한양사이버대학교가 교육부 주관 ‘2026년 대학 개인정보보호 수준진단’에서 총점 100점으로 최고 등급인 ‘매우 우수’(A등급)를 받았다고 22일 밝혔다. 지난해 99.5점에 이어 2년 연속 최고 등급이다. 교육부 개인정보보호 수준진단은 대학의 개인정보 관리체계와 보호대책, 침해사고 대응체계 등을 점검·평가하는 제도다. 한양사이버대는 이번 평가에서 ‘보호대책 수립 및 이행’과 ‘침해사고 대책 수립 및 운영’ 분야 모두 만점을 받는 등 전 분야에서 최고 수준을 기록했다. 개인정보 수집·이용부터 접근권한 관리, 접속기록 점검, 유출사고 대응까지 전 과정의 관리 수준을 인정받았다. 대학 측은 정보보호실을 중심으로 정보보호 관리체계(ISMS) 인증을 유지하고, 전 교직원 개인정보보호 교육과 사이버공격 대응 모의훈련 등을 지속한 결과라고 설명했다.

시너지월드와이드코리아(지사장 김혜련, 이하 시너지코리아)는 한국인터넷진흥원(KISA)으로부터 정보보호 관리체계(ISMS) 인증을 획득했다고 밝혔다. ISMS는 기업이 보유한 정보와 정보시스템 등 주요 정보자산을 보호하기 위한 관리체계를 수립하고 이를 적절하게 운영하고 있는지 확인하는 국가 인증제도다. 심사는 정보보호 정책과 조직, 접근 권한 관리, 시스템 운영, 사고 대응 및 복구 등 총 80개 인증기준을 대상으로 이뤄진다. 인증은 3년간 유효하며, 인증 이후에도 관리체계가 지속적으로 운영되고 있는지 확인하기 위한 사후심사가 매년 진행된다. 시너지코리아는 회원가입부터 주문에 이르기까지 온라인 서비스 전반에서 취급되는 정보를 엄격히 관리해 왔다. 시스템 및 주요 정보에 대한 접근 권한을 철저히 제어함은 물론, 보안 침해나 시스템 장애가 발생했을 때 신속히 조치할 수 있는 대응·복구 체계를 마련해 가동하고 있다. 이와 함께 전 임직원을 대상으로 정례적인 정보보호 교육을 병행하며 체계적인 관리 기조를 이어가고 있다. 본 인증을 바탕으로 시너지코리아는 온라인 쇼핑몰 및 대외 서비스 운영 분야(미심사 물리적 인프라 제외)의 정보보호 관리체계가 국가 표준에 적합함을 검증받았다. 향후에도 시너지코리아는 정기적인 사후심사와 인증 연장 절차를 거쳐 정보보호 관리 실태를 면밀히 점검하고, 침해 대응 및 보안 역량을 지속적으로 고도화할 계획이다. 김혜련 시너지월드와이드코리아 지사장은 “정보보호에 대한 신뢰는 인증 자체보다 관련 기준을 실제 운영에 지속적으로 적용하는 과정에서 쌓인다고 생각한다”며 “앞으로도 회원정보를 비롯한 주요 정보자산의 보호를 중요한 운영 원칙으로 삼고, 이용자가 안심하고 서비스를 이용할 수 있는 환경을 만들어 나가겠다”고 말했다. 한편 시너지월드와이드의 모기업 네이처스 선샤인(Nature’s Sunshine)은 1972년 설립 이후 건강식품 연구와 품질관리 체계를 구축해 왔다. 시너지월드와이드와 네이처스 선샤인은 NSF GMP, TGA GMP, ISO 9001, ISO/IEC 17025 등 제조·품질·시험 분야의 인증 및 인정을 보유하고 있다. 시너지월드와이드는 이러한 제조 및 품질관리 체계를 바탕으로 글로벌 건강식품 전문기업으로 사업을 전개하고 있다.

대규모 회원을 보유한 온라인 쇼핑몰과 온라인동영상서비스(OTT), 미용의료정보·음악·영상 플랫폼까지 개인정보가 줄줄 새면서 소비자 불안이 커지고 있다. 해킹 등 정보 탈취 수법은 나날이 고도화하는데 이에 대한 정부와 기업의 대응은 부실하기 짝이 없어 피싱 등 2차 피해 우려가 일상화하는 상황이다. 개인정보 유출은 지난해 SK텔레콤·KT 등 통신사와 롯데카드, 쿠팡 등에 이어 올 들어서는 업종을 가릴 것 없이 전방위로 확산일로다. OTT 티빙에서는 최근 약 3954만개 계정의 개인정보가 유출됐다. 전자지급결제대행(PG) 토스페이먼츠에서도 가맹점의 결제 연동 인증정보 수천건이 노출돼 제3자가 결제 내역을 조회하는 사고가 터졌다. 미용의료정보 플랫폼 강남언니 운영사에서도 이용자 약 22만명의 상담·시술 정보가 유출됐다. 이뿐이 아니다. 음악·영상소스 플랫폼 뮤팟에서도 일부 이용자들의 개인정보가 반출됐다. 특히 지난 8월 16만건의 개인정보를 유출한 무신사는 사고 전 정부의 정보보호 관리체계(ISMS) 인증 심사를 통과했던 것으로 드러나 정부 관리체계가 무용지물이라는 비판이 나온다. 한국인터넷진흥원(KISA)은 지난 6월 무신사에 보낸 ‘ISMS 인증 심의 결과’ 문건에서 ‘인증 적합’을 통보했는데 인증을 받은 지 2개월 후 무신사의 온라인 패션몰 29CM에서 개인정보가 새어나갔다. 잇따른 개인정보 유출 사고에 정부가 제도를 대폭 강화하겠다고 밝혔지만 공염불이었던 셈이다. 이재명 대통령은 최근 티빙의 부실한 보안 조치를 질타하며 “제재 실효성을 높여야 한다”고 대응책 마련을 지시했다. 정부는 지난 11일부터 반복적이거나 고의·중과실로 1000만명 이상 유출 사고를 낸 기업에 매출액의 10%까지 ‘징벌적 과징금’을 부과하기 시작했다. 정보보호 인증은 물론 제재의 실효성을 높여 사고를 예방하고 정보 유출에 대한 책임을 강화해야 한다.

NC 다이노스가 프로야구 구단 최초로 국가 공인 정보보호 관리체계(ISMS) 인증을 획득했다. 과학기술정보통신부와 한국인터넷진흥원(KISA)이 운영하는 ISMS(Information Security Management System)는 기업이 운영하는 정보보호 관리체계가 국가 공인 인증 기준에 적합하게 구축·운영되고 있는지 종합 심사하는 제도다. 최고 수준의 정보보안 역량이 요구되는 인증 제도로 관리체계 수립·운영(16개), 보호 대책 요구사항(64개) 등 총 80개에 달하는 까다로운 심사 항목을 단 하나의 중대한 결함 없이 모두 충족해야 한다. 워낙 절차가 까다롭고 검증기간도 길어 주로 금융권이나 대형 IT 기업, 이커머스 기업들이 주로 취득했다. 지금까지 프로스포츠 구단이 이런 국가적 수준의 엄격한 정보보안 관리체계를 외부 컨설팅 없이 자체 역량으로 구축해 공식 인증까지 취득한 사례는 없었다. NC는 프로야구 인기 상승과 더불어 구단 공식 플랫폼을 통한 경기 티켓 및 MD 상품 구매 등 온라인 거래와 이용자가 급증함에 따라 수집되는 팬들의 개인정보와 거래 데이터를 선제적이고 철저하게 보호하기 위해 인증 취득을 추진해왔다. 과기정통부 인증 의무 대상 지정 이후 약 8개월간 정보보안 관리체계를 체계적으로 정비하고 점검을 진행했으며 지난 4월 본 심사와 6월 결함 보완을 거쳐 7월 15일 최종 인증을 획득했다. 이번 인증을 통해 NC는 단순한 스포츠 마케팅을 넘어 팬들의 개인정보 보호 수준을 국내 최고 수준으로 격상시켰으며 팬들이 공식 디지털 채널을 이용할 때 발생할 수 있는 보안 리스크를 선제적으로 예방·대응하는 신뢰도 높은 보안 관리체계를 구축했다. NC는 “향후 매년 진행되는 사후 심사를 통해 정보보호 관리체계를 고도화하고 팬들이 믿고 찾을 수 있는 안전한 디지털 서비스 환경을 지속해서 제공할 예정”이라고 밝혔다.

- 3년 내 착공 가능 핵심 공급 사업장 대상 비용 100% 지원- 소규모주택정비사업까지 대상 넓혀… 조합당 최대 300만 원 지원- 시범사업 수행 이제이엠컴퍼니, 강남 대단지 온라인총회·전자투표 무사고 운영 실적 서울시가 재개발·재건축 등 정비사업 조합의 전자투표 및 온라인총회 비용 지원을 전격 확대한다. 사업 초기 주민동의서 수집부터 조합 총회 의결까지 정비사업 의사결정 전반을 전자 방식으로 전환해 사업 기간을 단축하고 투명성을 제고한다는 취지다. 이에 따라 정비사업 조합의 디지털 의결 도입 부담이 크게 줄어들 전망이다. 정비업계에 따르면 서울시는 정비사업 전자투표·온라인총회 활성화 사업, 소규모주택정비 전자투표·온라인총회 활성화 사업, 정비사업 전자서명동의 지원사업, 모아타운 관리계획 주민제안 전자동의 지원사업 등 4개 디지털 전환 지원 사업을 운영 중이다. 종이 동의서 제출이나 현장 총회 참석 중심의 기존 방식을 모바일 기반 전자 방식으로 전환해 절차를 신속히 진행하기 위한 조치다. 이번 대책의 핵심은 전자투표 및 온라인총회 지원율 확대다. 도시 및 주거환경정비법에 따른 재개발·재건축 조합을 대상으로 하는 활성화 사업은 일반 사업장에 비용의 50%를 지원하며, 3년 이내 착공이 가능한 서울시 핵심 공급전략 사업장에는 비용을 100% 전액 지원한다. 기존 최대 50% 수준이던 지원 비율을 핵심 사업장에 한해 전액으로 끌어올린 것이다. 서울시는 2031년까지 주택 31만 호 착공을 목표로 핵심 공급전략 사업장 85곳(약 8만5,000호)을 선정해 집중 관리하고 있다. 지원 범주 역시 확대됐다. 빈집 및 소규모주택 정비에 관한 특례법에 따른 모아주택, 가로주택정비, 소규모재건축 등 소규모주택정비사업에도 전자투표·온라인총회 시스템 이용 비용의 50%를 조합당 최대 300만 원까지 지원한다. 기존 대규모 정비사업 위주에서 소규모 사업 영역까지 지원 대상이 넓어지면서 사업 규모와 관계없이 전자 의결 방식을 도입할 수 있는 여건이 마련됐다는 평이다. 지원 방식은 조합이 운영 업체를 직접 선정해 계약을 체결한 뒤 비용을 신청해 지원받는 구조다. 개인정보 보호와 의결 결과의 정확성이 직결되는 절차인 만큼, 관련 시스템의 운영 안정성과 보안성이 업체 선정의 핵심 기준이 되고 있다. 이와 관련해 정비사업 전자행정 플랫폼 ‘우리가’를 운영하는 이제이엠컴퍼니의 현장 적용 실적도 늘고 있다. 이제이엠컴퍼니는 서울시 전자동의서 시범사업 수행업체로 참여하며 서울 내 약 100개 사업장에서 전자동의서를 수집하고 운영 가이드라인 구축 작업을 병행했다. 당시 시범사업 참여자 조사에서는 재이용 의향 97.8%, 편의성 만족도 90.6%를 기록했으며, 응답자의 82%가 5분 이내에 제출을 완료한 것으로 집계됐다. 현장 적용 사례도 확대되는 추세다. 대치미도, 경남·우성·현대(경우현), 자양4동 A구역, 여의도 수정아파트 등 주요 단지의 선거 과정에서 온라인총회와 전자투표를 운영한 바 있으며, 관악구 성현동 모아타운 등에서도 전자동의서 절차를 진행했다. 회사 측은 서비스 개시 이후 현재까지 보안 사고 없이 시스템을 운영해 오고 있다고 밝혔다. 보안 체계 구축 내용도 공개했다. 이제이엠컴퍼니 측에 따르면 정보보호경영(ISO/IEC 27001), 서비스관리(ISO/IEC 20000-1), 개인정보경영(ISO/IEC 27701) 인증을 받은 데 이어 클라우드 정보보안(ISO/IEC 27017) 및 클라우드 개인정보보호(ISO/IEC 27018) 인증 등 총 5종의 ISO 인증과 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증을 확보했다. 또한 이상 징후 감지 및 데이터 보호 체계, 24시간 모니터링 시스템을 운영 중이다. 이제이엠컴퍼니는 올해 법무법인 태평양과 함께 서울 시내 정비사업에서 진행되는 전자투표·온라인총회·전자동의서에 대한 표준 가이드라인 수립 작업도 진행하고 있다. 제도 확산 초기 현장마다 절차 해석이 달라 발생할 수 있는 혼선을 줄이고, 법적 안정성을 갖춘 운영 기준을 마련하겠다는 취지다. 윤의진 이제이엠컴퍼니 대표는 “서울시의 지원 확대로 조합이 비용 부담 없이 전자투표와 온라인총회를 도입할 수 있는 환경이 마련됐다”며 “시범사업과 무사고 운영 경험, 표준 가이드라인 수립을 바탕으로 조합이 신뢰하고 선택할 수 있는 전자행정 기준을 만들어가겠다”고 말했다.

전일 급락했던 코스닥이 기관 매수에 힘입어 하루 만에 반등했다. 시가총액 상위 종목들이 대체로 오름세를 보인 가운데 반도체와 로봇 관련 종목이 지수 회복을 이끌었다. 27일 오후 3시 30분 기준, 한국거래소에 따르면 코스닥지수는 전 거래일보다 16.64포인트(2.22%) 오른 764.86에 거래를 마쳤다. 지수는 760.54로 출발한 뒤 장중 780.39까지 올랐고, 저가는 753.73을 기록했다. 코스닥은 전 거래일 5.32% 급락한 뒤 이날 곧바로 상승 전환했다. 최근 5거래일 흐름을 보면 21일 753.34, 22일 751.09, 23일 790.28, 24일 748.22, 27일 764.86으로 높은 변동성을 이어갔다. 수급별로는 기관이 2728억원 순매수하며 반등을 주도했다. 반면 개인은 1440억원, 외국인은 1295억원 각각 순매도했다. 프로그램 매매는 차익거래 33억원 매수 우위였지만 비차익거래가 1135억원 매도 우위를 보이며 전체적으로 1102억원 순매도를 나타냈다. 시장 전반에서는 상승 종목이 우세했다. 코스닥 전체에서 1007개 종목이 올랐고 628개 종목이 내렸다. 보합은 99개였다. 상한가 10개, 하한가 2개로 집계됐다. 시가총액 상위 종목들도 대체로 강세였다. 알테오젠(196170)은 3.83% 오른 31만2000원, 에코프로(086520)는 3.20% 오른 8만600원, 에코프로비엠(247540)은 2.03% 오른 11만500원에 마감했다. 레인보우로보틱스(277810)는 6.57% 오른 44만6000원, 주성엔지니어링(036930)은 6.31% 오른 14만9900원, 원익IPS(240810)는 5.47% 오른 10만6000원을 기록했다. HLB(028300)와 에이비엘바이오(298380)도 각각 0.48%, 0.28% 상승 마감했다. 급등주 흐름도 두드러졌다. 상승률 상위에는 아이크래프트, 썸에이지, 오브젠이 나란히 30.00% 올라 상한가를 기록했고, 케이엔알시스템은 29.96%, 셀리드는 29.94% 상승했다. 반면 하락률 상위에서는 티엔엔터테인먼트가 29.94%, 네오뷰가 29.88% 떨어져 하한가로 내려앉았고, 흥구석유와 파인텍, 지엔씨에너지도 두 자릿수 하락률을 나타냈다. 이날 코스닥 반등은 국내 증시 전반의 회복 흐름과도 맞물렸다. 같은 날 코스피는 65.13포인트(0.97%) 오른 6755.75로 마감했고, 서울외환시장에서 달러·원 환율은 1.9원 오른 1468.5원을 기록했다. 한편 정부는 현재 매출액 3000억원 이상 상장사에 적용하던 정보보호 공시 의무를 내년부터 유가증권시장과 코스닥시장 전체 상장사로 넓히는 방안을 추진하고 있다. 이에 따라 코스닥 상장사들의 보안 투자와 내부 관리 체계 정비 수요도 확대될 것으로 보인다. 기업들은 정보보호 투자 현황과 접속기록, 이상 징후 탐지 및 보안 활동 내역을 보다 체계적으로 관리해야 하며, 내년 7월부터는 ISMS-P 인증 강화 의무화도 시행될 예정이다. 이에 맞춰 클라우드 기반 보안 로그 수집 및 이상 징후 탐지 서비스 공급 확대 움직임도 이어지고 있다. [서울신문과 MetaVX의 생성형 AI가 함께 작성한 기사입니다]

정부가 인공지능(AI) 확산에 맞춰 개인정보 보호체계를 전면 개편한다. 개인정보 처리 위험도에 따라 보호 기준을 달리 적용하는 ‘위험비례 보호체계’를 마련하고 법 위반에는 이행강제금을 도입해 제재 실효성을 높이기로 했다. 개인정보보호위원회는 3일 이런 내용의 ‘제3차 개인정보 보호 기본계획’(2027~2029년)을 발표했다. 개인정보 보호 기본계획은 개인정보보호법에 따라 3년마다 수립하는 법정 계획이다. 개보위는 이번 계획의 비전을 ‘신뢰받는 개인정보 환경, 안심하고 누리는 AI 사회’로 정했다. 핵심은 AI 환경에 맞춘 개인정보 규율체계 개편이다. 개보위는 기존의 일률적 규제 방식만으로는 AI 서비스 확산과 데이터 활용 증가에 대응하기 어렵다고 보고 있다. 앞으로는 개인정보 처리 위험도에 따라 보호 기준과 안전조치를 차등 적용한다. 이상민 개인정보보호위원회 개인정보정책국장은 브리핑에서 “지금까지는 개인정보 처리 환경에 대한 고려 없이 천편일률적인 규제가 적용된 측면이 있었다”며 “위험도가 높은 영역에는 더 높은 기준과 안전조치를 적용하겠다”고 말했다. AI 서비스의 성격과 처리 데이터 유형에 따라 위험도를 따지고 고위험 영역에는 강화된 보호 원칙을 제시한다. 이 국장은 “기술 변화에 따라 개별 기술을 사전에 모두 규제하는 것은 불가능하다”며 “고위험 영역에 필요한 원칙을 제시하고 그 원칙에 맞춰 구체화하는 유연한 체계를 마련하겠다”고 설명했다. 안전한 데이터 활용 기반도 넓힌다. 개보위는 개인정보 관련 법적 불확실성을 줄이기 위해 ‘AX 안심지원센터’를 운영한다. 지역 거점별로 가명·익명 데이터 연계 활용 허브도 구축한다. 국민이 자신의 정보 활용을 직접 관리할 수 있는 기반도 강화한다. 개보위는 온마이 플랫폼을 고도화하고 마이데이터 인프라를 금융·복지·돌봄 등 사회 문제 해결에 활용할 계획이다. 보호체계는 사후 대응에서 사전 예방 중심으로 바뀐다. 개보위는 ISMS-P 인증제도와 개인정보 처리방침 평가체계의 기준·절차를 개선한다. 대규모 개인정보를 처리하는 공공 분야의 안전조치와 점검체계도 강화한다. 기업의 자발적인 보호 투자도 유도한다. 선제적으로 개인정보 보호에 투자한 기업에는 유출 과징금을 감면하는 등 인센티브를 제공한다. 반면 법 위반에는 이행강제금 도입 등으로 엄정 대응하기로 했다. 중소·영세기업에는 맞춤형 개인정보 컨설팅과 보호·보안 지원을 제공한다. 유출 사고가 발생하면 사고 복구도 지원한다. 유출 사고 대응은 제재 중심에서 회복력 중심으로 보완한다. 이 국장은 “유출 사고가 발생했을 때 제재도 필요하지만 서비스를 빠르게 정상화하는 것이 본질적 목표”라며 “특히 작은 기업은 기술 지원을 통해 회복을 돕는 데 중점을 둘 필요가 있다”고 말했다. 개인정보 정책의 컨트롤타워 기능도 강화한다. 개보위는 개인정보보호법과 개별 법령 간 중복 규제를 정비하고 관계부처 협력을 확대할 방침이다. 위치정보, 개인신용정보 등 다른 법령과 개인정보보호법 간 규율이 겹쳐 현장 혼선이 생길 수 있다는 지적을 반영한 조치다. 국민 권리구제 체계도 손본다. 개인정보 유출이나 침해 사고가 발생하면 신고부터 조사, 분쟁조정, 손해배상까지 이어지는 원스톱 권리구제 체계를 마련한다. AI 기반 개인정보관리 플랫폼도 구축해 국민이 자신의 개인정보 처리 현황을 쉽게 확인하고 권리를 행사할 수 있도록 할 계획이다. 다만 과제별 세부 일정은 연도별 이행계획에서 구체화된다. 개보위는 이번 기본계획이 향후 3년간의 방향성과 목표를 담은 상위 계획인 만큼, 12대 추진과제별 일정은 별도 계획을 통해 제시하겠다고 밝혔다.

AI 기반 온라인 평판 관리(ORM) 및 유해 콘텐츠 대응 플랫폼 ‘화이트미(WhiteMe)’를 운영하는 주식회사 아이쉴드(대표 신소현)가 정보보호 경영시스템 국제표준인 ISO/IEC 27001:2022 인증을 취득했다고 24일 밝혔다. ISO/IEC 27001은 정보보안 관리체계(ISMS)의 구축과 운영에 관한 국제 표준으로, 기업이 보유한 정보자산의 기밀성, 무결성, 가용성을 보호하기 위한 요구사항을 규정한다. 이번 아이쉴드의 인증 범위는 소프트웨어 연구·개발 및 공급 영역이다. 온라인 평판 관리는 기업과 개인의 명예를 훼손하는 허위·악성 콘텐츠를 모니터링하고 대응하는 서비스로, 그 과정에서 고객의 민감한 데이터를 다수 취급한다. 아이쉴드는 이러한 사업 특성상 데이터 보호와 정보보안 관리체계가 핵심 경쟁력이라고 보고, 이번 ISO 27001 인증을 통해 내부 정보보안 프로세스를 국제 표준에 맞춰 정비했다. 신소현 아이쉴드 대표는 “온라인 평판 관리는 고객의 민감한 정보를 다루는 만큼 보안이 곧 신뢰의 기반”이라며 “ISO 27001 인증을 계기로 정보보호 관리체계를 지속적으로 고도화해 고객이 안심하고 화이트미 서비스를 이용할 수 있는 환경을 만들어 가겠다”고 밝혔다. 아이쉴드가 운영하는 화이트미는 누적 30만 건 이상의 유해 콘텐츠 대응 실적과 약 93%의 처리 성공률을 바탕으로 기업 고객 대상 AI 온라인 평판 관리 서비스를 제공하고 있다.

대규모 정보 유출 사고를 낸 쿠팡에서 무단 결제 등 2차 피해 우려가 제기되는 상황에서 이찬진 금융감독원장이 결제정보 유출 정황이 확인되는 즉시 검사로 전환하겠다고 밝혔다. 이 원장은 3일 국회 정무위원회 현안 질의에서 “어제부터 현장 점검에 들어갔다”며 “의심되는 부분이 있으면 곧바로 검사로 전환하려고 한다”고 말했다. 검사는 기관 제재 절차로 이어질 수 있다. 쿠팡과 쿠팡페이가 ‘원아이디’로 플랫폼을 같이 이용하기 때문에, 이에 따른 결제정보 유출 피해가 있는지 적극 살펴보겠다는 것이다. 여야 의원들은 쿠팡이 소비자의 탈퇴 과정을 고의적으로 복잡하게 만들었다고 지적했다. 유동수 더불어민주당 의원은 “본인 인증, 비밀번호 입력, 설문조사까지 강제로 응해야 탈퇴가 가능한데, 모두 합치면 무려 20단계에 달한다”고 비판했다. 이에 남동일 공정거래위원회 부위원장은 “소비자의 선택을 방해하는 행위로 보여진다. 제도 개선 및 제재 방안을 검토하겠다”고 했다. 쿠팡은 비밀번호 없이 생체인식과 핀(PIN) 등을 활용하는 안전 인증 수단인 ‘패스키’ 도입을 시사했다. 쿠팡은 지난달 대만에서 패스키를 도입했지만 한국에선 도입하지 않았다. 이헌승 국민의힘 의원이 “대만 쿠팡에서 보급한 전용 패스키를 한국에도 도입했다면 이런 사고가 일어났겠냐”고 질타하자 박대준 쿠팡 대표는 “훨씬 더 안전하게 서비스할 수 있었을 것이라 생각한다”고 했다. 박 대표는 자발적 배상 조치를 하라는 지적에는 “피해범위가 확정되지 않았다”면서도 “합리적 방안을 마련하겠다”고 했다. 3370만개의 개인정보 유출 사고가 알려진지 나흘만에 첫 보상 관련 언급이지만 보상 시점 등 구체적 답변은 피했다. 박 대표는 사고 발생 후 입장 없는 창업자 김범석 쿠팡InC 이사회 의장의 거취에 대해선“해외에 있는 걸로 안다. 올해 국내에서 만난 적이 없다”면서도 “(김 의장에게) 이사회를 통해 사건 발생 후 현재 상황에 대해 보고했다”고 했다. 쿠팡이 ISMS-P 등 7개의 주요 보안 인증을 보유하고도 대규모 개인정보 유출 사태를 막지 못하면서 인증 제도에 대한 무용론도 제기됐다. 특히 ISMS-P는 과학기술정보통신부와 개인정보보호위원회가 공동 운영하는 국내 유일의 정보보호·개인정보보호 관리체계 인증 제도다. 송경희 개인정보위원회 위원장은 “ISMS-P 인증을 받았는데 사고가 난 24개 기업에 대해 이번 달에 현장 조사를 계획하고 있다”고 밝혔다. 또 개인정보위는 고객들에게 개인정보 ‘노출’이라고 통지한 쿠팡에 ‘유출’ 통지로 수정하고, 공동현관 비밀번호 등 유출 항목을 빠짐없이 반영해 재통지하라고 요구했다.

국내 최대 온라인 유통업체인 쿠팡에서 벌어진 3400만건 고객 정보 유출 사태의 파장이 일파만파다. 올 들어 금융사와 통신사 등에서 유사 사고가 잇따라 터져 가뜩이나 국민 불안이 꼭대기까지 차오른 터에 전 국민을 패닉으로 몰아넣은 최악의 사태가 아닐 수 없다. 국민 4명 중 3명이 해당하는 방대한 피해 규모가 무엇보다 충격적이다. 더욱 기막힌 것은 해외 서버를 통한 비정상 접속이 지난 6월 말부터 계속됐는데도 회사가 이를 5개월간 전혀 알아채지도 못했다는 사실이다. 로켓배송 등 속도와 혁신을 앞세워 초고속 성장한 거대 기업이 정작 디지털 사회의 기본적 신뢰 기반인 고객 정보 보호에는 한없이 굼뜨고 무능했다. 배신감과 분노를 넘어 허탈감까지 든다. 쿠팡은 지난 29일 “고객 계정 약 3370만개가 무단으로 노출된 것으로 확인됐다”면서 “해외 서버를 통해 지난 6월 24일부터 무단으로 개인정보에 접근한 것으로 추정한다”고 밝혔다. 노출된 정보는 고객 이름과 이메일, 전화번호, 주소, 일부 주문 정보이며 결제 정보와 신용카드 번호는 포함되지 않았다는 것이 쿠팡 측의 주장이다. 그러나 쿠팡은 지난 20일 개인정보보호위원회에 처음 신고할 당시 피해 계정을 4500여개로 보고했다가 9일 만에 사실상 전 회원 규모로 피해 범위를 대폭 수정했다. 앞으로 조사 결과에 따라 피해 규모가 더 늘어날 가능성도 배제할 수 없다. 정부는 민관 합동조사단을 꾸려 사고 원인 분석과 재발 방지 대책 마련에 나섰다. 유출 정보를 악용한 스미싱·보이스피싱 등 2차 피해에 대한 불안이 큰 만큼 이를 차단하기 위한 다각적 대응이 무엇보다 시급하다. 쿠팡은 이번 사태를 외부 해킹이 아닌 내부 직원의 소행으로 보고 경찰에 고소장을 제출했다. 만일 내부자 범죄가 맞다면 조직 관리 부실 책임은 더욱 무거울 수밖에 없다. 기업의 안이한 보안 의식 탓에 국민 전체가 잠재적 범죄 위험에 노출된 만큼 그에 상응하는 책임을 져야 한다. 쿠팡은 박대준 대표의 사과문을 통해 합동조사단과 긴밀히 협력하고 추가 피해 예방에 최선을 다하겠다고 했다. 정부가 “쿠팡 서버의 인증 취약점을 악용해 정상적 로그인 없이 고객 정보가 유출됐다”고 확인한 만큼 실질적인 피해 보상과 재발 방지 대책이 뒤따라야 한다. 정부 역시 이번 사태를 엄중하게 받아들여야 한다. 쿠팡은 국가가 인증한 ‘정보보호 및 개인정보보호 관리체계 인증’(ISMS-P)을 취득하고도 대규모 유출 사고를 냈다. 정부와 기업 모두 보안 의식을 획기적으로 개선하지 않는다면 유사 사고는 언제든 되풀이될 수밖에 없다.

2021년과 2024년 두 차례나 정보보호 및 개인정보보호 관리체계 인증(ISMS-P)을 취득한 쿠팡이 잇달아 대규모 개인정보 유출 사고를 일으키며 도마 위에 올랐다. 정부 인증체계의 실효성을 되짚어 봐야 한다는 지적이 나오는 까닭이다. 30일 국회 정무위원회 소속 한창민 사회민주당 의원이 개인정보보호위원회에서 제출받은 자료에 따르면 쿠팡은 ISMS-P 인증을 최초 취득한 2021년 3월 이후 올해까지 네 차례의 유출 사고를 냈다. 2021년 10월 앱을 업데이트하면서 테스트를 소홀히 해 14건의 유출 사고를 냈고, 2020년 8월부터 2021년 11월까지 쿠팡이츠 배달원 13만여명의 개인정보가 유출됐다. 2023년 12월에는 판매자 전용 시스템 오류로 2만여명의 개인정보가 노출됐다. ISMS-P 인증은 과학기술정보통신부와 개인정보위가 공동으로 운영하는 국내 유일의 정보보호 및 개인정보보호 관리체계 인증제도다. 2018년 과기정통부의 ‘정보보호 관리체계 인증’(ISMS)과 개인정보위의 ‘개인정보보호 관리체계 인증’(PIMS)을 통합했다. 쿠팡은 전년도 정보통신서비스 부문 매출액이 100억원 이상으로 인증 의무 대상인데, 취득 이후에도 사고가 계속 발생했다는 점이 문제다. ISMS-P는 인증 당시 기준에 맞는지를 평가하는 것으로, 그동안에도 사후 관리 강화 등 보완이 시급하다는 지적이 이어져 왔다. 개인정보위가 장관급 중앙행정기관으로 격상된 2020년 이후부터 이달까지 총 27개의 ISMS-P 인증 기업에서 34건의 정보 유출 사고가 일어났다. 논란이 커지자 정부는 지난 10월 심사 방식을 서류 중심에서 현장 중심으로 전환했다.

정부가 잇따르는 사이버 침해 사고를 막기 위해 해킹 정황이 포착되면 기업 신고 없이도 직접 조사에 나서기로 했다. 보안 의무를 위반하면 징벌적 과징금을 부과하는 등 제재를 강화하고, 1600여개 정보기술(IT) 시스템에 대해 점검에도 착수한다. 과학기술정보통신부와 기획재정부, 금융위원회, 행정안전부, 국가정보원 등 관계부처는 22일 정부서울청사에서 이런 내용의 ‘범부처 정보보호 종합대책’을 발표했다. 정부는 민간과 공공에서 반복되는 최근의 해킹 사고를 위기 상황으로 인식하고, 국가안보실을 중심으로 유기적인 대응 체계를 가동하겠다고 밝혔다. 사이버 침해 사고를 은폐하는 관행을 막기 위해 해킹 정황이 확보된 경우에는 기업 신고 없이도 정부가 현장 조사에 나설 수 있도록 제도를 개선한다. 해킹 지연 신고, 재발 방지 대책 미이행, 개인·신용 정보 반복 유출 등 보안 의무를 위반한 주체에 대해서는 과태료·과징금 상향, 이행강제금 및 징벌적 과징금 도입 등 제재를 강화한다. 한국은 개인정보 유출 등 사고에서 매출 3%를 과징금으로 부과하는데, 10%를 매기는 영국 등 사례를 참고해 제재 규모를 확대하는 방안을 검토하기로 했다. 국민 대다수가 이용하는 1600여개 IT 시스템에 대해 전수 점검에 나선다. 특히 정보 유출 시 2차 피해가 큰 통신사에 대해서는 실제 해킹 방식의 강도 높은 ‘불시 점검’이 추진된다. 통신사 외 플랫폼 업계 등 주요 기업은 자체 점검 결과를 CEO가 확인 정부에 제출하도록 했다. 이후 순차적으로 정부가 사후 점검에 착수한다. 내년 상반기부터 정보보호 공시 의무 기업이 상장사 전체로 확대된다. 이에 따라 의무 대상은 현행 666개에서 2700여개로 늘어난다. 공시 결과를 토대로 보안 역량 수준을 등급화해 공개하기로 했다. 유명무실하다는 비판을 받아온 보안 인증 제도(ISMS·ISMS-P)를 현장 심사 중심으로 바꿔 사후 관리를 강화하고, 기업 최고경영자(CEO)의 보안 책임 원칙을 법제화한다. 금융·공공기관 등이 소비자에게 설치를 강요하는 보안 소프트웨어를 내년부터 단계적으로 제한하고 클라우드, 글로벌 변화에 부합하지 않은 획일적인 물리적 망 분리 규정을 데이터 보안 중심으로 바꾼다. 해킹 발생 시 소비자의 증명책임 부담은 완화된다. 국정원의 조사·분석 도구를 민간과 공동 활용하는 한편, 인공지능(AI) 기반 지능형 포렌식실을 구축해 분석 시간을 건당 현행 14일에서 5일 안팎으로 줄인다는 목표를 세웠다. 김창섭 국정원 3차장은 “AI 기능을 탑재한 차세대 보안 사고 조사 도구를 개발해 시범적으로 활용 중인데 민간과 관련 부처에서도 사용할 수 있도록 배포할 예정”이라고 말했다. 아울러 공공의 정보보호 예산·인력을 확충하고, 정부 정보보호책임관 직급을 기존 국장급에서 실장급으로 높인다. 공공기관 경영평가 시 사이버 보안 관련 점수는 지금의 2배로 올린다. 보안 산업 육성을 위해 차세대 AI 보안 기업을 연 30개 사 규모로 육성하고, 보안 전문가인 화이트해커를 연 500여명 배출할 계획이다. 정부는 이번에 나온 단기 전략 외에 중장기 과제를 포함하는 국가 사이버안보 전략 연내 세울 예정이라고 밝혔다. 배경훈 부총리 겸 과기정통부 장관은 “정부는 연이은 보안 사고로 국민 피해가 계속되는 상황을 위기에 준하는 비상사태로 본다”며 “해킹 피해가 소비자에게 전가되지 않도록 구제책을 마련하고 AI 강국을 뒷받침하는 정보보호 체계 구축에 총력을 기울이겠다”고 말했다.

금융당국이 롯데카드 해킹 사고와 관련해 현장검사를 연장했다. 피해 고객들 사이에서는 집단소송 움직임도 확산하고 있다. 19일 금융권에 따르면 금융감독원은 당초 이날 종료 예정이던 롯데카드 현장검사를 연장하기로 했다. 1차 검사에서 고객정보 유출 규모를 확정한 데 이어, 2차 검사에서는 보안 취약점과 법 위반 여부를 집중 점검 중이다. 검사 결과는 제재심의위원회 안건으로 상정돼 기관 제재 수위에 반영된다. 금융위와 금감원은 이번 사고를 “중대한 위법”으로 규정했다. 금융위 관계자는 “허술한 보안체계에 대해 강도 높은 책임을 물을 예정”이라며 최고 수위 제재를 예고했다. 업계에선 기관 경고 이상 중징계와 일부 영업정지, 임원 해임 권고 가능성이 거론된다. 사고 경위는 늑장 대응 논란을 낳았다. 해킹은 지난달 14일 발생했으나 롯데카드가 서버 이상을 인지한 것은 같은 달 26일이었다. 당국 신고는 9월 1일에야 이뤄졌고, 공식 발표는 지난 18일로 해킹 발생 후 37일이나 지나서였다. 피해 규모는 297만명에 달한다. 이 중 28만명은 카드번호·유효기간·보안코드(CVC)까지 유출돼 부정사용 위험이 크다. 나머지 269만명은 CI값, 내부식별번호 등 부차적 정보가 유출됐다. 롯데카드는 아직 실제 부정사용 사례는 확인되지 않았다고 설명했다. 피해 고객들의 집단소송 움직임도 커지고 있다. 네이버 카페 ‘롯데카드 개인정보유출 집단소송카페’ 회원 수는 1300명을 넘어섰고, 이 중 700명 이상이 소송 참여 의사를 밝혔다. 과거 카드사 유출 사건에서 1인당 7만~10만원 수준의 배상 판례가 있었던 만큼 이번에도 대규모 배상 책임이 예상된다. 이번 사태로 보안 인증 제도의 실효성 논란까지 나오고 있다. 롯데카드는 지난달 12일 금융보안원으로부터 최고 수준 보안 인증인 ISMS-P를 받았지만, 같은 날 첫 해킹 시도가 이뤄졌기 때문이다. 금융권 안팎에선 “인증 제도를 근본적으로 손봐야 한다”는 목소리가 커지고 있다. 조좌진 롯데카드 대표는 “피해액 전액을 보상하겠다”며 사임 가능성까지 언급했지만, 여론은 가라앉지 않고 있다. 금융권 관계자는 “개별 회사 차원을 넘어 금융권 전반의 신뢰를 흔드는 사안인 만큼 제재 수위가 높아질 수밖에 없다”고 말했다.

부산항만공사(BPA)는 자체 홈페이지에 대한 국가공인 ‘정보보호 및 개인정보보호 관리체계(ISMS-P)’ 인증을 받았다고 16일 밝혔다. ‘SMS-P 인증’은 과학기술정보통신부 및 개인정보보호위원회가 공동 고시하며, 정보보호 관리체계와 개인정보보호 관리체계를 통합·심사하는 인증제도다. BPA는 지난해 자발적으로 기관 정보보호 및 개인정보보호를 위해 국내 항만 최초로 ISMS-P 인증을 취득했고, 1년간 지속적인 정보보호 관리와 사후 심사를 통해 올해도 인증을 유지하는 성과를 냈다. 인증을 유지하려면 △정보보호 관리체계(16개) 수립·운영 △보호대책 요구사항(64개) △개인정보 처리 단계별 요구사항(21개) 등 총 101개의 인증기준을 충족해야 하고, 매년 1차례 이상 사후심사를 통과해야 한다. BPA는 인정 유지를 위해 홈페이지 정보보호 체계와 개인정보의 안전성을 점검하고, 기술적·관리적·물리적 보안조치와 사고예방 및 대응체계를 구축했다. 또 개인정보 침해대책 정립 등 정보보호를 위한 세부 관리체계를 수립하고, 최신 법령에 따른 관련 규정 및 지침을 정비해 관리체계에 반영했다. 송상근 BPA 사장은 “디지털화가 빠르게 진행되면서 기관 및 개인 정보보호의 중요성이 커지고 있다”며 “ISMS-P 인증 유지를 통해 사이버위협과 침해사고로부터 선제적으로 대응하고, 안전하고 신뢰받는 기관이 될 수 있도록 최선을 다하겠다”고 말했다.

중국 알리바바 그룹 계열사인 알리바바 클라우드가 이달 국내 제2 데이터센터를 가동한다. 국내 첫 데이터센터 설립 이후 3년 만으로, 생성형 인공지능(AI) 인프라 수요 급증에 대응하기 위한 조치다. 알리바바 클라우드는 19일 서울 강남구 그랜드 인터컨티넨탈 파르나스에서 기자간담회를 열고 국내 클라우드 컴퓨팅, AI 사업 구상에 대한 구상을 공개했다. 2016년 국내 시장에 진출한 알리바바 클라우드는 2022년 3월 국내 첫 데이터센터를 구축하며 인프라 운영에 나섰다. 이번 제2데이터센터를 통해 클라우드 네이티브, 빅데이터, 데이터베이스 등 AI 애플리케이션에 최적화한 제품을 다양하게 제공한다는 계획이다. 알리바바 클라우드 데이터센터 위치는 두 곳 모두 서울이다. 윤용준 알리바바 클라우드 인텔리전스 한국 총괄 지사장은 “두번째 한국 데이터센터는 알리바바 그룹이 한국 시장을 얼마나 전략적으로 보는지에 대한 중요한 투자적 모멘텀”이라고 말했다. 그러면서 이번 제2데이터센터가 앞서 알리바바 그룹이 향후 3년간 AI·클라우드 인프라에 최소 3800억 위안(약 76조원)을 투자한다고 밝힌 구상의 일환이라고 소개했다. 제2 데이터센터 가동을 통해 중점적으로 확보하길 원하는 고객 분야는 유통·인터넷·게임이라는 설명이다. 중국계 기업으로서 데이터 보안에 관한 우려가 제기된다는 지적에 대해 알리바바는 다수의 보안 인증을 획득해 이를 불식하고 있다고 일축했다. 임종진 알리바바 클라우드 인텔리전스 수석 솔루션 아키텍트는 “중국의 데이터 보호법에 대해 구체적으로 말하긴 어렵지만, 글로벌 컴플라이언스 기준 150개 이상을 만족시키고 있다”며 “잠재 고객도 안전하게 운영할 수 있다고 자신 있게 말할 수 있다”고 했다. 국내 데이터를 외부로 반출하지 않는 게 확실하냐는 질문에 대해 “2023년 12월 획득한 국내 정보보호 관리체계 인증(ISMS) 정책에도 한국 데이터를 외부로 반출하지 않는다는 게 필수”라며 “한국 데이터는 해외로 유출되지 않는다”고 덧붙였다.

글로벌 밈코인 특화 레이어1 블록체인 프로젝트 MemeCore(밈코어)가 한국 시장 진출을 본격화하기 위해 코스닥 상장사 인수 작업에 착수했다고 밝혔다. 밈코어는 밈(Meme)이라는 인터넷 문화를 중심으로 한 Web3 생태계를 구축하고자 하는 프로젝트로, 독자적인 합의 알고리즘 ‘Proof of Meme(PoM)’을 통해 다양한 커뮤니티 기반 밈코인들의 가치를 온체인에서 연결하고 확장하고 있다. 최근 MemeCore는 도널드 트럼프 전 미국 대통령이 개최한 $TRUMP 토큰 홀더 대상 프라이빗 만찬에서 보유량 기준 글로벌 2위 홀더로 이름을 올리며 주목을 받았다. 상위 25명의 홀더만 초청된 이번 만찬에는 MemeCore의 공동창립자인 ICE가 대표로 자리했으며, 트럼프 대통령이 참석한 자리에서 MemeCore의 비전과 커뮤니티가 세계적인 관심을 받고 있음을 상징적으로 보여줬다. MemeCore 측은 “단순한 밈코인을 넘어 밈 문화가 정계와 커뮤니티, 나아가 Web3 기술과 접점을 넓혀가는 흐름 속에서, 밈코어는 그 중심에서 새로운 가능성을 실험하고 있다”고 전했다. 이번 코스닥 상장사 인수는 한국 내 가상자산 사업자 등록 및 ISMS 인증 취득은 물론, MemeCore 메인넷을 기반으로 한 국내 dApp 생태계 조성을 위한 전략적 발판으로 해석된다. 인수 대상 기업은 향후 업종 전환을 통해 Web3 및 디지털 자산 관련 사업 모델을 본격 추진할 예정이다. MemeCore는 복수의 상장사를 대상으로 실사 및 협의를 진행 중이며, 인수 완료 후에는 커뮤니티 기반 dApp과 MRC-20 토큰 서비스를 한국 시장에 순차적으로 선보일 계획이다.

해킹도 초기 대응이 중요 SKT 해킹, 1차 조사 때보다 더 심각두 달 넘게 해킹·피해범위 오리무중피해자 집단소송·번호 이동 위약금회사 귀책사유 입증·약관 따져봐야 보안도 필수 인프라로 정착을 생성형 AI 활용한 해킹 급증하는데 기업·사회의 보안 의식은 ‘제자리’통신·포털사 국가보안시설급 지정대량 개인정보 보유 땐 의무 투자를사이버사고 대응 정부 역할은초연결 시스템 멈추면 전체가 마비북한·중국 해커 공격 위험성도 큰데부처별 대응 체계 나뉘어져 비효율보안 총괄 ‘사이버안전청’ 설립 필요 국내 최대 통신사인 SK텔레콤(SKT)의 해킹 사건은 우리나라 역대 최악의 사이버보안 침해 사고다. 발생한 지 두 달이 넘었지만 아직도 정확한 해킹 경위와 피해 범위는 오리무중이다. 디지털보안에 대한 대응 태세를 근본적으로 재점검해야 한다는 지적이 나온다. 한국정보통신법학회장인 이성엽 고려대 기술경영전문대학원 교수를 지난 13일 만나 사이버보안 강화 방안에 대한 이야기를 들었다. 이 교수는 “점차 고도화되고 있는 해킹 사고가 급증하는데도 보안 의식이 약해 보안 투자가 제대로 이뤄지지 않고 있다”고 말했다. SKT 해킹 사건을 조사 중인 민관합동조사단의 2차 중간조사 결과가 발표된 19일 추가로 전화 인터뷰를 했다. ●SKT 해킹 ‘복제폰 피해’ 가능성은 낮아 -이번 조사 결과가 1차 발표보다 상황이 더 심각한 것 같다. “이번 2차 조사에서는 최초로 고객 단말기에 부여되는 고객단말식별정보(IMEI)가 유출됐을 가능성이 제기됐다. 다만 IMEI가 유출됐다 하더라도 비정상인증차단시스템(FDS) 등의 시스템을 통해 실제 복제폰 피해는 차단할 수 있다. 정부도 삼성·애플 등 제조사는 15자리 IMEI값 단독으로는 단말기 복제가 불가능하다는 입장이라고 설명했다.” -악성코드에 감염된 일부 서버에 담긴 이름 등 중요 개인정보의 유출 가능성도 배제할 수 없는 상황인데. “금융사고 등이 발생하려면 은행 거래 관련 공인인증서 일회용비밀번호(OTP), 개인 비밀번호까지 알아야 한다. 그럴 가능성은 희박하므로 과도하게 불안해할 필요는 없다고 본다.” -피해자들의 집단소송이 본격화되고 있다. “정보 유출로 인한 정신적 피해에 대해서는 위자료 배상이 가능하다. 단 회사의 법 위반 등 귀책사유가 입증돼야 한다. 보통 피해자가 이를 입증해야 하는데 개인정보보호법은 회사가 귀책사유 없음을 입증하도록 하고 있으므로 이 점에서는 입증이 쉬울 수 있다. 또한 징벌적 손해배상 요구도 높은데 회사의 고의나 중과실이 있는 경우 손해액의 5배까지 배상이 가능한 징벌적 손해배상이 도입돼 있다.” -다른 통신사로의 번호 이동에 대한 위약금 면제 이슈도 논란이다. “소비자 입장에서는 자신의 정보 유출에 대한 불안으로 번호 이동을 한다면 응당 위약금을 면제받아야 한다고 생각하게 마련이다. 하지만 약관을 따져 보면 법리상 위약금 면제가 가능하다는 결론을 내는 것은 쉽지 않다. 이런 이유로 정부도 4군데 로펌에서 의견을 받아 놓고도 결론을 내지 못하고 있는 것으로 보인다.” -SKT 약관 때문에 책임을 물을 수 없다는 건가. “약관상 위약금이 면제되는 ‘회사의 귀책사유로 인해 해지할 경우’란 계약의 온전한 이행을 기대할 수 없는 경우, 즉 약관에 따른 이동통신서비스 제공이 불가능하고 그 원인이 회사에게 있는 경우를 의미한다. 하지만 통신서비스가 중단되지 않았고 회사의 과실이나 법 위반이 확정되지 않은 상황이라서 위약금 면제가 어려울 수 있다는 얘기다.” -해킹 사건이 발행한 지 두 달이 넘도록 사고 원인을 찾지 못한 게 더 심각한 문제 아닌가. “2차 조사 결과에 따르면 3년 전 해킹이 시작됐고 약 2700만건의 정보가 유출된 것으로 파악된다. 다만 아직 해커가 경제적 이익을 노린 것인지, 정치적 목적인지는 알 수 없다. 민관합동조사단이 오는 6월 말쯤 최종 결과를 발표할 예정이다.” -해킹 사고로 인한 직접적인 피해는 아니지만 스미싱 피해가 우려된다는데. “이용자 혼란을 악용한 스미싱 등의 피해 발생이 우려된다. 예컨대 예약한 유심 재고가 확보됐다며 교체를 위해 개인정보를 입력하라는 스미싱 사례가 실제로 확인되고 있다. 한국소비자원에서도 해킹 사고를 악용해 소비자원을 사칭하는 스미싱·피싱에 주의를 당부하고 있다. 당분간 이러한 메시지에 주의해야 한다. 의심스러운 문자의 링크는 절대 눌러서는 안 된다.” ●기업들 정보보호 투자, IT 대비 6% 불과 -SKT는 가입자가 가장 많은데 보안 투자는 경쟁회사에 비해 적은데. “국내 기업들의 정보보호 투자 비율은 전체 정보기술(IT) 투자 대비 평균 6%에 불과하다. 미국·유럽의 평균 투자 비율(25%)에 크게 못 미치는 수준이다. SKT의 지난해 정보보호 분야 투자 금액은 본사(600억원), 자회사 SK브로드밴드(267억원) 등 총 867억원으로, 경쟁사인 KT(1218억원), LGU+(631억원)에 비해 적었다. 다량의 개인정보를 보유하고 있을 수 있는 영세업체의 경우 보안 투자 여력이 없는 만큼 정부가 기술적·경제적 지원을 할 필요가 있다.” -해킹 사건의 중대성을 감안해 정부가 나서야 하지 않을까. “산불 등 자연재해 발생 시 정부는 피해가 확산되지 않도록 안내 및 경보 문자를 보낸다. 국민 대다수가 가입한 이동통신사 해킹 사고 등도 즉시 경보를 해야 할 중요한 사안이다. 산불 피해 방지 문자처럼 사이버 침해 사고 시 국민에게 직접적으로 위험성과 대응 방안을 알리는 경보 체계를 갖출 필요가 있다.” -SKT는 6개월 전 정부의 보안인증심사(ISMS)를 받았다고 하는데. “인증 심사 기준 설정 당시보다 고도화된 사이버 침해에 제대로 대응할 수 없다는 게 문제다. 대기업은 인증 기준에 없더라도 수시로 고도화되는 해킹에 대응하는 보안 역량을 지속적으로 강화해야 한다. 이 제도가 보안 강화에 걸림돌이 되는 측면도 있다. 또한 통신업에 특화된 정보보호 체계를 고도화할 필요가 있다.” -최근 생성형 인공지능(AI)이 사이버 범죄에 악용되고 있는데. “생성형 AI의 출현으로 비전문가에 의한 사이버 공격도 훨씬 쉬워졌다. 챗GPT를 활용해 악성 도구를 개발하는 사례가 확인되고 있다. 생성형 AI가 자연스러운 언어 능력을 가지면서 피싱 메일이 증가할 수 있다. 또 생성형 AI는 코딩 능력이 우수한 것으로 알려져 있다. 전문 지식이 부족한 공격자도 랜섬웨어 같은 악성코드 생성, 웹페이지 공격 수단 검색, 취약점 분석, 공격 스크립트 생성 등을 통해 해킹 공격을 할 수 있다.” -반대로 생성형 AI로 사이버보안 대응력을 키울 수 있지 않을까. “AI 기반 보안 관제 등 AI 기술을 이용해 사이버보안을 강화할 수 있다. 사람이 하루에 수백만건에 달하는 보안 위협을 분석하는 것은 불가능한데, AI는 보안 사고로 이어질 가능성이 큰 위협 요인을 찾아내 위협 원인과 추후 공격 양상, 그리고 잠재적인 공격자 등을 식별하는 데 이용될 수 있다.” -우리 사회의 보안 의식이 약한 것 같다. “사이버보안에 안전지대는 없다. 이번 SKT의 정보 유출 같은 사고뿐만 아니라 스미싱, 가족·친구와 똑같은 목소리로 속이는 딥보이스피싱 등이 날로 진화하고 있다. 해커들은 경제적 이익 등을 목적으로 생성형 AI 등을 활용해 보안 방어 체계를 뚫으려고 전력투구하는데 우리 기업에서는 보안을 비용으로만 보고 투자하지 않으려고 한다. 사이버보안이 기업과 사회 전반에 내재된 필수적인 인프라·문화로 정착돼야 한다.” ●인터넷 강국, 스미싱 등 위협에 더 노출 -보안 사고는 이제 개인을 넘어 사회를 위협하는 단계에 왔다. “디지털 사회는 네트워크와 통신, 사이버 공간에 기반한 초연결 구조 위에 작동하는데 이 시스템이 멈추는 순간 사회 시스템 전반이 마비될 수 있다. 통신사, 포털사, 전력·에너지 기업 등은 국가보안시설에 준하는 보안관리 체계(주요 정보통신기반 보호시설)로 지정할 필요가 있다. 또한 대량의 개인정보를 보유한 대기업에 대해서는 전체 IT투자 대비 정보보호 투자액의 하한선을 가이드로 마련할 필요도 있다.” -정부의 사이버 사고 대응 체계는. “국정원과 행정안전부가 공공부분 사이버보안, 과학기술정보통신부가 민간부분 사이버보안, 개인정보보호위원회가 공공·민간 해킹으로 인한 개인정보 유출 시 조사·제재, 경찰이 사이버 범죄 수사 등을 담당하고 있다.” -여러 부처로 나뉘어 있는 대응 체계의 문제점은 없나. “다층적인 시스템으로 인해 비효율적인 중복 조사·수사, 인력의 전문성 부족, 상시적인 보안·안전 정책 부족 문제가 발생하고 있다. 사이버보안 이슈의 컨트롤타워 역할을 하는 정부 조직이 필요하다. 차기 정부는 ‘사이버안전청’(가칭)을 설립해 사이버보안 기술·정책 개발, 사이버 침해 및 개인정보 유출 조사·제재를 총괄하는 전문기관 역할을 맡겼으면 한다.” -사이버보안을 담당하는 정부 조직까지 필요한 이유는. “우리나라는 인터넷 강국으로, 다른 나라보다 초연결 네트워크 사회다. 스미싱, 딥보이스 등의 위협에 더 노출돼 있다. 특히 북한과 중국의 해커 공격을 받을 수 있다. 안보 차원에서도 이런 취약성을 강화해야 한다.” ■ 이성엽 교수는 고려대 법학과, 서울대 행정대학원, 미국 미네소타대 로스쿨을 졸업한 후 미국 변호사 자격을 취득했고, 서울대에서 법학 박사학위를 받았다. 제35회 행정고시 출신으로 정보통신부, 김앤장 등 민관분야에서 두루 경험을 쌓아 현장과 실무도 밝다. 한국정보통신법학회장, 한국데이터법정책학회장을 맡고 있고 국가데이터정책위원, 개인정보위 규제심사위원장으로 활동하는 ICT 분야 권위자이다. 최광숙 대기자

경기도의회 미래과학협력위원회 윤충식 의원(국민의힘, 포천1)이 대표발의한 「경기도 중소기업 정보보호 서비스 지원 조례안」이 11일(금) 제383회 임시회 제1차 미래과학협력위원회 심사를 통과했다. 윤충식 의원은 “지속적으로 증가하는 사이버공격ㆍ위협 속에서 경기도 중소기업의 정보 자산 보호는 매우 중요한 과제”라며 “정보보호에 취약한 도내 중소기업이 보다 안정적인 경영 환경을 구축할 수 있도록 제도적 기반을 마련하고자 본 조례안을 발의하게 됐다”고 제안 이유를 밝혔다. 이번 조례안은 경기도 중소기업의 정보보호 역량 강화를 위해 도가 다양한 관리적ㆍ기술적ㆍ물리적 지원을 제공할 수 있도록 하는 내용을 담고 있다. 지원사업의 주요 내용으로는 ▲정보보호 상담 및 컨설팅을 통한 보안 대책 수립 지원 ▲사이버공격ㆍ위협 대응을 위한 모의훈련 및 보안 취약점 진단 지원 ▲정보보호 인식 제고 및 전문인력 양성을 위한 교육ㆍ홍보 지원 ▲악성코드 탐지, 데이터 암호화 등 기술적 보호조치 수단 지원 ▲정보보호 관리체계 인증(ISMS) 등 정보보호 관련 인증 취득 지원 ▲정보보호 기술 및 정책 관련 현황 조사, 연구 및 개발 지원 ▲정보보호 서비스 활성화를 위한 관계기관 및 민간 전문가 네트워크 구축ㆍ운영 지원 등이 포함되어 있다. 끝으로 윤 의원은 “본 조례안 제정을 통해 경기도 중소기업의 정보보호 체계가 보다 체계적이고 견고하게 구축되기를 기대한다”며 “앞으로도 도내 기업들이 안정적으로 성장할 수 있도록 지속적인 정책 개발과 지원 방안 마련을 위해 최선을 다하겠다”고 강조했다. 한편, 이날 상임위를 통과한 조례안은 오는 15일 열리는 제383회 임시회 제2차 본회의에서 처리될 예정이다.

국내 시장에서 가상자산 서비스(판매·보관·지갑 등)를 운영하기 위해서는 금융당국으로부터 가상자산 사업자(virtual asset service providers, VASP) 승인을 받아야 한다. 가상자산 투자자를 보호하기 위해서 사업자에게 일정한 자격요건과 안전장치를 갖추도록 한 규제이자, 일종의 면허인 셈이다. 21일 금융위원회 금융정보분석원(FIU)에 따르면 신고수리가 완료된 사업자는 총 37개 사다. 2021년 9월 개정된 ‘특정 금융거래정보의 보고 및 이용 등에 관한 법률’(특금법)에 따라 신고를 마친 사업자들이다. 신고 대상에는 가상자산 거래업자, 보관관리업자, 지갑서비스업자 등이 포함된다. VASP 신고 규정이 담긴 특금법은 은행 등 금융기관에 자금세탁방지(AML), 테러자금조달방지(CFT) 의무를 부여하는 법이다. 쉽게 말해 불법적인 일에 연루된 자금의 조달을 방지하는 것이 목적이다. 이 특금법에 VASP 관련 내역이 포함되면서 가상자산 사업자도 금융기관에 준하는 수준의 의무를 지니게 됐다. 이에 따라 사업자는 ▲실명 확인 입출금계정 서비스(가상자산 거래 실명제) ▲정보보호관리 체계(ISMS) 인증 등을 갖추고 FIU에 신고해야만 사업을 진행할 수 있다. 한편 사업자들은 올해 하반기 첫 ‘갱신신고’를 앞두고 있다. 자격의 유효기간은 3년인데, 많은 사업자가 신고를 한 시기는 2021년이기 때문이다. 대표적으로 지난 2021년 10월 6월 신고가 수리된 업비트는 권한이 만료되기 45일 전인 오는 22일까지 관련 서류를 제출해야 사업을 지속할 수 있다. 업비트를 첫 주자로 다른 원화 거래소인 코빗(9월 5일), 고팍스(9월 13일), 코인원(10월 11일), 빗썸(10월 16일) 순으로 마감 기한이 다가온다. 신고를 담당하는 FIU는 ▲신고인 ▲대표자·임원·대주주 현황 ▲사업추진계획서 ▲실명 확인 입출금 계정 ▲가상자산 관련 법령 준수 체계 구축 ▲ISMS 인증 등의 관련 서류를 요구하고 있다. 대규모 갱신을 앞두고 금융위원회가 ‘특금법 시행령·고시 개정안’ 등을 입법예고 하는 등 신고제를 대폭 개편하면서 진입 장벽은 더욱 높아졌다. 시행령 개정안에는 변경신고 수리 이후 대표·임원 직무 수행 의무화, 신고심사 중단 및 재개 절차 마련, VASP 직권말소 사유 추가, 변경신고 제도 완화 등 내용을 담았다. 낯설기만 한 코인, 신기하고 재밌게 느껴질 수 있도록 가상자산 이야기를 풀어드립니다.

정부가 중소기업의 부담을 덜어주고자 ‘정보보호 및 개인정보보호 관리체계’(이하 ISMS 및 ISMS-P) 인증 기준을 간소화하기로 했다. 지금의 인증제도는 중견기업 이상 규모에 맞춰 설계된 탓에 중소기업은 인증을 취득하거나 유지하는 데 어려움을 호소해 왔다. 개인정보보호위원회는 23일 중소기업에 대한 ISMS와 ISMS-P 인증 특례를 이달 24일부터 시행한다고 23일 밝혔다. 인증기준은 기업이 실질적인 정보보호 활동을 할 수 있도록 하는 필수항목은 유지하되, 중소기업의 수준에서 불필요한 항목을 삭제 또는 완화해 설계했다. 이에 따라 기존 80~101개 항목에 달하는 인증 기준이 36~40개가량 축소됐다. 인증심사 수수료도 인증기준 간소화에 따라 종전 대비 약 40~ 50% 수준으로 절감된다. 아울러 보안시스템 구축이나 정보보호 조직 구성, 컨설팅기업 등 인증 준비에 필요한 제반 비용도 감소할 것으로 기대된다. 이번 특례는 정보통신서비스 부문 매출액이 300억 원 미만인 중소기업에 적용된다. 관련 매출액이 300억 원 이상인 중기업이라도 회사 내 주요 정보통신설비를 보유하지 않았다면 신청할 수 있다. 이는 전체 의무대상 기업 가운데 85개 기업(약 16%)이 해당한다. 다만 국민 생활에 밀접한 영향을 미치는 주요 정보통신서비스 제공자, 집적 정보통신시설 사업자, 일부 상급종합병원·대학교,금융회사, 가상자산사업자는 특례 적용 대상에서 제외한다. 양청삼 개인정보위 개인정보정책국장은 “간편인증 도입을 통해 소규모 기업의 인증 취득 부담을 완화함으로써 개인정보보호 관리체계의 수준을 향상하고자 하는 기업의 자율적인 개인정보 보호 노력이 강화될 수 있는 계기가 되길 바란다”고 말했다.