공공시스템의 개인정보 탈취 취약점이 올해 1월 감사원 모의해킹에서 확인됐지만, 정부의 공공부문 전반의 실태 점검은 6월 전담조직 출범 이후에야 본격화됐다. 인공지능(AI)을 악용한 사이버 공격이 급증하는 가운데 공공 보안 대응 속도를 높여야 한다는 목소리가 커지고 있다.
◇1월 감사원 모의해킹 7곳 모두 '취약점 확인'
감사원은 지난 1월 개인정보보호위원회가 집중관리 대상으로 지정한 공공시스템 123개 가운데 개인정보 보유량이 많은 7개를 선정해 모의해킹을 실시했다. 7개 시스템 모두에서는 권한이 없는 타인의 개인정보를 조회하거나 탈취할 수 있는 취약점이 확인됐다.
한 시스템은 중요 접속정보가 암호화되지 않아 관리자 권한을 확보하면 주민등록번호 등 13만명의 정보를 탈취할 수 있었다. 또 다른 시스템은 입력값 검증이 미흡해 주민등록번호 등 최대 5000만건을 반복 조회할 수 있었다. 시스템 개편 뒤 재점검이 이뤄지지 않아 회원정보 1000만건을 20분 안에 탈취할 수 있는 사례도 확인됐다.
감사원은 공공부문 개인정보 유출의 95.5%가 외부 해킹으로 발생했는데도 기존 대책은 내부자 접근권한 통제에 치우쳤다고 진단했다.
◇제도는 손봤지만 예방조치는 2027년부터
정부는 감사원의 조사 결과를 토대로 대응에 나섰다. 개인정보위는 감사원의 협조 요청을 받은 뒤 지난 3월 공공부문 개인정보보호 제도 개선안을 내놨다. 집중관리시스템 58개 기관·387개 시스템을 대상으로 취약점 점검과 외부 전문가 침투테스트를 각각 연 1회 이상 실시하도록 하는 관련 고시를 개정한 것이다.
하지만 핵심 예방조치인 취약점 점검과 침투테스트 의무는 2027년 1월부터 시행된다. 공공기관들이 해당 고시에 따라 즉시 점검해야 할 의무는 부여되지 않은 셈이다.
규정이 시행된 뒤에도 점검 결과를 개인정보위에 정기 제출하는 구조가 아니다. 사고가 발생하면 조사 과정에서 해당 기관의 준수 여부를 확인하는 방식이다. 공공시스템 전반의 취약성을 선제적으로 파악하고 관리하는 데 한계가 있다는 분석이다.
◇공공실태점검단 6월 출범, 8월부터 현장 점검
개인정보위는 지난 6월에서야 공공부문 개인정보 보호 실태를 전담 점검하는 '공공실태점검단'을 출범시켰다. 공공기관의 개인정보 관리체계를 사고 발생 뒤 조사하는 방식에서 벗어나, 위험 요인을 미리 확인하는 예방 중심 체계로 전환하기 위한 조직이다.
점검단은 출범 즉시 각 중앙부처에 본부와 산하기관의 개인정보 보호 체계를 자체 점검하도록 요청했다. 개인정보보호책임자(CPO)를 중심으로 내부 관리계획과 접근권한, 접속기록 관리, 사고 대응체계 등이 제대로 수립·운영되고 있는지를 살피도록 했다.
전담 조직을 중심으로 공공부문 점검이 본격화한 것은 긍정적이지만, 감사원이 공공시스템의 취약성을 공식 확인한 1월부터 공공부문 전반의 점검 체계가 가동된 6월까지 약 5개월의 공백이 있었던 점은 아쉬움을 남기는 대목이다.
개인정보위 관계자는 “각 부처로부터 공유받는 공공기관 점검 결과를 토대로 8월부터 추가 현장점검에 착수할 계획”이라고 밝혔다.
최경진 가천대 교수는 “공공부문이 상대적으로 중요 정보를 더욱 많이 다루는 만큼 자체적으로 보안 취약점을 점검하고, 지적 사항에 대해 즉시 보완하는 노력이 필요하다”며 “이를 촉진하려면 정부가 규제와 인센티브 제도를 균형있게 설계해야 한다”고 말했다.
박진형 기자 jin@etnews.com
