보안인증 7개면 뭐하나…“인증제도 실효성 의문” 작성일 12-03 35 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">ISMS-P 등 국내외 보안인증 다수<br>유출사고에도 정보 ‘인증취소’ 0건<br>개보위, 쿠팡에 ‘노출→유출’ 조치</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="PuVsYJQ9Hv"> <figure class="figure_frm origin_fig" contents-hash="25a812e46917e5d6e0caabf773ee6dcc069fcf62b276d4e45cc97b55506efd9c" dmcf-pid="Q7fOGix2YS" dmcf-ptype="figure"> <p class="link_figure"><img alt="박대준 쿠팡 대표이사가 2일 서울 여의도 국회 과학기술정보방송통신위원회 전체회의에서 대국민 사과를 하고 있다. 임세준 기자" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202512/03/ned/20251203112347212iubt.jpg" data-org-width="1280" dmcf-mid="8ej39Cwa1y" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202512/03/ned/20251203112347212iubt.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 박대준 쿠팡 대표이사가 2일 서울 여의도 국회 과학기술정보방송통신위원회 전체회의에서 대국민 사과를 하고 있다. 임세준 기자 </figcaption> </figure> <p contents-hash="419cf33c4748d5de39a25b97ad12d2b42ba4474bd1db405750dbf81e8ff39551" dmcf-pid="xz4IHnMV5l" dmcf-ptype="general">대규모 개인정보 유출 사태가 발생한 쿠팡이 국내외 주요 보안·프라이버시 인증을 다수 보유한 것으로 나타났다. 그럼에도 퇴사한 직원의 개인정보 유출을 막지 못한 것으로 드러나면서 인증제도의 실효성에 의문이 제기된다.</p> <p contents-hash="d89d411c92172744322df6475cf7f38198975fcf14f1853b1f1353fc6cde69db" dmcf-pid="yB6hZoe45h" dmcf-ptype="general">더욱이 쿠팡처럼 개인정보 유출 사고를 내고도 정부의 정보보호 관리체계 ‘인증(ISMS-P)’ 취소를 받은 사례는 단 한 차례도 없는 것으로 드러났다. 올해만 해도 굵직한 사이버 침해 및 개인정보 유출 사고가 이어지고 있는데, 정부가 사실상 인증제도 ‘관리’에 손을 놓고 있다는 지적이다.</p> <p contents-hash="db1a80e35e33383188c8c1e8db2a82fa50de3f22bd9efa9666334366b0a9f003" dmcf-pid="WbPl5gd8HC" dmcf-ptype="general">▶역대 최악 개인정보유출 쿠팡, 보안인증 7개나 받았다=3일 쿠팡이 자사 프라이버시센터 홈페이지에 공개한 자료에 따르면 회사는 정보보호·개인정보보호 관리체계(ISMS-P)를 비롯해 ISO/IEC 27001(정보보호경영시스템)·27701(개인정보보호관리체계)·27017(클라우드 보안 관리체계), APEC·Global CBPR, PCI DSS, ePrivacy(프라이버시) 등 7개의 국내외 보안·프라이버시 인증을 보유했다.</p> <p contents-hash="b47e94f8759a4f71f77f92d0775fb436f6387a50ccfcd5ec39905f9fb565f97c" dmcf-pid="YKQS1aJ6tI" dmcf-ptype="general">대표적으로 ISMS-P 인증은 과학기술정보통신부와 개인정보보호위원회가 공동으로 운영하는 국내 유일의 정보보호·개인정보보호 관리체계 인증 제도다. ISO/IEC 27001은 국제표준화기구(ISO)와 국제전기기술위원회(IEC)가 제정한 정보보호 관리체계 국제표준이다. 약 90개 항목에 대한 심사를 통과해야 인증을 받을 수 있다.</p> <p contents-hash="e274a5bc6add090d9afd579ecccfecd6a6b01c6f43058c73affea01aabea6879" dmcf-pid="G9xvtNiPHO" dmcf-ptype="general">다수 인증을 갖춘 쿠팡이 대규모 유출을 막지 못한 것을 두고 관리 부실에 따른 ‘인재(人災)’란 지적이 나온다. 국회 과학기술정보방송통신위원회의 전날(2일) 현안 질의에서 지목된 핵심 용의자는 인증 시스템 개발 업무에 종사했던 중국 국적의 퇴사자 A씨다. 브랫 매티스 쿠팡 최고정보보호책임자(CISO)는 “A씨 퇴사 이후 접근 권한을 말소했다“고 밝혔으나, 인증에 쓰이는 ‘프라이빗 서명키’가 유출된 경로를 명확히 밝히지 않았다.</p> <p contents-hash="fab4047ef105e001e3fc2240bb9c21500212abd646c37f683804b4163862704c" dmcf-pid="H2MTFjnQGs" dmcf-ptype="general">전문가들은 인증 제도가 기업의 보안 체계 성숙도를 일정 수준 보증하는 역할을 하지만, 내부자 통제·접근권한 관리 같은 실질적 리스크는 별도의 관리 체계를 요구한다고 지적한다. 인증 취득을 통해 ‘보안 수준을 충족했다’는 외형을 갖추는 것과 실제 사고를 막는 것은 별개라는 것이다.</p> <p contents-hash="467b09926be69d492b34be16f8ad0fd23603ba3c3309ac347dd88467c5df4e4c" dmcf-pid="XVRy3ALxHm" dmcf-ptype="general">쿠팡처럼 고위험 개인정보를 대규모로 처리하는 기업의 경우 접근권한 부여·회수 절차, 상시 로그 점검, 이상행위 탐지 등 운영 단계의 내부 통제가 사고 예방의 핵심이라는 분석도 나온다.</p> <p contents-hash="f8e3faa09973d9ed3ec9dcb3394ade5a0c103c07ec477dd0ec25cc06971b9247" dmcf-pid="ZfeW0coMHr" dmcf-ptype="general">전날 과방위 현안 질의에서도 “ISMS 제도 자체에 대한 종합적인 점검을 통해 대책이 마련돼야 한다(조인철 더불어민주당 의원)” 등 관련 지적이 쏟아졌다. 이정렬 개인정보보호위원회 부위원장은 “내부 연구반을 구성해 제도 개선을 막바지 단계에서 논의 중”이라며 “조만간 전면적인 개편 방안을 보고드리겠다”고 말했다.</p> <figure class="figure_frm origin_fig" contents-hash="258ea98c5022060ba7670e7fc7375cfced8529ef284c6ef233b70a1b352b645b" dmcf-pid="54dYpkgR1w" dmcf-ptype="figure"> <p class="link_figure"><img alt="쿠팡이 고객들에게 보낸 개인정보 노출 통지 안내문. 임세준 기자" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202512/03/ned/20251203112347552ojik.jpg" data-org-width="1280" dmcf-mid="6VzchP2uXT" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202512/03/ned/20251203112347552ojik.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 쿠팡이 고객들에게 보낸 개인정보 노출 통지 안내문. 임세준 기자 </figcaption> </figure> <p contents-hash="3b9cdf7107fbc90e3e4fe9ac7edd91d0827c68b4c0c97aee44324edae889e200" dmcf-pid="18JGUEaeYD" dmcf-ptype="general">▶유출사고 내고도…정보 ‘인증 취소’는 0건=정부의 인증 관리에도 허점이 드러났다. 정부가 기업에 ‘ISMS-P’ 인증을 부여한 후, 이를 취소한 사례는 한 차례도 없었던 것으로 나타났다.</p> <p contents-hash="f6c0b6b8e990a9f18606ba52063ca0f15458396ae4db52b0cd6cee65ead76ec9" dmcf-pid="t6iHuDNd5E" dmcf-ptype="general">정부 인증을 받고도 유출사고를 낸 것도 모자라, 유출 사고 이후에도 ‘관리 체계를 잘 준수하고 있다’는 인증을 유지하고 있는 셈이다. 정부 관계자는 “ISMS-P 인증 취소 전례는 없다”며 “자율 인증이다 보니 활성화를 유도하기 위한 차원이고, 패널티 수준도 과태료에 불과하다”고 밝혔다.</p> <p contents-hash="d460143df5bb7410c99b103acf7bc465ab5beece93138c7c80f92358c46009bb" dmcf-pid="FPnX7wjJXk" dmcf-ptype="general">업계에선 ISMS-P 제도 운영이 사실상 참여 활성화에 맞춰져 있다 보니 ‘인증 취소’를 받은 기업이 단 한 곳도 없을 정도로 유명무실하게 운영되고 있다는 지적이 터져 나온다. 개인정보보호법, 정보통신망법상 인증 취소 요건이 있으나, 적용된 사례는 없었다. 벌칙 조항도 ‘3000만원 이하’ 과태료에 불과하다.</p> <p contents-hash="99e3c7180a96c1b5df87db64a1a15aa0dcc6150ba5cef031c95036407d354551" dmcf-pid="3Mg1BskLYc" dmcf-ptype="general">실제로 지난 2020년부터 이달까지 ISMS-P 인증기업 27곳에서 34건의 개인정보 유출이 있었다. 최근 대규모 해킹사고를 겪은 SK텔레콤, KT, 예스24, 롯데카드 모두 ISMS-P 인증기업이다. 쿠팡도 2021년과 지난해 ISMS-P 인증을 받았다. ISMS-P 인증에 대한 관리가 되고 있지 않다는 방증이다.</p> <p contents-hash="22fd7fa1f74e34171013d0adde560f3592dfd3203745b448b31be4abbe8fc09c" dmcf-pid="0RatbOEo5A" dmcf-ptype="general">이 때문에 실효성 있는 ISMS-P 운영에 대한 요구가 커지고 있다. 황석진 동국대 정보보호대학원 교수는 “ISMS-P 인증을 받았음에도 해킹 등 사태가 발생하는 것은 앞뒤가 맞지 않는 결과”라며 “ISMS-P가 형식적인 요건에 그치고 있다”고 비판했다.</p> <p contents-hash="ce0ae61e255d8b97fed94304d5c2765745f2235d9bdea77726fedc3d914c9a3f" dmcf-pid="peNFKIDg1j" dmcf-ptype="general">이어 “서류 심사 등으로만 볼 게 아니라 현장 실사를 나가서 확인 하는 등 취약점이 있다면 애초에 ISMS-P 인증 자체를 해주지 말아야 한다”고 덧붙였다.</p> <p contents-hash="4b8b975ecf9876ee1dec2d8ac5a0a47c6183dba56196e8e244fe2eb15c77e2c3" dmcf-pid="Udj39CwaZN" dmcf-ptype="general">이에 대해 정부 관계자는 “KT 등 조사 결과가 나오면 인증 취소 관련해 적극적으로 검토할 예정”이라고 밝혔다.</p> <p contents-hash="62f75b9f8df23579419487acbddf8197904e8d6027a937ad85e640ef622a79af" dmcf-pid="uJA02hrNta" dmcf-ptype="general">▶개보위, “노출→유출통지 수정하라”=개인정보보호위원회는 이날 쿠팡 개인정보 유출사고와 관련해 긴급 전체회의를 열고 대응상황을 점검했다.</p> <p contents-hash="8c1598b2f931e5c2a4f24be14bbbd37f5df4e5fc59d9ba63814fbe949fb2d6c1" dmcf-pid="7icpVlmjHg" dmcf-ptype="general">개보위는 점검결과, 쿠팡이 정보주체에게 개인정보 ‘노출’ 통지라는 제목으로 개인정보 일부 노출사고 발생이라고 안내하였을 뿐 ‘유출’ 사실을 통지하지 않다고 확인했다. 관련 내용을 홈페이지에도 단기간(1~2일) 공지했으며, 유출 항목의 일부(공동현관 비밀번호 등)를 누락하는 등 국민의 혼선을 초래하고 있는 사실을 확인했다.</p> <p contents-hash="bc1e47497cb8112026ae7b85fc30495f6e309a79c4c7787066bf3d2fe3432c5a" dmcf-pid="znkUfSsAXo" dmcf-ptype="general">개보위는 국민 혼선이 없도록 개인정보 ‘노출 통지’를 ‘유출 통지’로 수정하고 유출 항목을 빠짐없이 반영해 재통지하라고 조치했다.</p> <p contents-hash="a46f095e3452e81f6fee0eb08a526176e70c5259a4f458902e8327b4effd6dd9" dmcf-pid="qLEu4vOcXL" dmcf-ptype="general">또 홈페이지 초기 화면 또는 팝업창 등 통해 일정기간 이상 유출 내용을 공지하고, 정보 유출로 인한 이용자의 추가적인 피해 예방 요령 등을 적극적으로 안내하라고 조치했다.</p> <p contents-hash="9a2e949abd7c241b9c2cb1e73de86fab07d9966aeed5ee23cb1db20e3e7b0e40" dmcf-pid="BoD78TIktn" dmcf-ptype="general">개보위는 쿠팡에 7일 이내에 조치결과를 제출하도록 했으며, 이행상황을 지속적으로 점검해 국민 혼란과 불안 해소에 집중할 예정이다.</p> <p contents-hash="71d9b758123334484857d2e5ab56785ff526b228e529064570c14f5dcc0c0b4c" dmcf-pid="bgwz6yCEti" dmcf-ptype="general">박세정·고재우·김진 기자</p> </section> </div> <p class="" data-translation="true">Copyright © 헤럴드경제. 무단전재 및 재배포 금지.</p> 관련자료 이전 디에스앤지, AMD Instinct™ MI355X 탑재한 공랭식 AI 서버 국내 공급 개시 12-03 다음 청각장애인 방송 접근성 높인다…TTA·SKB ‘AI 자막’ 시범 적용 12-03 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
