[비즈한국] 대규모 개인정보 유출과 해킹 사고, 유출 의혹이 잇따른 통신 3사의 보안 부담이 한층 커졌다. 지난 11일부터 반복적이거나 중대한 개인정보 침해에 전체 매출액의 최대 10%까지 과징금을 부과할 수 있는 개정 개인정보 보호법이 시행됐기 때문이다. 각사는 정보보호 투자와 인력을 늘리고 있지만 사고 이후 책임체계를 손보는 방식에는 차이가 나타난다.
CISO·CPO 분리한 KT·SKT…LG유플러스는 겸직 유지
15일 통신업계에 따르면 KT와 SK텔레콤은 잇단 해킹과 개인정보 유출 사고 이후 보안 조직과 관리체계를 손질했다. 반면 LG유플러스는 보안 투자를 확대하면서도 정보보호최고책임자(CISO)와 개인정보보호책임자(CPO)를 한 사람이 맡는 기존 체제를 유지하고 있다.
KT는 CISO에 금융결제원 출신 인사를 영입한 데 이어 지난 4월 CPO로 김창오 과학기술정보통신부 정보보안 프로그램 매니저(PM)를 선임하며 두 역할을 분리했다. 이후 CISO를 중심으로 한 정보보호 거버넌스를 강화하고, 실제 공격자의 관점에서 회사의 방어체계를 점검하는 전담 조직인 ‘레드팀’도 신설했다.
SK텔레콤은 보안 책임체계부터 개편했다. CISO 조직을 CEO 직속으로 격상하고 CPO를 별도로 두면서 두 역할을 분리했다. CPO가 IT와 인프라 영역을 포함해 회사 전반의 개인정보 자산을 관리·감독할 수 있도록 권한도 확대했다. 정보보호 인증 범위도 이동전화 고객관리 시스템과 주요 서비스로 확대했다.
LG유플러스는 홍범식 대표 취임 이후 보안 전문기업 파고네트웍스를 인수하고 과학기술정보통신부가 추진하는 ‘보안취약점 상시 신고·조치·공개(CVD·VDP) 시범사업’에 참여하는 등 보안 위험을 사전에 찾아 대응하는 체계를 확대하고 있다. 다만 현재 정보보안센터장이 CISO와 CPO를 함께 맡고 있으며 최근 해킹 의혹 이후에도 두 직책을 별도로 분리할 계획은 없는 것으로 파악됐다.
CISO와 CPO를 한 사람이 겸직하거나 CPO가 다른 업무를 함께 맡는 것 자체가 법 위반은 아니다. 두 직책을 분리한다고 개인정보 유출을 막을 수 있다고 단정하기도 어렵다. 다만 CISO가 침해사고 대응과 정보보호 전반을 담당한다면 CPO는 개인정보의 수집·이용부터 보관·파기까지 전 과정을 총괄한다. 개정 개인정보 보호법은 CPO의 권한과 대표자의 최종 책임을 보다 명확히 했다.
개정법은 CPO가 개인정보 보호 업무를 독립적으로 수행할 수 있도록 권한과 지위를 보장하고, 필요한 인력과 예산을 지원하도록 하는 내용도 담고 있다. CISO와 CPO가 각자의 역할을 실질적으로 수행할 수 있도록 필요한 권한과 인력, 예산을 갖추고 있는지 여부가 중요한 셈이다. 겸직 여부와 관계없이 실제 개인정보 관리·감독 체계가 어떻게 운영되는지가 관건이다.
보안 투자·인력 확충…후속 조치는 진행형
통신 3사는 조직 정비와 함께 정보보호 투자에도 나서고 있다. 한국인터넷진흥원 정보보호 공시에 따르면 지난해 정보보호 투자액은 KT 1276억 원, LG유플러스 1260억 원, SK텔레콤 1111억 원으로 집계됐다. 다만 사업 규모와 정보시스템 구성, 보호해야 할 자산의 범위가 다른 만큼 투자액의 많고 적음만으로 보안 역량을 비교하기는 어렵다.
전담 인력 확충도 이뤄지고 있다. SK텔레콤은 정보보호 전담인력을 전년 대비 56% 늘렸다. KT는 전체 정보보호 전담인력 317명 중 절반 이상을 내부 보안 인력으로 두고 있으며 추가 인력 확보에도 나서고 있다. 지난달 보안심의 경력직 채용을 진행한 데 이어 이달에는 보안 아키텍트 경력직을 모집하는 중이다.
투자 확대와 별개로 과제도 남아 있다. SK텔레콤은 실시간 감시·차단을 위한 EDR 적용 확대와 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증 범위 확대 등 일부 조치를 아직 진행 중이다. KT도 지난 7월 개인정보보호위원회로부터 펨토셀 등 통신설비 전반의 취약점을 점검하고 CPO의 실질적 역할 수행을 포함한 재발방지 대책을 3개월 안에 수립·보고하라는 시정명령을 받았다.
LG유플러스 역시 지난해 개인정보 유출 의혹 조사 착수 전 관련 서버가 폐기된 것과 관련해서는 개인정보위가 증거 인멸 가능성이 있다고 보고 수사기관에 수사를 의뢰한 상태다. 이는 수사를 통해 사실관계와 책임을 확인해야 하는 사안으로, 증거 인멸이 확정된 것은 아니다.
반복 사고 땐 ‘조 단위’ 과징금 부과, 과연 가능할까
통신사들이 보안체계 강화에 속도를 내는 배경에는 크게 높아진 과징금 부담이 있다. 지난 11일부터 개정 개인정보 보호법과 시행령·고시가 시행되면서 반복적이거나 중대한 개인정보 침해에 전체 매출액의 최대 10%까지 과징금을 부과할 수 있게 됐다.
특례 적용 대상은 고의 또는 중대한 과실로 최근 3년간 위반행위를 반복한 경우, 고의 또는 중대한 과실로 1000만 명 이상에게 피해를 초래한 경우, 시정명령 불이행으로 개인정보 유출 등 사고가 발생한 경우 등이다. 단순히 사고가 발생하거나 피해 규모가 크다는 이유만으로 곧바로 최대 10%가 적용되는 것은 아니다. 이동통신사 등에 대한 ISMS-P 인증 의무화는 내년 7월부터 시행될 예정이다.
부담 규모를 가늠하기 위해 지난해 연결기준 매출의 10%를 단순 계산하면 KT 약 2조 8200억 원, SK텔레콤 약 1조 7100억 원, LG유플러스 약 1조 5500억 원에 해당한다. 다만 이 금액은 각사 매출의 10%를 단순 계산한 수치로, 실제 과징금은 법령 위반의 중대성과 기간·횟수, 피해 규모, 조사 협력이나 재발방지 노력 등을 반영해 산정된다. 그럼에도 특례 요건에 해당하는 사고가 발생할 경우 통신사가 부담해야 할 재무적 위험은 이전보다 크게 확대됐다.
다만 강화된 과징금 특례가 실제 적용되기까지는 문턱이 높다는 평가도 나온다. 통신사처럼 정보보호 인증을 받고 대규모 보안 투자를 지속하는 대기업의 경우 사고 발생 사실만으로 고의·중과실을 인정하기는 어렵다는 게 업계의 시각이다.
업계 관계자는 “고의·중과실은 개인정보 유출 가능성을 알고도 필요한 조치를 하지 않는 등 상당히 예외적인 상황을 전제로 한다”며 “통신사처럼 보안 인증을 받고 지속적으로 투자를 해온 기업에 실제 적용될 가능성은 높지 않다. 사고 조사 결과 사실상 아무런 대비를 하지 않았다는 점이 확인되는 경우 등을 겨냥한 징벌적 성격이 강하다”고 말했다.