(시사저널=조유빈·변문우 기자)
정보보호 및 개인정보보호 관리체계 인증(ISMS-P)을 2차례 획득한 쿠팡에서 총 4번의 개인정보 유출 사고가 발생하면서 '인증 무용론'이 제기되는 가운데, 앞서 보안 인증을 받은 기업들에서도 이미 3600만 건이 넘는 정보가 유출된 것으로 확인됐다. 특히 해킹뿐 아니라 업무상 과실 등으로 유출된 개인정보도 30만 건에 육박한 것으로 나타났다. ISMS-P 인증을 받을 경우 과징금 감경 혜택 등을 받을 수도 있다는 점에서 인증·심사 기관은 보안 인증 수수료를 챙기고, 기업은 사고 발생에 대비해 인증을 받는 '면죄부 바다이야기게임사이트 장사'가 이뤄지고 있다는 비판도 제기된다.



지난 3일 서울 송파구 쿠팡 본사 앞에서 참여연대와 민주사회를 위한 변호사모임 민생경제위원회, 한국소비자연맹이 연 '쿠팡 개인정보 유출 집단분쟁조정 신청 돌입 기자회견'에서 참가자들이 사과와 책임을 촉구하는 퍼포먼스를 하고 있다. 메이저릴게임사이트 ⓒ연합뉴스


인증받은 공공기관서도 개인정보 유출
국회 정무위원회 소속 김상훈 국민의힘 의원이 개인정보위원회(개인정보위)로부터 제출받은 자료에 따르면, 2021년 11월~2025년 8월까지 총 27곳의 ISMS-P 인증 기업에서 개인정보 유출 사고가 발생했다. 사고 건수는 30건, 릴게임뜻 유출된 정보는 3632만5523건에 달한다. 쿠팡의 이번 개인정보 유출 사고 전에도 보안이 인증된 기업에서만 수천만 건의 개인정보가 이미 새나간 것이다. 쿠팡을 비롯해 올해 개인정보 유출 사고를 겪은 롯데카드, 예스24, KT, LG유플러스, 넷마블 등 6곳과 관련한 조사도 진행되고 있어 유출된 정보 건수는 대폭 증가할 전망이다.
ISMS 바다이야기5만 -P는 국내에서 유일한 개인정보 보호 통합 인증제도다. 정보보호 및 개인정보 보호를 위한 일련의 조치와 활동이 적합한지를 심사한다. 정보보호를 인증하는 ISMS 기준(관리체계 수립 및 운영 16개·보호대책 요구사항 64개)에 더해, 개인정보 처리 단계별 요구사항 21개에 대한 인증을 받아야 한다. ISMS-P 인증을 받은 기업 수는 2022년 총 178곳이 사이다쿨바다이야기게임 었다가 2023년 218곳, 2024년 239곳, 올해 11월 말 기준 263곳으로 늘었다.
보안 인증을 받은 기업은 매년 늘어나고 있지만 개인정보 유출 사고는 이어지고 있다. 올해 개인정보 유출 사고를 겪은 통신3사와 롯데카드, 예스24, 쿠팡 등은 모두 ISMS-P 인증을 받은 기업이다. 지난 8월까지 개인정보가 유출돼 처분을 받은 인증 기업은 SK텔레콤(유출건수 2324만4650건), LG유플러스(32만6573건), KT(1170만8875건)를 비롯해, 쿠팡(15만8057건), 우리카드(7만5000건), 삼성증권(4만8122건) 등이다. 개인정보 유출로 처분을 받은 인증기관에는 서울특별시(1150건)와 한국남부발전(1952건) 등 공공기관도 포함됐다. 동행복권에서도 74만9114건의 정보가 유출됐다. 



자체 안전조치도 소홀…"면책 인증 구매" 비판도 
문제는 해킹이 아닌 업무상 과실이나 내부 통제 실패로 개인정보가 유출된 사례가 적지 않다는 점이다. 처분을 받은 30곳 중 해킹으로 대규모 정보가 유출된 곳은 통신3사(SKT 1건은 내부 문제)와 동행복권이다. 나머지 기업들에서는 업무상 과실이나 관리 소홀로 인해 개인정보가 유출된 것으로 나타났다. 이렇게 유출된 개인정보 건수도 29만4362건에 달한다. 관리체계 수립이나 보호대책 요구사항, 개인정보 처리 단계별 요구사항 등 수많은 단계를 거쳐 인증을 받음에도 불구하고, 기업 내부에서조차 개인정보 보호와 안전 조치가 제대로 이뤄지지 않고 있는 것이다.
7만5000건의 개인정보가 유출된 우리카드의 경우 인천영업센터가 신규 카드발급 마케팅을 통한 영업실적을 늘리기 위해 가맹점주의 개인정보를 조회해 목적 외로 이용한 것으로 나타났다. 삼성증권은 관리자 페이지 접근 시 인증절차를 누락하는 등 접근 통제를 소홀히 해 이용자 4만8122명의 개인정보가 유출된 바 있다. ISMS-P 인증이 개인정보 보호 의무를 다했다는 증명처럼 여겨지고 있지만, 사실상 내부 통제마저도 실패하는 일이 이어지고 있는 것이다.
특히 최근 개인정보 유출 사고가 연이어 발생하는 데는 유명무실한 인증 제도를 운영해 온 개인정보위의 책임도 크다는 지적이 나온다. 의원실에 따르면, ISMS-P 인증을 받기 위해 드는 비용은 1000만~1800만원으로, 인증 유효기간은 3년이다. 개인정보 유출 사고가 발생할 경우 ISMS-P 인증을 보유하고 있다면 '조정 사유'로 감안돼 과징금 등 감경 혜택을 최대 50%까지 받을 수 있다. 사고가 발생했을 때 대응에 유리하고 감경된 과징금의 액수가 인증 비용을 훨씬 상회할 수 있다는 점에서, 인증제도 자체가 법적·재정적 보호막이 될 수 있다는 비판이 나온다.
김상훈 의원 "예방 효과 없어…중대 결함 시 인증 취소해야"
현행 과기정통부·개인정보위의 '정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시'에 따르면, 인증 기준에 미달하거나 사후 관리를 거부하는 경우, 개인정보보호 관련 법령을 위반하고 그 사유가 중대한 경우 등에는 인증을 취소할 수 있다. 그러나 현재까지 인증이 취소된 사례는 없다.
김상훈 의원은 "실제 예방 효과 없이 인증·심사 기관은 기업 당 1000만원이 넘는 인증 수수료를 챙기고, 기업은 사고 발생을 대비해 '면책 인증'을 구매한다는 비판이 나온다"며 "인증제를 실효성 있게 운영하기 위해 유출 사고와 직결되는 핵심 항목 기준에 미달할 경우 심사 대상에서 제외하는 등 예비 심사를 도입하고, 현장 중심의 심사를 강화해야 한다"고 말했다. 또 "중대 결함 시 인증 취소 등 사고기업 사후관리를 강화하고 인증·심사 기관의 전문성도 제고하는 등 제도를 전면 개편해야 할 필요가 있다"고 말했다.