“공공도 안전지대 아니다…AI 시대 대응할 정보보호책임관 필요” – 디지털데일리
강소현 기자 , 김보민 기자 | ksh@ddaily.co.kr
김대환 소만사 대표가 <디지털데일리>를 만나 공공 정보보호책임관의 중요성에 대해 이야기하고 있다. [ⓒ소만사]
[디지털데일리 강소현·김보민기자]
지난 4월, 국내 대표 이동통신사 SK텔레콤에서 대규모 해킹 사고가 발생했다.
공격자가 2021년부터 서버를 침투해온 사실이 드러나면서,
다른 기업도 이번 사태를 반면교사 삼아 보안체계를 점검해야 한다는 목소리가 커졌다.
조직 내 보안 전략을 이끄는 정보보호최고책임자(CISO)의 위상을 높여야 한다는 의견도 다시 주목을 받고 있다.
이러한 분위기 속, 공공에서도 CISO와 유사한 ‘정보보호책임관’ 제도를 강화해야 한다고 목소리를 높인 인물이 있다.
정보보호 전문기업 소만사의 김대환 대표다.
김 대표는 CISO법 제정 당시 업계 관계자로서 적극 의견을 개진한 인물이다.
<디지털데일리>는 소만사 판교사옥에서 김 대표를 만나 국내 보안 현장의 현주소를 들어봤다.
◆ “SKT 해킹, 11년 만의 대형 사고…인프라 보호 중대성 보여줘”
김 대표는 국내에서 발생한 많은 보안 사고 중 SK텔레콤 사태가 시사하는 바가 다르다고 평가했다.
그는 “우리나라 기반 인프라가 수년에 걸쳐 위협을 받았고,
핵심 인프라를 겨냥한 국가 단위 해킹 공격이 일어났다는 점을 주목해야 한다”며 “약 11년 만의 가장 큰 사건”이라고 밝혔다.
11년 전인 2014년은 국내를 들썩이게 한 보안 사고가 연달아 발생했던 해다.
주요 카드사에서 1억건이 넘는 고객 개인정보가 유출됐고,
한국수력원자력 전산망에서 임직원 정보와 발전사 자료가 유출되는 사고가 뒤를 이었다.
보안업계에서는 ‘얼룩진 2014년’이라는 표현이 떠오르기도 했다.
김 대표는 “10여년의 시간 동안 인터파크와 같은 다른 보안 사고도 있었지만,
SK텔레콤 해킹의 경우 궤를 달리한다”며
“보안에 투자하는 것이 곧 (기업 연속성을 유지하는) 선순환의 시작이라는 사실을 보여줬다”고 강조했다.
SK텔레콤은 최근 대대적인 고객보상안과 함께 정보보호정책 강화 방안을 내놓은 상황이다.
이용자 보상으로 5000억원을, 정보보호 역량 강화를 위해 7000억원을 5년에 걸쳐 투입하기로 했다.
이에 더해 이번 사태로 가입을 해지한 이용자에 위약금을 환급해주기로 했다.
이는 유사한 개인정보 침해 사고와 비교해 파격적인 보상 수준이라는 게 업계 평가다.
다른 통신사의 사례를 살펴보면,
지난 2023년 해킹으로 개인정보가 유출되는 피해가 발생한 LG유플러스는 ‘U+스팸차단알리미’ 무료 지원하는데 그쳤고,
2012년과 2014년 개인정보 유출 사고가 발생한 KT는 별도 보상책을 발표하지 않았다.
보안업계는 SK텔레콤을 대상으로 과징금을 비롯해 대규모 제재가 취해질 것으로 전망하고 있다.
김 대표는 이러한 조치가 민간뿐만 아니라 공공에도 경종을 울릴 것으로 내다봤다.
그는 “보안에 충분한 투자를 하지 않을 경우 (과징금을 비롯한 추가적인) 비용을 감당해야 하고,
불명예까지 안아야 한다는 점을 보여준 사례가 될 수 있다”며
“돈을 아끼기 위해서라도 보안에 투자를 해야 한다는 ‘선순환의 필요성’을 보여줄 것”이라고 말했다.
CISO의 중요성이 커지고 있다는 점도 주목했다.
정보통신망법에 따르면 CISO는 정보통신시스템 등에 대한 보안 및 정보의 안전한 관리의 역할을 한다.
특히 SK텔레콤은 사고 이후 CISO 조직을 최고경영자(CEO) 조직으로 격상했다.
CISO 제도가 비교적 잘 운영되고 있다고 평가받는 금융권과 달리, 통신사의 경우 CISO가 리더십을 발휘하기 어려운 구조라고 지적됐다.
통신사의 경우 통상 네트워크 보안팀과 CISO 조직이 별도로 운영되는데
통신업의 특성상 네트워크 보안팀이 회사 내에서 가지는 영향력이 더 크기 때문이다.
즉, SK텔레콤은 이번 조직 개편을 통해 CISO에 힘을 실어준 셈이다.
이에 대해 김 대표는 “CISO에게 힘을 실어주면 사내 갈등관계가 발생할 수밖에 없는데 이는 결국 CEO의 의지가 중요하다”라며
“이러한 맥락에서 CEO 직속으로 넣었다는 건 상징적 의미가 있다.
(CEO가) 보고를 받는다는 것 결국 (사고발생 시) CEO도 책임지겠다는 의미”라고 말했다.
◆ AI 강국 약속했지만, 보안 책임자 부족…“공공 미흡점 보완해야”
김 대표는 이러한 대형 보안 사고가 민간만의 문제가 아니라고 지적했다.
정부 부처를 비롯한 공공 또한 대내외 위협에 노출돼 있다는 취지다.
특히 공공 정보보호책임관이 이러한 대내외 보안 위협을 대응할 중심축이 돼야 한다고 강조했다.
정보보호책임관은 국가 혹은 사회적으로 중요한 정보통신기반시설 등에 대한 정부의 책임을 강화하고,
보호 대책을 마련하고 침해사고 피해 확산을 방지하는 역할을 한다.
현재 과학기술정보통신부(이하 과기정통부)를 비롯한 일부 부처에서 운영되고 있지만, 확산 속도는 더딘 실정이다.
