[CBC뉴스] 쿠팡이 최근 대규모 개인정보 유출 사건을 일으킨 가운데, 이 기업이 국내외 주요 보안 및 프라이버시 인증을 다수 보유하고 있었던 것으로 드러나면서 인증 제도의 실효성에 대한 의문이 제기되고 있다. 쿠팡은 정보보호 및 개인정보보호 관리체계(ISMS-P)를 비롯해 ISO/IEC 27001, 27701, 27017, APEC·Global CBPR, PCI DSS, ePrivacy 등 7개의 보안 및 프라이버시 인증을 보유하고 있다. 그러나 이와 같은 인증에도 불구하고, 전직 직원이 서명키를 이용해 개인정보를 유출한 사실이 밝혀졌다.

쿠팡의 박대준 대표는 최근 국회 과학기술정보통신위원회에서의 현안 질의에서, 정보 유출의 용의자로 지목된 전직 중국 국적 직원이 인증 업무 담당자가 아닌 인증 시스템을 개발하는 개발자였다고 설명했다. 정부에 따르면, 공격자는 쿠팡 서버의 인증 취약점을 악용해 정상적인 로그인 절차를 거치지 않고 고객의 이름, 이메일, 발송지 전화번호, 주소 등 3천만 건 이상의 개인정보를 유출했다.

전문가들은 인증 제도가 기업의 보안 체계 성숙도를 일정 수준 보증하는 역할을 하지만, 내부자 통제 및 접근권한 관리 같은 실질적 리스크는 별도의 관리 체계를 요구한다고 지적한다. 특히, 쿠팡과 같이 고위험 개인정보를 대규모로 처리하는 기업의 경우 접근권한 부여 및 회수 절차, 상시 로그 점검, 이상행위 탐지 등 운영 단계의 내부 통제가 사고 예방의 핵심이라는 의견이 제기된다.

가천대 법학과 최경천 교수는 인증의 갱신주기 및 취약성 제거 조치의 중요성을 강조하면서도, 최근 유출 사고의 공통 취약점인 자산 및 접근권한 관리 점검 주기를 강화하는 등 실효성 보완이 필요하다고 말했다. 한라대 AI정보보안학과 김동현 교수는 정보보안 담당자의 업무 부담과 숙련 인력의 이직 문제를 지적하며, 정부 차원에서 ISMS-P 이상의 인증 사업자를 대상으로 한 관리 현황 보고 체계의 필요성을 언급했다. 그는 기업의 실제 보안 관리 활동을 점검하고 보고할 수 있는 포털 운영 방안도 자율규제 강화와 같은 맥락에서 고려할 수 있다고 덧붙였다.

★ 네티즌 어워즈 투표하러 가기 ▶
★ 실시간 뉴스속보 - CBC뉴스 텔레그램 ▶

▮ CBC뉴스ㅣCBCNEWS 하영수 기자