릴게임갓 > 손오공릴게임

(시사저널=조유빈·변문우 기자)
내용보호 및 개인내용보호 관리체계 인증(ISMS-P)을 2차례 획득한 쿠팡에서 총 4번의 개인내용 유출 사고가 발생하면서 '인증 무용론'이 제기되는 가운데, 앞서 보안 인증을 받은 기업들에서도 이미 3600만 건이 넘는 내용가 유출된 것으로 점검됐다. 특히 해킹뿐 아니라 업무상 과실 등으로 유출된 개인내용도 30만 건에 육박한 것으로 나타났다. ISMS-P 인증을 받을 경우 과징금 감경 혜택 등을 받을 수도 있다는 점에서 인증·심사 기관은 보안 인증 수수료를 챙기고, 기업은 사고 발생에 대비해 인증을 받는 '면죄부 장사'가 이뤄지고 있다는 비판도 제기된다.



지난 3일 서울 송 바다이야기하는법 관련 내용 파구 쿠팡 본사 앞에서 참여연대와 민주사회를 위한 변호사모임 민생경제위원회, 한국소비자연맹이 연 '쿠팡 개인내용 유출 집단분쟁조정 신청 돌입 기자회견'에서 참가자들이 사과와 책임을 촉구하는 퍼포먼스를 하고 있다. ⓒ연합뉴스


인증받은 공공기관서도 개인내용 유출
국회 정무위원회 소속 바다신2설치 자료 김상훈 국민의힘 의원이 개인내용위원회(개인내용위)로부터 제출받은 자료에 따르면, 2021년 11월~2025년 8월까지 총 27곳의 ISMS-P 인증 기업에서 개인내용 유출 사고가 발생했다. 사고 건수는 30건, 유출된 내용는 3632만5523건에 달한다. 쿠팡의 이번 개인내용 유출 사고 전에도 보안이 인증된 기업에서만 수천만 건의 개인내용가 이미 새나간 것 검증완료릴플레이 이다. 쿠팡을 비롯해 올해 개인내용 유출 사고를 겪은 롯데카드, 예스24, KT, LG유플러스, 넷마블 등 6곳과 관련한 조사도 진행되고 있어 유출된 내용 건수는 대폭 증가할 전망이다.
ISMS-P는 국내에서 유일한 개인내용 보호 통합 인증제도다. 내용보호 및 개인내용 보호를 위한 일련의 조치와 활동이 적합한지를 심사한다. 내용보호를 인증 야마토플레이 하는 ISMS 기준(관리체계 수립 및 운영 16개·보호대책 요구사항 64개)에 더해, 개인내용 처리 단계별 요구사항 21개에 대한 인증을 받아야 한다. ISMS-P 인증을 받은 기업 수는 2022년 총 178곳이었다가 2023년 218곳, 2024년 239곳, 올해 11월 말 기준 263곳으로 늘었다.
보안 인증을 받은 기업은 매년 늘어나 바다이야기무상머니 고 있지만 개인내용 유출 사고는 이어지고 있다. 올해 개인내용 유출 사고를 겪은 통신3사와 롯데카드, 예스24, 쿠팡 등은 모두 ISMS-P 인증을 받은 기업이다. 지난 8월까지 개인내용가 유출돼 처분을 받은 인증 기업은 SK텔레콤(유출건수 2324만4650건), LG유플러스(32만6573건), KT(1170만8875건)를 비롯해, 쿠팡(15만8057건), 우리카드(7만5000건), 삼성증권(4만8122건) 등이다. 개인내용 유출로 처분을 받은 인증기관에는 서울특별시(1150건)와 한국남부발전(1952건) 등 공공기관도 포함됐다. 동행복권에서도 74만9114건의 내용가 유출됐다. 



자체 안전조치도 소홀…"면책 인증 구매" 비판도 
문제는 해킹이 아닌 업무상 과실이나 내부 통제 실패로 개인내용가 유출된 사례가 적지 않다는 점이다. 처분을 받은 30곳 중 해킹으로 대규모 내용가 유출된 곳은 통신3사(SKT 1건은 내부 문제)와 동행복권이다. 나머지 기업들에서는 업무상 과실이나 관리 소홀로 인해 개인내용가 유출된 것으로 나타났다. 이렇게 유출된 개인내용 건수도 29만4362건에 달한다. 관리체계 수립이나 보호대책 요구사항, 개인내용 처리 단계별 요구사항 등 수많은 단계를 거쳐 인증을 받음에도 불구하고, 기업 내부에서조차 개인내용 보호와 안전 조치가 제대로 이뤄지지 않고 있는 것이다.
7만5000건의 개인내용가 유출된 우리카드의 경우 인천영업센터가 신규 카드발급 마케팅을 통한 영업실적을 늘리기 위해 가맹점주의 개인내용를 조회해 목적 외로 사용한 것으로 나타났다. 삼성증권은 관리자 페이지 접근 시 인증절차를 누락하는 등 접근 통제를 소홀히 해 사용자 4만8122명의 개인내용가 유출된 바 있다. ISMS-P 인증이 개인내용 보호 의무를 다했다는 증명처럼 여겨지고 있지만, 사실상 내부 통제마저도 실패하는 일이 이어지고 있는 것이다.
특히 최근 개인내용 유출 사고가 연이어 발생하는 데는 유명무실한 인증 제도를 운영해 온 개인내용위의 책임도 크다는 지적이 나온다. 의원실에 따르면, ISMS-P 인증을 받기 위해 드는 비용은 1000만~1800만원으로, 인증 유효기간은 3년이다. 개인내용 유출 사고가 발생할 경우 ISMS-P 인증을 보유하고 있다면 '조정 사유'로 감안돼 과징금 등 감경 혜택을 최대 50%까지 받을 수 있다. 사고가 발생했을 때 대응에 유리하고 감경된 과징금의 액수가 인증 비용을 훨씬 상회할 수 있다는 점에서, 인증제도 자체가 법적·재정적 보호막이 될 수 있다는 비판이 나온다.
김상훈 의원 "예방 효과 없어…중대 결함 시 인증 취소해야"
현행 과기정통부·개인내용위의 '내용보호 및 개인내용보호 관리체계 인증 등에 관한 고시'에 따르면, 인증 기준에 미달하거나 사후 관리를 거부하는 경우, 개인내용보호 관련 법령을 위반하고 그 사유가 중대한 경우 등에는 인증을 취소할 수 있다. 그러나 현재까지 인증이 취소된 사례는 없다.
김상훈 의원은 "실제 예방 효과 없이 인증·심사 기관은 기업 당 1000만원이 넘는 인증 수수료를 챙기고, 기업은 사고 발생을 대비해 '면책 인증'을 구매한다는 비판이 나온다"며 "인증제를 실효성 있게 운영하기 위해 유출 사고와 직결되는 핵심 항목 기준에 미달할 경우 심사 대상에서 제외하는 등 예비 심사를 도입하고, 현장 중심의 심사를 강화해야 한다"고 말했다. 또 "중대 결함 시 인증 취소 등 사고기업 사후관리를 강화하고 인증·심사 기관의 전문성도 제고하는 등 제도를 전면 개편해야 할 필요가 있다"고 말했다.