최근 기업들의 개인정보 유출 사고가 잇따르는 가운데, 11일부터 반복적이거나 중대한 개인정보 침해 사고를 일으킨 기업에는 전체 매출액의 최대 10%까지 과징금을 부과할 수 있게 됐다. 기존보다 제재 수위가 크게 높아지면서 개인정보 보호가 최고경영자(CEO)와 이사회가 직접 관리해야 할 경영 리스크로 부상하고, 기업의 선제적인 보안 투자를 끌어낼 것이라는 기대가 나온다.
다만 최근 사고 중에는 고난도 해킹 기법보다 계정·접근권한·인증 정보 관리 등 기본적인 보안 통제가 제대로 작동하지 않아 피해가 커진 사례도 적지 않다. 이에 처벌 강화와 함께 기업의 인력·예산·보안 운영체계를 개선해야 한다는 지적이 나온다.
개인정보보호위원회에 따르면 지난 3월 개정된 개인정보보호법과 법에서 위임한 세부 사항을 구체화한 시행령이 이날부터 시행된다.
개정법은 고의·중대한 과실로 3년 이내 위반행위를 반복하거나, 고의·중과실로 1000만명 이상의 대규모 피해를 발생시킨 경우 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 했다. 개인정보위의 시정명령을 이행하지 않아 개인정보 유출 사고가 발생한 경우도 적용 대상이다.
기존에는 개인정보보호법 위반 시 전체 매출액의 최대 3%까지 과징금을 부과할 수 있었지만, 이번 개정으로 중대·반복 침해행위에 대한 상한이 10%까지 높아졌다. 유럽연합(EU) 일반개인정보보호법(GDPR)의 중대한 위반에 대한 과징금 상한인 전 세계 연매출 4%보다도 높은 수준이다.
◇ "CEO가 직접 관리할 위험으로 인식"… 보안 투자 확대 효과 기대
전문가들은 전체 매출액의 최대 10%에 이르는 과징금이 기업의 보안 투자를 유인하는 효과를 낼 것이라 보고 있다.
염흥열 순천향대 정보보호학과 명예교수는 "(이번 시행으로) 개인정보 유출 위험을 보안 부서만의 문제가 아니라 CEO와 이사회가 직접 관리해야 하는 핵심 경영 위험으로 인식하게 할 수 있다"며 "과징금이 커지는 만큼 암호화와 다중인증, 이상 행위 탐지, 전문 인력 확보 등 사전 보안 투자의 경제적 타당성도 높아질 것"이라고 말했다.
당초 제재 수위가 높아지면서 기업이 사고를 은폐하거나 신고를 늦추는 부작용이 발생할 수 있다는 우려도 제기돼 왔다. 정부는 이번 시행령에 이를 완화하기 위한 장치를 함께 마련했다.
개인정보 유출 사실을 법정 기한 내 신고·통지하지 않고 피해 확산 방지 조치도 하지 않은 경우 과징금을 최대 30% 가중한다. 반대로 사고 대응 체계를 사전에 구축하고 사고를 조기에 탐지해 신속하게 신고·통지하거나 피해 확산을 막는 등 적극적으로 대응한 경우에는 과징금을 최대 40% 감경할 수 있도록 했다.
◇ 잇따르는 개인정보 유출… '기본 보안'부터 허점
한편, 이 같은 제재 강화와 별개로 최근 기업 현장에서 개인정보 유출·노출 사고가 잇따르고 있다. 지난 6월 티빙에서 대규모 개인정보 유출 사고가 발생한 데 이어 지난달 말부터 29CM, 강남언니, 화해, 위버스 등에서도 개인정보가 유출되거나 외부에 노출되는 사고가 이어졌다.
사고 원인은 기업마다 다르며 일부 사건은 아직 당국의 조사가 진행 중이다. 다만 원인 조사가 마무리된 사례에서는 새로운 고난도 공격 기법 자체보다 기존 보안 체계를 제대로 운영하지 못한 문제가 피해를 키운 정황이 확인됐다.
과학기술정보통신부 민관합동조사단에 따르면 티빙은 개발·운영 환경 접속 키를 소스코드에 암호화하지 않은 채 저장하거나 사내 메신저를 통해 공유했다. 업무에 필요한 최소 범위로 접근 권한을 제한하지 않고 모든 개발자가 전체 개발 프로젝트에 접근할 수 있도록 한 사실도 드러났다. 2024년 모의해킹 과정에서 접속 키가 소스 코드에 노출되는 취약점을 이미 확인했지만 이를 개선하지 않은 것으로 조사됐다.
염 교수는 "디지털·클라우드 기반 서비스가 확대되면서 공격 접점과 공급망 위험은 커졌지만 일부 기업의 보안 인력과 시스템, 접근 권한 및 수탁업체 보안 관리 수준은 이를 따라가지 못하고 있다"며 "유출은 해킹뿐 아니라 내부자 오·남용, 업무상 실수와 설정 오류에서도 발생한다"고 말했다.
◇ "과징금은 마지막 수단"… 사고 전 예방 체계 강화해야
전문가들은 개인정보 유출을 실질적으로 줄이기 위해서는 사고 이후 과징금을 부과하는 데 그치지 않고, 사고가 발생하기 전 기업의 예방 체계를 강화해야 한다고 강조한다.
김명주 서울여대 정보보호학과 교수는 필요 이상의 개인정보를 수집·보유하지 않는 '데이터 최소화'를 기본 원칙으로 꼽았다. 유출될 정보 자체를 줄여 사고가 발생하더라도 피해 규모를 낮춰야 한다는 것이다. 여기에 최소 권한 원칙과 다중인증, 중요 정보 암호화, 지속적인 취약점 관리, 외주·협력업체를 포함한 공급망 관리와 정기적인 침해 사고 대응 훈련 등이 병행돼야 한다고 설명했다.
김 교수는 "사고 발생 가능성을 최대한 낮추고, 사고가 발생하면 신속하게 탐지해 피해를 최소화하며, 그 사고에서 배워 같은 실패가 반복되지 않도록 하는 것이 중요하다"며 "결국 과징금은 마지막 수단이고, 궁극적인 목표는 기업이 개인정보 보호를 비용이 아니라 상시적인 경영 위험 관리로 받아들이도록 만드는 것"이라고 말했다.