"KISA 보안인증 유명무실…北해킹설 남발 문제"

국회 과정위, KISA 국감서 열띤 공방

정부가 만든 개인정보 인증 체계의 실효성이 떨어진다는 지적이 제기됐다.

김성태 자유한국당 의원은 17일 열린 국회 과학기술정보방송통신위원회 국정감사에서 개인정보 보호를 위한 정부 컨트롤타워가 필요하다고 주장했다.

김 의원은 한국인터넷진흥원(KISA) 박정호 부위원장에게 "지금까지 116개에 달하는 기업에서 개인정보 유출 사고가 발생했고, 유출된 개인정보도 5천300만개에 이른다"며 "지난 3월 발생한 여기어때 개인정보 유출 사고의 경우 언론에서 이슈가 되면서 뒤늦게 대응한 사례였다. 사고 발생 후 관리 문제가 꾸준히 제기되고 있다"고 지적했다.

이어 "KISA가 운영 중인 정보보호관리체계(ISMS)와 개인정보보호관리체계(PIMS) 모두 인증받은 기업 29개 중 23개가 중복 범위가 상당하다고 답했다"며 "행정안전부·과기부·방통위·개인정보위원회로 쪼개져서 주먹구구식 개인정보보호 운영의 문제 해결을 위해 정부 컨트롤 타워 도입이 시급하다"고 주장했다.

박정호 한국인터넷진흥원 부위원장.

박정호 부위원장은 "관련 문제에 대해 논의가 필요하다고 생각하지만 우선 법이 개정돼야 하는 사안이 많다"고 답했다.

박홍근 더불어민주당 의원은 빗썸 해킹 사태를 들어 개인정보보호 상의 문제를 언급했다.

특히, ISMS·PIMS 인증 기업 중 개인정보 유출 사고가 발생해도 인증 취소가 되지 않고, 유출 사고가 발생한 기업에 별다른 제재 없이 인증을 발급해주는 현황을 문제삼았다.

박 의원은 "지난 7월 국내 가상화폐 거래소 빗썸에 악성코드를 심어 해킹을 시도해 500억원 수준의 가상화폐 계좌 정보가 해커에게 넘어간 사건이 있었다"며 "검찰은 범인을 정확히 파악하진 못했지만 북한 측 소행이라고 답했다. 수사 진척이 막히면 지레짐작 북한 소행이라고 발표하는 거 아니냐는 의혹도 있다"고 말했다.

이어 "인터파크의 경우 ISMS·PIMS 모두 인증 받았지만 유출이 발생해 인증 체계가 유명무실하다는 평가가 있다"며 "정보 유출 사고가 발생해도 과태료는 3천만원이라 기업에 별 부담이 되지 않고, 더 큰 문제는 한 번 인증 받은 기업에서 개인정보 유출 사고가 발생해도 인증을 취소하지 않고 있다. 사고 발생 기업에 인증을 취소하거나 재인증 신청 시 어떤 제약을 주는 등의 방안을 고려해야 한다"고 주장했다.

박정호 KISA 부위원장은 "동일한 문제를 반복해 사고를 일으키거나 거짓된 내용을 보고하는 등 인증 취소에 대해 규정이 있다"며 "인증체계 규정 강화 방안에 대해 관계 부처와 논의하겠다"고 밝혔다.