쿠팡發 ‘ISMS-P 인증 박탈’ 현실화되나…정부, 첫 인증 취소 가능성 시사

퇴사자 접근권한 미회수 등 중대한 보안 미비 드러나…제도 근간 흔드는 ‘인증 무용론’ 확산

 

서울의 한 차고지에 쿠팡 배송 차량이 주차되어 있다. [사진=뉴시스]

스페셜경제=남하나 기자 | 3370만명의 개인정보 유출 사고를 일으킨 쿠팡이 정부가 부여한 개인정보보호통합인증(ISMS-P)을 박탈당하는 첫 사례가 될 가능성이 제기됐다.

국회 정무위원회 현안 질의에서 인증제도의 실효성과 쿠팡의 보안관리 체계에 대한 비판이 집중되면서 정부도 "인증 취소 검토" 입장을 공식화했다.

ISMS-P는 정보보호와 개인정보보호 관리체계를 통합한 최고 수준의 보안 인증 제도다. 과학기술정보통신부와 개인정보보호위원회가 공동 고시하며, 해당 인증을 보유한 기업은 일정 수준 이상의 보안 관리 체계를 갖춘 것으로 인정받는다. 현재까지 국내에서는 총 263개 기업이 ISMS-P 인증을 획득했다.

그러나 국회에 따르면 이들 중 쿠팡, SK텔레콤, KT, 롯데카드 등 27곳에서 최근 5년간 총 33건의 개인정보 유출 사고가 발생한 것으로 드러났다.

특히 이번 쿠팡 사태는 퇴사자의 접근 권한을 방치해 사고로 이어졌다는 점에서 ‘명백한 인증 위반’이라는 지적이 제기됐다.

김용만 더불어민주당 의원은 “퇴직자가 패스키를 통해 접근했다면 인증 기준을 위반한 것 아니냐”고 추궁했고, 이에 대해 이상중 한국인터넷진흥원장은 “그렇게 보인다”며 사실상 위반 사실을 인정했다.

정부는 ISMS-P 인증 보유 기업에 대해 전수조사 방침과 함께 과징금 감경 기준, 사후관리 제도 개선에 나서겠다고 밝혔다. 현행법상 ISMS-P 인증 기업은 유출 사고 발생 시 과징금 감경 혜택을 받을 수 있다. 실제로 쿠팡은 지난해 2만2000여건의 개인정보 노출 사고 당시 감경을 통해 약 39억원의 기준액이 13억원 수준으로 대폭 줄어든 바 있다.

이에 대해 한창민 사회민주당 의원은 “홍보 수단으로 사용한 인증을 과징금 감경 사유로 활용하는 건 이중 혜택”이라며 고시 개정의 필요성을 역설했다.

송경희 개인정보위원장은 "이달 중 인증 취득 기업에 대한 모의 해킹 검사 등 실질적 운영 여부를 확인하는 TF를 구성할 예정"이라며 "기준 미달시 인증 취소까지 검토하겠다"고 밝혔다. 실제 현장조사도 조만간 착수될 것으로 보인다.

 

 

 

 

쿠팡發 ‘ISMS-P 인증 박탈’ 현실화되나…정부, 첫 인증 취소 가능성 시사 - 스페셜경제