[KT 개인정보 유출] 전문가진단, ‘총체적 대안이 시급하다’

징벌적 과징금으로 처벌 바꿔야 … 주민등록번호 대처 방안 마련되나

아주경제 장윤정 기자 = 국내 최대 통신사 KT에서 전체 1600만명의 가입자중 거의 대부분인 1200만명의 개인정보가 유출된 사고 발생 후 근본적인 대안을 마련해야한다는 각계 전문가들의 목소리가 거세다.

최근 카드사에서 1억건이 넘는 개인정보가 유출됐지만 카드사에 부과된 벌금은 단돈 600만원에 불과했다. 미국의 경우 정보유출에 3조 8000억원이라는 초유의 과징금이 부과되는 등 국내와 처벌 수위가 다르다.

또 행정편의주의를 위해 유지하고 있는 주민등록번호의 사용을 금지하는 등 현행 법 테두리안에서는 비슷한 개인정보 유출사고가 끊임없이 발생할 수밖에 없다며 관련 전문가들은 근본적인 개혁을 주문하고 있다.

◇기업 자율로 보안 맡기고 사고 시 징벌적 과징금 부과하자
김승주 고려대학교 정보보호대학원 교수는 국내에서 발생하는 개인정보유출 사고의 순환고리를 끊기 위해 소위 ‘관치보안’을 중단하고 징벌적 과징금 체계로 전환해야한다고 주장한다.

김 교수는 “우리나라는 문제가 발생하면 정부가 나서서 무슨 대책을 만들어서 그걸 일괄적으로 다 적용시키려고 한다”며 “우리나라는 소위 관치 보안이란 말을 쓸 정도로 정부에서 상당한 양의 가이드라인을 내놓고 있다”고 말했다.

이어 그는 “각 회사마다 개인정보를 수입하는 종류도 양과 사용처 등이 모두 다름에도 불구하고 모든 회사에 일률적인 가이드라인을 적용할 수는 없다”며 “해외의 경우 각 회사들이 보유한 개인정보 양에 맞춰서 알아서 최선의 대책을 세우도록 유도한다”고 말했다.

김 교수는 얼마전 POS 단말기해킹으로 4000만명 개인정보가 유출된 유통업체 ‘타깃’이 약 3조 8000억의 배상금을 받은 예를 들었다. 그는 “우리나라는 정부에서 너무 많은 가이드라인을 주니 실제 사고가 발생하면 정부 가이드라인을 준수했다고 하고 실제 국내서 손해배상을 받은 경우는 거의 없다. 이같은 고질적인 문제가 해결되지 않는 정부에서 하라는 최소 수준의 보안을 지키며 같은 개인정보 유출사고를 반복하게 될 수밖에 없다”고 설명했다.

김승주 교수

◇ 주민등록번호 대신 아이핀 등 대체 수단 확산해야
염흥열 순천향대학교 정보보호학과 교수는 “주민등록번호를 필수적으로 사용하는 국내 인터넷 체계의 문제가 반복되는 개인정보 유출사고의 근본 원인”이라며 “아이핀과 같은 주민등록번호 대체 수단으로 사고가 되풀이되는 것을 차단해야한다”고 주장했다.

염 교수는 “일각에서는 아이핀 자체도 유출될 수 있다며 아이핀의 보안성 자체에 대한 우려를 제기하는데 아이핀 발급, 관리 그리고 인증 등 아이핀 생명주기 개선을 통해 보완해나가야한다”고 말했다.

그는 아이핀 등급제 도입, 아이핀 이용 시마다 별도의 채널로 이용 내역을 알려주는 알리미 서비스와 아이디/패스워드 외 일회용 패스워드와 같은 부가 인증수단 사용, 아이핀 인식 변화를 위한 활동과 홍보 강화 등 다양한 활동을 통해 주민등록번호 유출사고의 순환고리를 끊어야한다고 강조했다.

염흥열 교수

◇ 시큐어코딩 적용 등 홈페이지 취약성 제거하고 보안 강화하라
보안전문회사들은 ‘시큐어코딩’과 같은 홈페이지 보안을 통해 공격자들이 노리는 뒷문을 제거해야한다고 밝혔다.

최경철 트리니티소프트 이사는 “보안업계에선 이번에 사용된 해킹 수법을 ‘파로스 공개 툴을 이용한 쿠키 위·변조 공격’이라고 부른다”며 “쿠키 위·변조 공격은 2007~2008년 이미 국내 포털 사이트 등에서 많이 당했던 수법”이라고 말했다.

최 이사는 “난이도가 낮아 간단한 장치로도 막을 수 있음에도 개발자들이 이같은 취약성을 미처 고려하지 못하고 놓친 것”이라고 덧붙였다. 또 KT와 같이 간단한 취약성을 막지못해 비슷한 수법에 뚫릴 수 있는 웹 사이트가 국내에 수두룩할 것이라고 내다봤다.

최경철 이사

그는 “로그인한 홈페이지 안쪽으로 들어가 인증처리가 잘 되어있는지 살펴보고 인증체계를 다시 세우는 등 비교적 간단한 절차로 해킹을 막을 수 있다”며 “이같은 절차를 진행하는 것은 비교적 적은 비용으로 할 수 있어 관리자의 의지만 있다면 충분히 할 수 있다”고 강조했다.

최 이사는 “홈페이지를 설계할 때 다양한 측면을 고려하지만 해커는 아주 사소한 실수를 노리고 공격한다. 이를 막기 위해서는 시큐어코딩 등 보안이 강화된 체계를 통해 홈페이지를 설계하고 수시로 모의해킹과 진단, 상시 점검을 통해 취약성을 막으려는 관리자의 의지가 선행되야한다”고 강조했다.