[인터뷰] 고학수 전 개인정보보호위원회 위원장 "대규모 해킹? 초보적 수준 매뉴얼만 지켰어도 막을 수 있었다" 인력 부족 시달리는 정부 "개인정보위 조사관, 수년째 30여 명 수준"
[미디어오늘 윤수현, 금준경 기자]



▲고학수 서울대 법학전문대학원 교수(전 개인정보보호위원회 위원장)가 지난 29일 미디어오늘과 인터뷰하고 있다. 사진=금준경 기자



SK텔레콤·KT·LG유플러스 등 통신 3사에 쿠팡·롯데카드·예스24·넷마블까지. 릴게임5만 2025년 대한민국은 '해킹의 해'였다. 사실상 전 국민 개인정보가 유출됐다고 해도 과언이 아닌 상황이다. 특히 개인정보 보호의 선두에 서야 할 통신사에서 줄줄이 해킹 사고가 발생하고, 사고 원인이 서버 관리 부실로 밝혀지면서 이용자들의 불안감은 커져만 가고 있다.

지난 10월까지 개인정보보호위원회 위원장을 지낸 고학수 릴게임5만 서울대 법학전문대학원 교수는 해킹 사고의 근본 원인으로 '기본기 부족'을 꼽았다. 대부분 해킹 사고는 기본적인 사안만 지켰어도 막을 수 있는 인재였으며, 정보보안을 비용으로 여긴 관행이 일을 키웠다는 지적이다.
고 교수가 제안한 해결책은 '대표이사의 인식 전환'이다. 조직 수장이 정보보호를 중요하게 여기지 않았기 때문에 해킹 사태가 불거 릴게임몰메가 졌고, 이를 막기 위해선 개인정보 보호 예산을 비용이 아닌 투자로 인식하고 보안 인력 확보에 총력을 기울여야 한다는 것이다. 특히 개인정보 보호를 주 업무로 하는 개인정보위 조사관은 수년째 30여 명에 불과한 상황에서 정부 내 전문인력 확충도 시급한 과제로 꼽혔다. 미디어오늘은 지난 29일 서울 관악구 서울대 연구실에서 고학수 교수를 만나 최근 연쇄적으로 황금성사이트 발생한 해킹 사고에 대한 입장과 개선책을 물었다. 아래는 일문일답.



▲개인정보보호위원회 위원장 재직 시절 고학수 교수. 사진=개인정보위



- 임기 중 '개인정보보호는 비용이 아닌 투자'라는 표현을 릴게임온라인 자주 사용했다. 어떤 취지인가.

“개인정보 관리가 곧바로 수익과 연결되지 않다 보니 개인정보 관련 부서를 돈만 쓰는 조직으로 여길 수 있다. 관련 부서가 발언권을 충분히 확보하기 어려운 게 일반적이기도 하다. 대표이사가 신경을 써야 하는 사안이고, 개인정보에 관심 갖지 않는다면 큰 문제가 생긴다는 인식이 필요하다는 취지였다. 통신사를 예로 들면 사내에서도 핵심 자산인 전산 인프라에 접근하기 힘든 경우가 많다. 개인정보 부서가 주기적으로 확인하고 안전성 검증도 해야 하는데, 힘이 실리지 않으니 실무에서 어려운 측면이 있다. 이런 상황이 지속되면 관리가 안 된다. 결국 대표이사가 개인정보 부서에 힘을 실어줘야 한다. 그래야 개인정보 부서가 다른 부서에 가서 정기적인 확인을 할 것 아닌가. 큰 회사들은 대체로 이게 잘 안된다.”
- 대표이사들은 왜 그런 생각을 하지 못할까.
“개인정보, 데이터 보호에 대한 인지도가 없기 때문이다. 앞서가는 글로벌 기업은 데이터 보호뿐 아니라 데이터 관리 전반에 대해 한국과 비교할 수 없을 정도로 관심을 갖고 투자한다. 이는 회의에서도 확인할 수 있다. 글로벌 기업과 회의할 때 '관련 데이터가 정리된 게 없는가'라고 물어보면 20~30분 만에 가져다 주는 것을 보고 놀란 경험이 있다. 한국 기업? 수작업해서 표를 만들어 오는 경우가 더 흔할 것이다. 한국에는 데이터 관리에 충분히 투자하는 분위기가 아직 조성되어 있지 않다고 본다.”
- 올해 유난히 대규모 해킹 사태가 많이 발생했다. 원인은 무엇이라고 보는가.
“기본도 잘 안 지켜졌다. 개인정보위에서 조사해 처분한 사례를 살펴보면 초보적인 수준의 매뉴얼만 제대로 지켰어도 문제가 안 생길 법한 사례가 많았다. 주기적으로 모니터링을 했다면 문제 가능성이 줄어드는데, 그걸 하지 않은 거다. 해커가 침입한 뒤 몇 년을 두고도 파악도 하지 못하는 경우도 종종 있다. 더 넓게는 인력 부족이 문제다. 전문 인력이 많지 않다. 개인정보 보안을 해낼 수 있는 인력이 충분히 있어야 생태계가 생기는데, 현장의 보안 인력은 항상 자조적이다. 보수는 물론 조직 안에서의 발언권이나 승진 기회에도 한계가 있고, 큰 사고가 발생하면 커리어가 끝난다는 인식이 생기는 거다.”
- 기업뿐 아니라 정부 조직 내에서도 보안 전문가가 부족한 것 같다.
“개인정보위 조직이 너무 작다. 최근 인력을 확충하긴 했지만, 조사관은 수년째 30여 명 수준에 머물렀다. 전체 인력도 170명 정도인데, 장관급 부처 중 가장 작다. 큰 사건 경험이 있는 조사관이 많지 않아서 사건이 발생할 때마다 '돌려막기'하는 형국이다. 큰 사건이 줄줄이 발생하니 버거울 수밖에. 개인정보위에서 ISMS-P(정보보호·개인정보보호 관리체계 인증 제도) 인증 제도를 마련하고, 개인정보 영향평가 제도도 있다. 하지만 전문가 풀이 부족해 실효성을 확보하기 어려운 측면이 있다. 역량 있는 심사원이 충분히 확보되어야 현장에서 날카로운 질문을 던질 수 있고 제도가 제대로 운영될 수 있다. 앞으로 5~10년 정도 공을 들여 전문가 풀을 충분히 양성해야 개인정보 보호 거버넌스에 대해서도 실효성 있게 고민할 수 있지 않을까.”



▲통신사 대리점.ⓒ연합뉴스



- 올해 통신 3사에서 해킹 사고가 발생했다. 통신사는 필수 서비스인 만큼, 국민 불안도 커지고 있다.

“통신사는 다른 기업과 비교해 전산 시스템이 특히 복잡하다. SK텔레콤은 전체 서버만 4만 대가 넘는다. 이 정도 규모가 되면 개별 서버의 기능에 대해 속속들이 파악하고 그중 어떤 서버가 어떤 개인정보를 처리하는지에 관해 체계적 관리를 하는 것이 매우 어려워진다. 게다가 통신사는 24시간 서비스돼야 하는데, 실무자 입장에선 업데이트 과정에서 '서비스가 작동되지 않으면 어떻게 하지'라는 불안감을 가질 수밖에 없다. 필요 없어 보이는 서버가 있더라도 '서버를 망에서 분리했을 때 예상하지 못한 장애가 발생할 수 있다'는 불안이 있다. KT는 산간벽지나 오지에도 망을 연결해야 하는 국가 기간통신망 역할을 해온 전통이 있기 때문에 전반적인 관리를 꼼꼼하게 하기 어려운 구조였고, 그로 인한 추가적인 취약성의 가능성이 있다.”
- SK텔레콤에 1347억 원이라는 역대 최대 규모의 과징금을 결정했다. 논의 과정에서 어려움은 없었나.
“논의에 참여한 위원들이 전반적으로 문제 상황이라는 생각은 공유했지만, 과징금 수준에 대해선 의견이 달랐다. 이를 조율하는 과정이 힘들었다. 회의를 거듭했고 티타임까지 열어 각자의 생각을 가감 없이 공유했다. 모두가 만족할 순 없어도, 타협의 결과를 찾아냈다고 본다. 절차적으로 큰 논란 없이 결론이 나왔다는 것 자체로도 천만다행이라고 생각한다.”
- 최근 쿠팡은 이용자들에게 개인정보 유출을 '개인정보 노출'로 고지해 논란을 불러왔다. 영어로 작성된 사과문에선 책임을 회피하고 있다는 지적이 나오고 있다. 쿠팡 사건의 문제, 그리고 이 같은 대응이 나오는 이유는 무엇이라고 보는가.
“넓게 보면 쿠팡 입장에서 중요하게 고려해야 할 대상은 세 그룹으로 나눠 볼 수 있다. 첫째는 개인정보 유출과 관련한 국내의 주요 당국, 둘째로 미국의 증권 감독 당국, 그리고 셋째로 국내의 여론과 소비자들. 각각의 그룹에 대해 대응하는 구체적인 방식은 다를 수 있다. 다른 한편 쿠팡 내부의 핵심 의사 결정자 중에 한국 상황에 익숙한 분들과 한국에 익숙하지 않으면서 미국 상황을 주로 염두에 두고 있는 분들이 섞여 있어서, 외부에 대응하는 방식에도 어느 정도의 혼선이 있는 것 같다.”



▲쿠팡 ⓒ연합뉴스



- 언론에선 쿠팡이 해킹 사건 이전 대관팀을 대거 확대했다는 분석을 내놨다.

“언론에선 쿠팡이 대관팀을 키웠다고 분석하는데, 1~2년 사이 너무 급조한 것 같다. 대관 역량이 갖춰지지 않은 상태에서 큰 사건을 맞이해 우왕좌왕하는 감이 있다. 전반적으로 대외 소통을 어떻게 할지 태세를 못 갖추고 있는 상황 같다.”
- 통신 3사에 이어 쿠팡 해킹 사고까지 발생하면서 '해킹 피로감'까지 커지고 있다. JP모건은 '한국 고객이 데이터 유출에 대해 덜 민감해 보인다'고 평가하기도 했다.
“이용자들이 '이미 내 정보는 다 털렸어'라고 생각하기도 하지만, 최근 인식이 바뀌고 있다. 과거엔 로그인 과정에서 2단계 인증을 요구할 때 귀찮아하는 이용자가 많았다면, 요즘은 2단계 인증이 일반화됐다. 2단계 인증이 필요하다는 인식이 생겼고, 이용자들도 적응하고 있다. 기업이 '2차 피해는 없다'고 단정해 이야기하기도 옹색한 분위기가 형성됐다. '피해가 발생하면 보상해주겠다'는 식의 대응도 없어지고 있고. 개인정보에 대한 국민적 주목도가 높아지면서 기업도 더 신경을 쓸 수밖에 없다.”



▲고학수 서울대 법학전문대학원 교수(전 개인정보보호위원회 위원장)가 지난 29일 미디어오늘과 인터뷰하고 있다. 사진=금준경 기자



- 해킹 사고가 반복되면서 정부는 '징벌적 과징금'을 도입하겠다고 밝혔고, 집단소송제 도입 요구도 이어진다. 제재 강화로 효과를 볼 수 있을까.

“부분적으론 해결이 될 수 있다고 본다. 과징금이 세지면 회사 내 데이터 관리에 대한 관심도가 높아지기 때문이다. 다만 자본 시장에선 과징금을 일회성 비용으로 보고, 주가도 시간이 지나면 원상태를 회복한다. 과징금 만으론 해결이 어렵다는 이야기다. 집단소송제 도입 역시 간단치 않다. 현재 증권 영역에서 집단소송제가 도입됐지만, 제도 실효성에 대해서는 논란이 지속되고 있다. 한 방법으로 문제를 한 번에 해할 순 없다. 여러 부분적인 해결책을 고안해내는 게 방법일 것 같다.”
- 기업에선 'AI 확산과 개인정보 보호는 충돌할 수밖에 없다'는 볼멘소리도 나온다. 개인정보 관련 규제가 강화되면 AI 발전이 느려질 수밖에 없다는 논리다.
“가장 아쉽고 답답한 주장이다. 개인정보 보호와 AI는 상충되는 개념이 아니다. 데이터 관리를 잘하는 기업이 AI 활용을 잘할뿐더러 개인정보 보호도 잘할 수밖에 없다. 개인정보를 아무런 제약 없이 원본 그대로 사용하도록 허가하는 국가는 어디도 없다. 개인정보 데이터를 어디에 어떻게 쓸지 명확한 체계를 갖춰야 활용도 잘하고 관리와 보호도 잘할 수 있다. 데이터에 대한 진심어린 관심이나 투자 없이, 원천 데이터를 아무런 제약 없이 쓸 수 있게 해달라는 주장을 하면 사회적 갈등만 불거질 뿐 답이 안 나온다.”