무거워진 통신사 책임… 보안투자 키울 '정밀·정교'한 과징금 체계 필요

[미디어펜=배소현 기자] SK텔레콤(SKT)에 이어 KT에도 개인정보 유출 사고와 관련한 대규모 과징금이 부과되면서 통신업계의 보안 책임이 한층 더 무거워지는 분위기다. 국가 기간망을 운영하는 통신사들은 대규모 개인정보를 관리하는 만큼 보안 인력과 시스템 투자도 지속적으로 확대해야 하는 상황이다. 이에 업계에서는 엄격한 책임을 전제로 하되 실제 피해와 사후 대응, 기업의 보안 투자 노력을 보다 정교하게 평가하는 방향으로 과징금 산정 체계를 보완해야 한다는 의견이 나온다.

31일 업계에 따르면 개인정보보호위원회는 최근 KT의 개인정보 유출 사고와 관련해 과징금 539억7900만 원을 부과하고 시정명령과 개선권고를 의결했다.

이번 사고는 유실된 펨토셀 인증서를 이용한 불법 접속으로 알뜰폰 가입자를 포함한 이용자 1만6647명의 휴대전화번호와 IMSI, IMEI 등이 유출된 사건이다. 개인정보위는 KT가 인증서 관리와 내부망 접근통제, 이상 접속 탐지 체계를 충분히 갖추지 못했다고 판단했다.

다만 개인정보위는 피해 규모와 정보의 민감도, 피해보상과 시정조치 등을 종합적으로 고려해 위반 정도를 '중대한 위반'으로 판단했다. 앞서 지난해 가입자의 유심 정보가 유출된 SKT 사고가 '매우 중대한 위반'으로 분류된 것과는 차이가 있다.

KT 과징금은 최근 3년 평균 무선서비스 관련 매출을 기준으로 산정됐다. 개인정보위는 IPTV와 초고속인터넷 등 사고와 직접 관련 없는 매출은 제외했고, 피해 회복과 조사 협조 등도 최종 제재 수준에 반영했다고 설명했다.

업계에서는 개인정보 보호에 대한 책임을 강화하는 방향에는 공감하면서도 기업이 보안 투자에 적극 나설 수 있는 환경도 함께 마련돼야 한다고 보고 있다. 특히 통신사는 수천만 명의 개인정보와 인증 체계를 운영하는 국가 기간망 사업자인 만큼 보안 인력 확충과 시스템 고도화에 지속적인 투자가 필요하다는 설명이다.

현행 개인정보 보호법은 관련 매출을 기준으로 과징금을 산정한 뒤 위반 정도와 피해 규모, 시정조치 등을 종합적으로 반영하는 구조다. 그러나 업계에서는 실제 2차 피해와 개인정보 민감도, 사고 이후 피해 회복 노력, 선제적인 보안 투자 등을 보다 세분화해 평가할 필요가 있다는 의견도 나온다.

해외에서는 개인정보가 유출됐다는 사실 자체뿐 아니라 실제로 명의도용이나 금융사기 등 2차 피해가 발생했는지, 공격자가 해당 정보를 실질적으로 취득·활용했는지를 제재와 손해배상 판단의 주요 기준으로 삼는 경우가 많다. 미국의 여러 주에서도 구체적인 손해가 입증되지 않으면 개인정보 유출만으로 소송을 제기하기 어렵도록 운영하고 있다. 일본 역시 매출에 일정 비율을 곱해 과징금을 산정하기보다 위반 유형별 법정 상한액을 두는 방식에 가깝다.

이에 업계에서는 통신사가 국가 기간망을 운영하는 만큼 엄격한 책임을 부담해야 한다는 점에는 이견이 없지만 실제 2차 피해와 범인의 정보 취득 여부, 유출 정보의 민감도, 사고 이후 보상과 보안 투자 노력 등을 보다 세분화해 반영할 필요가 있다고 보고 있다. 기업 규모에 따라 과징금이 커지는 현행 틀을 유지하더라도 실제 피해 가능성과 선제 대응을 함께 평가하는 기준을 마련해야 제재의 예측 가능성을 높이고 자발적인 보안 투자도 유도할 수 있다는 설명이다.

특히 사고 발생 이후 신속한 신고와 고객 보호 조치, 보안 인프라 확대 등을 객관적인 평가 요소로 반영하면 기업들이 사고를 숨기기보다 적극적으로 대응하고 장기적인 보안 투자도 확대하는 선순환 구조를 만들 수 있다는 분석이다.

이 때문에 업계에서는 개인정보 보호와 기업의 보안 투자 확대를 함께 이끌 수 있는 방향으로 제도를 지속 보완해야 한다는 목소리가 나온다. 사고 이후 제재뿐 아니라 평상시 보안 투자와 대응 노력이 적절히 평가받는 환경을 만들어야 기업들도 장기적인 보안 역량 강화에 적극 나설 수 있다는 설명이다.

업계 내 한 관계자는 "통신사는 국가 핵심 인프라를 운영하는 만큼 높은 책임을 지는 것은 당연하다"면서도 "실제 피해 규모와 기업의 보안 투자, 사후 대응 노력까지 충분히 평가하는 체계가 마련돼야 기업들도 장기적인 보안 투자에 더욱 적극적으로 나설 수 있을 것"이라고 말했다.