최근 국민, 롯데, 농협 3개 카드사의 1억 명 이상의 회원정보가 유출된 사건이 발생하였다. 5천만 인구의 두 배가 넘는 수의 회원정보가 유출되었다니 기가 막힐 노릇이다. 이제까지의 대규모 개인정보유출사건 중 최대 규모이다. 개인정보유출규모 기록갱신 시합이라도 열렸는가? 이제는 이러한 사건이 발생하여도 "또 유출된 거야?" 라고 말할 뿐, 크게 놀라는 국민들이 거의 없는 것 같다.
오늘날 인터넷사회에서 개인정보가 유출될 위험성은 상존하므로 사고발생은 악의적 범죄자의 해킹에 의한 것이든, 개인정보를 팔아 금품을 수수하려는 내부직원 또는 외부 용역직원의 고의적 소행에 의한 것이든, 아니면 그들의 노트북이나 컴퓨터 관리상의 단순 과실에 의한 것이든 어떠한 경우이든 불가피한 현상이 아닐 수 없다. 하지만 대규모 개인정보유출사고가 이처럼 자주 발생하는 것은 정말로 이해하기 어렵다. 민간회사이든 정부기관이든 국민의 개인정보를 관리하는 단체는 개인정보유출사고의 발생을 막기 위해 최대한의 노력을 기울여야 한다.
마치 연례행사처럼 끝도 없이 계속 발생하는 이러한 대규모 개인정보유출 사고는 정말로 막을 방도가 없는 것인가?
이번 사건은 정보화작업담당자가 전체 회원의 개인정보를 USB에 담아서 유출했다는 것인데 이렇게 간단히 전체 회원의 개인정보가 타인에게 몽땅 넘어갈 수 있다니 그 보안수준의 문제가 매우 심각하다고 하지 않을 수 없다. 해킹에 의하여 개인정보가 유출되었다면 해킹범죄자들에 대한 비난이 거세어져 기업체의 책임이 약화되는 감이 있지만 이번과 같은 경우에는 해킹에 의한 것이 아니라 담당 직원에 의하여 행해진 사고인 점에서 더욱 황당하고 변명의 여지가 없는 사고발생이라 하겠다. 크게 보면 해킹에 의한 것이든 내부 또는 외부 직원에 의한 것이든 개인정보유출사고가 일단 발생했고 그것이 보안관리의 허점 때문인 점에서는 공통적인 문제점을 갖는다고 할 수 있다. 하지만 어떠한 경우이든 기업체가 직접 책임져야 할 일이고 다시는 유사한 사고가 반복되지 않도록 담당자에 대한 문책과 더불어 관련 시스템의 획기적 보완이 뒤따라야 할 것이다.
국민들의 개인정보를 취급하는 정부기관이나 기업체는 기본적으로 개인정보담당 직원들에 대한 보안교육을 철저히 행해야 하고 개인정보를 다룸에 있어서도 관리자나 정보취급자 등 특정인이 이를 맘대로 유출시킬 수 없도록 이중 삼중의 안전장치가 되어 있어야 할 것이다.
개인정보의 철저한 관리와 유출 방지를 위해서는 기본적으로 법률제도상의 철저한 안전장치를 마련해야 하고 정부와 각 기업체의 개인정보 관리부서에의 인력증강 및 예산증액이 뒷받침되어야 한다. 특히 실질적인 개인정보보호를 위해서는, 제도적 보완도 중요하지만 인력과 예산증액이라는 보다 현실적인 보완이 중점적으로 행해질 필요가 있다.
필자는 종래 정부기관이든 기업체든 그들이 관리하는 개인정보 보안부서에 인력을 충분히 배치하고 관련 예산을 증액해야 한다는 주장을 해 왔다. 당장 예산절약만을 생각하다가 나중에 이런 큰 사건이 터지면 감당하기 힘든 큰 경비가 들어간다는 생각을 왜 하지 못하는가?
많은 소비자들이 제기한 개인정보유출관련 손해배상 소송에서 개인정보유출 기업체의 책임을 인정하지 않는 법원의 판결도 큰 문제이다. 기업체에 좀더 무거운 책임을 물린다면 기업체의 보안수준은 저절로 올라갈 것이기 때문이다.
개인정보유출사고의 피해가 전적으로 각 개인들에게만 돌아갈 뿐이고 국민들이 이 피해를 보상받을 길이 없다면 기업체의 개인정보관리상의 과실은 계속 반복될 것이고 대규모 개인정보유출사고 또한 지속적으로 반복될 것이다.
진정으로 개인정보유출을 방지하려는 의지가 있다면 당국으로서는 현행 법률제도를 좀더 정밀하게 개선하고 개인정보관리주체의 법적 책임을 더욱 강화해야 하며, 특히 피해자로부터의 관련 소송제기 시에 기업체의 개인정보관리에 관한 무과실 입증이 없을 경우 피해자의 손을 들어주어야 한다. 이러한 결과는 기업체 스스로의 보안인력 증강 및 관련 예산증액을 통한 보안시스템 강화로 이어지게 될 것이며, 이렇게 해야만 수시로 터지는 대규모 개인정보유출사고를 근본적으로 막을 수 있게 될 것이다.
정완 경희대 법학전문대학원 교수ㆍ사이버범죄연구회장
오늘날 인터넷사회에서 개인정보가 유출될 위험성은 상존하므로 사고발생은 악의적 범죄자의 해킹에 의한 것이든, 개인정보를 팔아 금품을 수수하려는 내부직원 또는 외부 용역직원의 고의적 소행에 의한 것이든, 아니면 그들의 노트북이나 컴퓨터 관리상의 단순 과실에 의한 것이든 어떠한 경우이든 불가피한 현상이 아닐 수 없다. 하지만 대규모 개인정보유출사고가 이처럼 자주 발생하는 것은 정말로 이해하기 어렵다. 민간회사이든 정부기관이든 국민의 개인정보를 관리하는 단체는 개인정보유출사고의 발생을 막기 위해 최대한의 노력을 기울여야 한다.
마치 연례행사처럼 끝도 없이 계속 발생하는 이러한 대규모 개인정보유출 사고는 정말로 막을 방도가 없는 것인가?
이번 사건은 정보화작업담당자가 전체 회원의 개인정보를 USB에 담아서 유출했다는 것인데 이렇게 간단히 전체 회원의 개인정보가 타인에게 몽땅 넘어갈 수 있다니 그 보안수준의 문제가 매우 심각하다고 하지 않을 수 없다. 해킹에 의하여 개인정보가 유출되었다면 해킹범죄자들에 대한 비난이 거세어져 기업체의 책임이 약화되는 감이 있지만 이번과 같은 경우에는 해킹에 의한 것이 아니라 담당 직원에 의하여 행해진 사고인 점에서 더욱 황당하고 변명의 여지가 없는 사고발생이라 하겠다. 크게 보면 해킹에 의한 것이든 내부 또는 외부 직원에 의한 것이든 개인정보유출사고가 일단 발생했고 그것이 보안관리의 허점 때문인 점에서는 공통적인 문제점을 갖는다고 할 수 있다. 하지만 어떠한 경우이든 기업체가 직접 책임져야 할 일이고 다시는 유사한 사고가 반복되지 않도록 담당자에 대한 문책과 더불어 관련 시스템의 획기적 보완이 뒤따라야 할 것이다.
국민들의 개인정보를 취급하는 정부기관이나 기업체는 기본적으로 개인정보담당 직원들에 대한 보안교육을 철저히 행해야 하고 개인정보를 다룸에 있어서도 관리자나 정보취급자 등 특정인이 이를 맘대로 유출시킬 수 없도록 이중 삼중의 안전장치가 되어 있어야 할 것이다.
개인정보의 철저한 관리와 유출 방지를 위해서는 기본적으로 법률제도상의 철저한 안전장치를 마련해야 하고 정부와 각 기업체의 개인정보 관리부서에의 인력증강 및 예산증액이 뒷받침되어야 한다. 특히 실질적인 개인정보보호를 위해서는, 제도적 보완도 중요하지만 인력과 예산증액이라는 보다 현실적인 보완이 중점적으로 행해질 필요가 있다.
필자는 종래 정부기관이든 기업체든 그들이 관리하는 개인정보 보안부서에 인력을 충분히 배치하고 관련 예산을 증액해야 한다는 주장을 해 왔다. 당장 예산절약만을 생각하다가 나중에 이런 큰 사건이 터지면 감당하기 힘든 큰 경비가 들어간다는 생각을 왜 하지 못하는가?
많은 소비자들이 제기한 개인정보유출관련 손해배상 소송에서 개인정보유출 기업체의 책임을 인정하지 않는 법원의 판결도 큰 문제이다. 기업체에 좀더 무거운 책임을 물린다면 기업체의 보안수준은 저절로 올라갈 것이기 때문이다.
개인정보유출사고의 피해가 전적으로 각 개인들에게만 돌아갈 뿐이고 국민들이 이 피해를 보상받을 길이 없다면 기업체의 개인정보관리상의 과실은 계속 반복될 것이고 대규모 개인정보유출사고 또한 지속적으로 반복될 것이다.
진정으로 개인정보유출을 방지하려는 의지가 있다면 당국으로서는 현행 법률제도를 좀더 정밀하게 개선하고 개인정보관리주체의 법적 책임을 더욱 강화해야 하며, 특히 피해자로부터의 관련 소송제기 시에 기업체의 개인정보관리에 관한 무과실 입증이 없을 경우 피해자의 손을 들어주어야 한다. 이러한 결과는 기업체 스스로의 보안인력 증강 및 관련 예산증액을 통한 보안시스템 강화로 이어지게 될 것이며, 이렇게 해야만 수시로 터지는 대규모 개인정보유출사고를 근본적으로 막을 수 있게 될 것이다.
정완 경희대 법학전문대학원 교수ㆍ사이버범죄연구회장
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
