용자들은 자신도 모르는 사이에 PC가 악성코드에 감염돼 주요 DB 접근 권한이나 계정 등을 유출당하게 된다. APT는 3개월에서 길게는 2~3년 동안 지속적으로 해킹한다. 3500만 이용자 계정이 탈취된 싸이월드 해킹이나 1300만 이용자의 개인정보가 유출된 넥슨 해킹 또한 APT에 의한 피해였다. APT는 공격대상의 PC에 침투한 후 해커가 빼내갈 정보를 알아낸 뒤 이를 수집하여 유출하는 네 가지 단계로 이뤄져 공격을 감지하기가 쉽지 않다. 하지만 매일 대량의 데이터가 생성되고 축적되는 상황에서 빅데이터의 활용은 거스르기 어려운 흐름이 되고 있다. 따라서 부작용을 최소화하는 방안을 마련해야 한다고 전문가들은 주장한다. 신동휘 라온시큐어 보안기술연구팀 선임연구원은 “빅데이터에는 개인이나 기업의 핵심 정보들이 있을 수 있다”며 “데이터 암호화, 본인확인기관 검증, 모니터링 강화 등 빅데이터 시대에 맞는 보안체계를 만들어야 한다”고 강조했다. 이어 “이론적이긴 하지만 기업들도 보안 관련 교육을 꾸준히 실시하고 백신 업데이트와 최신 버전 사용 등은 기본”이라고 덧붙였다. 빅데이터 시대 정보 보호는 개인정보 유출이나 해킹 차단 등에 그치는 것이 아니라 정보 수집과 이용 과정의 투명성과 정보주체의 선택권을 확대해야 한다는 의견도 있다. 박 교수는 “빅데이터가 범죄 등에 악용되지 않도록 법과 제도를 통해 철저하게 관리해야 한다”면서 “정부는 기업들이 고객의 DB를 잘 관리하고 있는지 감독하고 기술적, 제도적 보호조치 방안에 대한 준비를 해야 한다”고 설명했다. 홍혜정 기자 jukebox@seoul.co.kr

북한은 해킹 공격 당일 10개국으로 분산된 17개 해외 경유지 서버를 활용해 중앙일보 신문제작시스템을 삭제하는 악성코드를 재전송하는 수법을 사용했다. 위장을 위해 이용된 해외 경유지 서버 중 1대는 2011년 3월 4일부터 이틀간 벌어진 이른바 3·4 디도스 공격과 같은 해 4월 농협 전산망 해킹 사건 때 이용된 서버와 같았다. 경찰 관계자는 16일 “전 세계 IP 주소 약 40억개 중에서 한 IP가 우연히 서로 다른 3개 사건에 동시에 공격 경유지 서버로 사용될 가능성은 0％에 가깝다”고 설명했다. 경찰이 북한을 주범으로 꼽는 이유다. 북한 소행이라는 근거로 경찰은 악성코드가 동일하다는 점도 들었다. 중앙일보 해킹에 사용된 16자리 숫자·영문자·특수문자 조합 악성코드가 과거 북한 소행 해킹 사건 때 사용된 악성코드와 똑같았다. 경찰 관계자는 “16자리 관리자 정보 암호 해독에 사용되는 악성코드 키값은 문자와 숫자, 특수문자 조합으로 이뤄지며 제작자가 마음대로 부여한 값이기 때문에 동일 공격자만이 알 수 있다”고 전했다. 북한이 우리나라 웹사이트에 사이버테러를 감행하다가 적발된 것은 다섯 번째다. 앞서 북한은 2009년 7·7디도스 공격, 2011년 3·4 디도스 공격, 같은 해 농협 전산망 해킹과 고려대 이메일 악성코드 유포 등의 사이버 테러를 감행한 바 있다. 7·7 디도스 공격 당시 북한은 체신성 아이피 대역을 이용하는 27만대 좀비 PC를 동원, 전 세계 61개국 435대 서버를 활용해 한국과 미국 주요 기관 등 모두 35개 주요 사이트를 공격했다. 3·4디도스 공격 때는 좀비 PC 10만대를 동원, 해외 70개국 746대 서버를 활용해 청와대, 국회, 언론사 등 국내 정부기관 40개의 사이트를 공략했다. 북한 사이버 테러 대상은 점차 다양해져 한 달여 만에 다시 농협 전산망까지 손댔다. 북한은 해외 13개국에서 27대의 서버를 활용해 농협 금융전산망을 뚫었고 악성코드에 감염된 농협 PC 273대가 파괴됐다. 지난해 4월에는 북한에 대한 비판기사를 썼다는 이유로 국내 보수 언론사 몇 곳에도 선전포고를 했다. 경찰이 분석한 해킹 접속기록을 보면 북한 해커는 지난해 4월 21일부터 약 두 달간 중앙일보의 주요 피해 서버에 집중적으로 접속했다. 이 기간 북한이 악성코드를 심었고, 관리자 PC에 저장된 서버 관리 정보를 해외를 거쳐 이즈원으로 송출했다. 이 정보는 직접적인 해킹 공격에 이용됐다. 이즈원은 공격 당일 10개국으로 분산된 17개 해외 경유지 서버를 활용해 신문제작시스템을 삭제하는 악성코드를 다시 전송했다. 이 명령은 6월 9일 신문 제작에 필요한 일부 서버를 타격했다. 한편 북한의 사이버테러능력은 상당 수준에 올랐다는 것이 전문가들의 평가다. 이동훈 고려대 정보보호대학원 교수는 “북한은 전자전과 서비스 거부 공격, 해킹, 심리전 등 다양한 사이버 공격력을 갖춘 것으로 보인다”고 말했다. 정부기관이나 금융기관, 언론사 등으로 해킹 대상이 갈수록 다양화되고 있어 해당 기관들의 보안대책이 시급하다는 지적이다. 김정은 기자 kimje@seoul.co.kr

서울 세종로 정부중앙청사에서 가짜 출입증으로 무단침입한 남성의 방화·투신 사건이 발생한 다음 날인 15일 정부청사들은 일제히 경비 및 보안점검을 대폭 강화하고 나섰다. 이에 “소 잃고 외양간 단속하는 뒷북 행정”이라는 지적이 이어지고 있다. 청사를 관리하는 주무부처인 행정안전부는 이날 정부중앙청사를 비롯해 과천·대전·세종 청사에 자동인식출입시스템(스피드게이트)을 추가로 설치하기로 하는 등 보안 강화 대책을 마련했다고 밝혔다. ●공항 출입국 심사 방불 행안부는 이날 오전 청사 내 입주부처 운영과장 회의를 긴급 개최한 뒤 후속대책을 내놨다. 당장은 현재 중앙청사 후문 출입구에만 설치된 자동인식출입시스템을 청사 정문 등 3개 출입구에 추가로 설치하기로 한 것. 과천과 대전, 세종 청사의 출입구에도 예외 없이 이 시스템이 일제히 설치된다. 청사관리소 관계자는 “시스템을 모두 추가하는 데는 2개월여가 소요될 것”이라면서 “금속물 등 위험물 운반 여부를 확인하는 각 청사 내 보안검색대도 24시간 운영하기로 했다.”고 말했다. 전날 방화·투신 사건을 저지른 김모(61·사망)씨는 보안검색대가 운영되지 않는 주말 정오 시간을 틈타 인화성 물질인 휘발유 등을 청사로 반입했다. 또 외부 방문자의 신분확인 절차도 더욱 깐깐해진다. 담당 공무원이 청사 로비까지 내려와 방문객을 확인한 뒤 인솔해 가야 한다. 느슨한 보안으로 ‘허’를 찔리자 청사들은 뒤늦게 비상이 걸렸다. 정부중앙청사의 경비는 공항 출입국 심사대를 방불케 했다. 경찰들이 출입문에서 공무원증과 출입증의 사진과 실물을 일일이 비교하는가 하면 가방이나 소지품은 빠짐 없이 보안검색대를 통과시킨 뒤 반입을 허용했다. 과천청사도 비상태세인 것은 마찬가지. 평소와 달리 출근시간과 점심 때도 청사 출입자와 차량에 대해 검문·검색을 강화했다. 외곽경비와 정문 출입을 단속하는 전투경찰의 인원부터 늘렸다. 점심시간 이후 각 건물의 출입문을 모두 개방했던 보통때와는 달리 검색대가 설치된 문을 빼고는 폐쇄했다. ●“중앙청사 뚫리다니… 이해 안돼” 그러나 ‘행정의 심장부’인 중앙청사가 뚫린 뒤 허둥지둥 내놓는 보안대책에 국민들의 시선은 곱지 않다. 공무원들조차도 의아스럽다는 반응이다. 중앙부처의 한 공무원은 “다른 청사들보다 출입 관리가 상대적으로 엄격하다는 세종로 청사에서 그런 사고가 일어난 것은 이해하기가 어렵다.”고 말했다. 한편 행안부는 전날 근무한 방호원들에 대한 자체 감사를 진행하는 등 향후 관련자를 징계할 방침이다. 이번 사건을 계기로 일반 민원인들의 정부기관 방문 절차에도 변화가 있을 것으로 예상된다. 서필언 행안부1차관은 “그동안은 청사를 이용하는 민원인의 편의를 중시하는 쪽에 무게를 뒀으나, 앞으로는 청사 보안을 강화하는 방향으로 운영 방침을 바꿀 것”이라고 밝혔다. 부처종합·안석기자 ccto@seoul.co.kr

서울 세종로 정부중앙청사에 불을 지른 뒤 투신자살한 60대 남성은 실직 이후 수억원대 빚을 지자 가족들에게 자주 자살 가능성을 내비쳤던 것으로 파악됐다. 15일 이 사건을 수사 중인 서울 종로경찰서는 김모(61)씨가 오랫동안 우울증을 앓아 왔고 약을 오랜 기간 복용했다고 밝혔다. 경찰은 이와 함께 정부청사가 일반인에 의해 쉽게 뚫린 것과 관련, ‘단순한 부주의’로 판단해 중앙청사경비대원 등의 형사처벌 가능성은 검토하지 않고 있다. 경찰 조사결과 김씨는 2008년 1월부터 사건 발생 1주일 전까지 2주 간격으로 불면증과 우울증 약을 복용했다. 김씨의 아내 조모(56)씨는 “‘20층에서 떨어져 죽어서 남은 사람들에게 불쌍한 모습을 보이겠다’고 말한 적이 있다.”면서 “지난 12일에도 내게 전화해서 ‘내가 너한테 용서받고 죽을 테니 집으로 오라’고 말했다.”고 진술했다. 경찰은 김씨가 자살 장소로 정부청사 내 교육과학기술부를 택한 이유에 대해서도 조사 중이다. 숨진 김씨는 지난 8월 자신의 블로그에 “기독교 단체의 끈질긴 청원에 교과부가 굴복, 교과서에서 시조새 내용을 삭제키로 했다.”면서 “정부중앙청사 후문 앞에서 1인 시위를 하자.”고 적은 바 있다. 경찰은 김씨가 정부중앙청사 출입증을 위조한 경위도 알아보고 있다. 김씨가 지난 8월 인터넷의 한 문서양식 사이트에서 9900원을 결제한 사실을 확인하고 당시 신분증 서식을 내려받았는지를 알아보고 있다. 경찰은 정확한 사인 및 추락경위 규명을 위해 16일 사체를 부검할 예정이다. 경찰은 피의자인 김씨가 사망한 만큼 불기소 의견으로 이 사건을 검찰에 송치할 계획이다. 한편 김기용 경찰청장은 이날 오전 서울 미근동 경찰청사에서 기자간담회를 열고 “정부청사의 경비 관리를 맡은 행정안전부와 함께 출입자 통제 및 검색 강화 등 추가 보안대책을 마련하고 있다.”고 말했다. 이범수기자 bulse46@seoul.co.kr

방송통신위원회 등 정부기관에서 ‘클라우드 컴퓨팅 서비스’를 정보기술(IT) 산업의 새로운 성장동력으로 육성하기 위해 동분서주하는 가운데, 국가정보원 등 다른 기관에서는 되레 기밀 자료 유출 가능성을 이유로 공공부문의 클라우드 사용을 제한하고 있어 적정성 논란이 커지고 있다. ●“정부자료 유출·좀비PC 양산” 10일 업계에 따르면 최근 국가정보원 소속 사이버안전센터는 ‘각급 기관 보안관리 강화를 위한 보안대책 통보’라는 공문을 통해 교육과학기술부 등에 클라우드 서비스 권고 차단 지침을 내렸다. 개인이 클라우드 서비스를 이용하는 과정에서 정부 자료들이 외부에 유출될 수 있고, 바이러스에 감염돼 좀비PC가 양산될 가능성이 있다는 이유에서다. 클라우드 서비스는 가상의 공간에 문서와 이미지, 동영상 등을 저장해 두고 무선랜 기반의 노트북PC, 태블릿, 스마트폰 등을 통해 자료를 내려받을 수 있도록 한 것을 말한다. 현대경제연구원에 따르면 세계 클라우드 컴퓨팅 시장은 2009년 796억 달러에서 2014년 3434억 달러까지 4배 이상 늘어날 것으로 전망된다. 국내 역시 연평균 30.5%씩 성장해 2014년에 2조 5000억원 시장으로 커질 것으로 예상된다. 현재 정부는 클라우드 서비스를 차세대 IT 성장동력으로 보고 2009년 ‘클라우드 컴퓨팅 활성화 종합계획’을 마련했고, 기존 인터넷데이터센터(IDC)를 클라우드 데이터센터로 업그레이드하기 위해 관련법 정비에도 나서고 있다. 방송통신위원회도 2012년 대통령 업무보고에서 “클라우드 컴퓨팅을 ‘7대 스마트 신사업’ 가운데 하나로 선정하겠다.”고 밝혔었다. ●“7대 스마트신사업 지정할 것” 하지만 국정원이 정부 부처와 대학 등에 클라우드 서비스 차단을 권고하면서 이들 기관 대부분이 서비스 사용을 중단한 상태다. 국정원이 사용을 금지한 클라우드 서비스는 모두 50여개로 마이크로소프트 오피스365, 구글 독스, KT, SK텔레콤, LG유플러스, NHN, 다음 등 국내외 대표 클라우드 서비스들이 모두 포함돼 있다. 이와 관련, 국정원은 지난해 10월까지 마련하기로 했던 모바일 보안 지침도 내놓지 않고 있어 공공기관들의 ‘모바일 오피스’ 도입이 지체되고 있다. 모바일 오피스는 클라우드 서비스에 기반해 언제 어디서나 사무실 업무를 볼 수 있는 환경을 제공하지만, 서울메트로를 비롯한 공공기관 10여곳은 인프라 구축을 마치고도 국정원이 보안 지침을 내놓지 않아 서비스를 써 보지도 못하고 있다. ●보안지침 안 내놔 인프라 ‘낮잠’ 최근 과도한 정부 규제가 국내 클라우드 서비스 산업 성장에 걸림돌이 된다는 지적에 따라 행정안전부와 방송통신위원회, 지식경제부가 개선방안 도출에 나서고 있지만, 실효성 있는 대안이 나올지는 미지수다. 업계 관계자는 “세계적으로 개화단계에 들어선 클라우드 서비스가 우리나라에서만 보안상 이유로 사용이 통제되고 있어 산업경쟁력 측면에서 결코 바람직하지 않은 상황”이라고 설명했다. 류지영기자 superryu@seoul.co.kr

2012년 12월 19일 오전 6시, 선거관리위원회 홈페이지에 ‘A정당 대통령후보 공식사퇴’라는 공지사항이 게시된다. 또한 그 후보의 홈페이지와 소셜네트워크서비스(SNS)에도 같은 내용의 성명서가 발표된다. 이 내용이 전파되면서 유권자들은 매우 커다란 혼란에 빠진다. 해당 후보는 TV 기자회견을 통하여 후보 사퇴 및 비리 연루 의혹이 사실이 아님을 밝히지만 일부 유권자들은 홈페이지에 있는 내용을 믿고 투표를 포기하거나 상대방 후보를 선택한다. 개표 결과 박빙의 승부 끝에 상대방 후보가 1% 포인트 차로 승리한다. 무슨 삼류 정치소설 같은 이야기냐고 비웃을지도 모르겠다. 하지만 지난 10·26 서울시장 보궐선거를 반추해 보면 전혀 불가능한 일도 아니다. 정보기술(IT) 강국이며 전자정부 세계 1위라는 대한민국에서 선관위 서버에 대한 디도스(DDos·분산서비스 거부) 공격이라는 전대미문의 사건이 발생하였기 때문이다. 이 사건을 두고 사람들의 관심은 온통 그 배후가 있는 것인지, 또한 윗선이 있다면 어디까지인지에만 쏠려 있는 것 같다. 그러나 사건의 배후보다 더욱 중요한 것은 우리 정부와 국회의원들이 사이버테러에 대해 얼마나 무관심하고 무지한지를 이번 사건이 극단적으로 보여주었다는 것이다. 올해만 해도 3·4 디도스 사건, 농협전산망 사건, 네이트 개인정보 유출사건 등 각종 대형 사이버사고가 발생하였음에도 18대 국회에서 ‘국가 사이버위기 관리법’, ‘악성프로그램 확산방지법’ 등 사이버 보안과 관련한 법안을 단 한 건도 처리하지 못하였다. 이번 사건의 배후를 밝히는 것은 수사당국에 맡기고, 지금 정부와 정치권이 시급히 해야 할 일은 사이버 보안과 관련한 법 제도를 정비하고 사이버 테러에 대해 만반의 대비를 하는 것이다. 특히 이번 선관위 사이버 공격을 반면교사로 삼아 현행 ‘전자정부법’을 개정, 지금은 정부의 보안조치대상에서 제외되어 각자 개별적으로 보안대책을 수립·시행하는 국회·법원·헌법재판소·선거관리위원회 등과 같은 헌법기관에 대해서도 정부차원의 종합적인 사이버 보안 관제가 이루어질 수 있도록 국가 사이버위기관리 체계를 개편할 필요가 있다. 중장기적 과제로는 향후 시행이 예상되는 사이버 선거에 대해서도 미리 철저한 대비를 할 필요가 있다. 사이버 선거는 단순히 종이에 도장을 찍고 득표 숫자를 확인하는 것보다 훨씬 복잡한 첨단 기술이 요구되는 분야이다. 갈수록 지능화되고 첨단화되는 사이버 영역에서 공정한 선거관리를 위해서는 ‘사이버 선거관리위원회’의 조직 및 기능을 확대·강화해야 한다. 당연히 사이버 보안 전문인력의 확보와 양성에도 힘써야 할 것이다. 사이버 선거 관리에는 사이버 공간에서의 불법선거운동을 색출하는 것뿐만 아니라 해킹·바이러스 등과 같은 사이버 테러에 대한 예방 및 대응활동도 당연히 포함된다. 유언비어 유포·중상모략 등 사이버 불법선거운동을 없애고, 사이버 공격에 대한 취약성을 보완하기 위해서는 후보자들의 개인 홈페이지를 선관위의 홈페이지와 연계하여 체계적으로 관리할 필요가 있다. 특히, 내년 선거에는 약 200만명의 해외 유권자가 투표에 참여할 것으로 예상되는 바, 해외 유권자에게 후보자들에 대한 정확하고 자세한 정보를 제공하기 위해서는 선관위의 홈페이지만으로는 부족하고 후보자들의 개인 홈페이지가 유용한 수단으로 활용될 것이다. 하지만 개별적으로 관리되는 개인 홈페이지는 사이버 공격에 취약할 수 있기 때문에 선관위가 후보자의 개인 홈페이지 관리를 지원한다면 보안관제 모니터링을 통하여 후보자에 대한 불법선거운동을 색출할 수 있고 사이버 공격에 대한 예방·대응 활동도 보다 효과적으로 할 수 있을 것이다. 이번 선관위 디도스사건은 사이버 공격의 기술적 측면에서는 매우 초보적 수준이었다. 그러나 실제 사이버 테러는 이 보다 훨씬 높은 수준의 가공할 파괴력을 가진다. 여당도, 야당도 피해 당사자가 될 수 있다. 이제라도 여야는 정치적 이해득실을 버리고 오로지 국가안보적 차원에서 사이버 보안을 위한 법제 정비 및 추진체계 개편에 혼신의 노력을 경주해야 할 것이다.

개인정보보호법이 시행된 지도 한 달이 훌쩍 지났다. 주요 언론들의 크고 작은 보도도 있었지만, 이 법이 시행됨에 따라 개인정보를 취급하는 모든 기업과 기관·단체들은 시행령·시행규칙과 각종 고시·지침 등 후속 규범들을 예의주시하면서 앞으로 대처 방법과 투자 적정성 문제 등을 놓고 고심을 거듭하고 있다. 개인정보보호법은 일반법이다. 따라서 국내에 등록된 모든 기업, 기관, 단체들을 빠짐없이 규율하게 된다. 법 적용 대상 사업자 수는 무려 350만 곳이고 개인정보를 처리하는 개인사업자나 정보주체인 국민 개개인까지 포함하면 사실상 전 국민을 규율하는 만만찮은 규범이다. 이처럼 중요한 개인정보보호법이 성공적으로 정착되려면 적용대상인 업계 및 일반 국민의 반응도 매우 중요하다. 시행 한 달여 만에 업계의 반응을 속단하는 것은 무리지만, 크게 보아 두 가지 정도로 요약해볼 수는 있을 듯싶다. 하나는 정보보호의 중요성에 대한 공감이다. 정보주체인 국민의 권리의식이 과거보다 현저히 높아졌을 뿐 아니라 ‘글로벌 스탠더드’로 떠오른 개인정보보호 문제를 소홀히 해서는 안 된다는 총론에는 대부분 공감을 나타내고 있다. 문제는 ‘무엇을 어떻게 할 것인가’와 그에 따른 ‘실제적 부담’ 문제인 것 같다. 기업의 입장에서 가장 큰 부담은 ‘사업자의 책임’이 크게 강화됐다는 점이다. 개인정보보호법은 개인정보보호책임자(CPO)와 법인에 대한 양벌규정을 통해 관리적 책임을 강하게 묻고 있다. 또 문제가 발생했을 때의 ‘입증책임’이 정보처리자에게 지워진다는 점도 기업 입장에선 부담스러울 수밖에 없다. 주민번호 등 ‘고유식별정보’의 암호화 조치 의무 등 비용과 투자가 수반되는 경우도 적지 않다. 이처럼 기업에 큰 부담이 돌아가는 일이라면 정부가 법 시행을 위한 사전 교육과 홍보에 좀 더 노력했어야 하지 않았나 지적하는 목소리도 업계 일각에서 고개를 들고 있다. 350만 사업자의 대표단체를 자임하는 우리 협의회도 시행령 등 마련 과정, 당국과의 간담회 등을 통해 이러한 요구를 충분히 전달했다. 정부 당국도 문제점을 충분히 인지하고 있다고 생각된다. 다만, 올해는 가용 예산을 제대로 세워놓지 못한 상태에서 법이 통과되는 바람에 뜻한 바만큼 교육·홍보에 투자하지 못했다는 해명도 어느 정도는 이해할 수 있는 대목이다. 사실 예산보다 더 중요한 것은 정책이고, 지향이다. 솔직히 우리는 정부 당국에 한두 가지 우려의 시각을 갖고 있다. 하나는 법 만능, 행정 만능의 사고방식이다. 개인정보보호 문제는 법제도적 뒷받침이 일차적 과제임을 부인할 수 없다. 지난 수년간, 이 부분에서 정부가 나름대로 상당한 노력을 기울였음은 긍정 평가하고 싶다. 하지만, ‘행정’의 특성 혹은 공무원들의 ‘일하는 방식’의 특성상 또 다른 허점이 드러날 수 있다는 것 또한 부인해서는 안 될 것이다. 기본적으로 ‘정보 안심 사회’는 정보주체들의 마인드가 달라지고, 일하는 방식과 행태·습관까지 바뀌어야만 달성될 수 있는 궁극 목표이다. 법 경시를 부추기자는 건 결코 아니지만, 법은 기본적으로 ‘만능’이 아니다. 특히 정부의 견해에서 개인정보보호법은 ‘양날의 칼’이 될 수도 있다. 잘 쓰면 좋지만, 잘못 쓰면 법 경시 풍조를 더욱더 부추기게 될 수도 있다는 말이다. 이러한 관점에서, 개인정보보호 문제를 근본적으로 해결하려면-보안대책 일변도가 아니라-국민의 의식과 행태를 바꾸는 게 가장 확실한 방법이 아닌가 생각된다. 바로 ‘정보 안심 사회’를 캐치프레이즈로 하는 범국민운동의 필요성을 말하는 것이다. 한 가지가 또 있다. 개인정보보호는 새로운 ‘정부 규제’가 아니며 국제화시대 기업의 ‘필수 사회적 책임’이라는 사실을 일깨우기 위해서라도 ‘민간자율규제’는 소홀히 해서는 안 될 핵심 정책이 되어야 할 것이다. 이 부분에 대한 정부 당국의 깊은 정책적 고려가 있기를 바라마지 않는다.

22일 국회 문화체육관광방송통신위의 방송통신위원회 국정감사에서는 개인정보 유출에 대한 정부의 부실 대응이 도마에 올랐다. 올해 농협, SK컴즈, 현대캐피탈 등에서 잇따라 대형 개인정보 유출 사고가 터졌지만 방송통신위원회의 대책은 부실하기 짝이 없다고 여야 의원들은 입을 모았다. 민주당 전병헌 의원은 “2008년 1월 이후 1억 600만명의 개인정보 유출이 발생했는데 개인정보 보호 정책은 제대로 이뤄지지 않고 있다.”면서 “매년 수백억원에 이르는 금액을 정보보호 강화에 사용하고 있지만 오히려 정보 유출은 증가하는 상황”이라고 질타했다. 한나라당 조진형 의원 역시 “방통위가 SK컴즈 사건이 발생하고 나서야 기업의 과도한 개인정보 수집을 제한하겠다며 사후약방문식 대책을 내놓고 있다.”고 방통위를 몰아세웠다. 조 의원은 “SK 컴즈는 물론 삼성카드, 하나SK카드 등의 고객정보 유출 사건에서 보듯 기업의 개인정보 보호 관리에 대한 도덕적 의식도 턱없이 부족하다.”고 지적했다. 자유선진당 김창수 의원은 “국내 기업 중 63.5%는 자사 시스템에 대한 보안투자가 전무한 실정”이라면서 “기준 이상의 보안대책을 마련하지 않거나 보안침해 사고가 있는 기업에 대해 정부 공사·용역 발주에서 페널티를 주는 등 강력한 제재 조치를 취해야 한다.”고 주장했다. 이에 대해 최시중 방통위원장은 “개인정보의 95%가 민간부문이라서 정부가 관리하기에는 한계가 있다.”면서 “앞으로 기업 차원에서 정보보호 체계를 구축하고 보안관리 책임자를 의무적으로 두도록 제도를 개선하겠다.”고 답변했다. 방통위는 개인정보 보호 수준 제고 등을 위해 지난해 439억원, 올해 261억원의 예산을 편성했다. 이재연기자 oscal@seoul.co.kr

이른바 ‘알몸 투시기’로 불리며 인권침해 논란을 불러일으켰던 전신검색대를 대체할 새로운 보안 검색대가 영국 히스로우 공항에 도입됐다. 영국은 테러에 대비하고 보안대책을 강화하기 위해서 지난해부터 공항에 흑백 전신촬영 검색대를 도입한 바 있다. 이 검색대는 승객들의 신체를 다소 적나라하게 드러내고 수술흔적 등을 노출 시킬 수 있어 사생활 및 인권침해 논란이 끊이지 않았다. 영국 일간 가디언에 따르면 최근 히스로우 공항에 새로운 전신스캐너 소프트웨어가 도입했다. 기존의 검색대가 X-레이를 이용했던 것과 달리 저출력 무선전파를 이용한 프로비전 L3(ProVision L3)란 소프트웨어는 승객의 전체적인 신체 윤곽만 추상적으로 드러내기 때문에 신체가 노출될 위험이 없다. 또 보안요원과 승객이 그 자리에서 함께 스캐너를 확인할 수 있다는 장점도 있으며, 승객이 무기나 폭발물을 소지할 경우 위험부분이 노란색 네모로 나타나게 설계돼 보안검색이 더욱 용이하다. 영국 항공국(BAA)의 이언 허체슨 국장은 “승객들을 불편하지 않으면서도 높은 보안 수준을 유지할 수 있다는 점에서 새로운 검색대 도입은 긍정적”이라고 평가하면서 “보안검색 기술에 더 많은 기회가 펼쳐질 것”이라고 기대했다. 강경윤기자 newsluv@seoul.co.kr