SKT 해킹 사고로 본 개인정보 유출 대응 체계의 문제점과 개선 방향

"기업이 일만 잘할 수 있도록" 보안사고 조사 일원화 시급하다 [IT큐레이션]

"기업이 일만 잘할 수 있도록" 보안사고 조사 일원화 시급하다 [IT큐레이션] - 이코노믹리뷰

 

• 현행 조사 체계의 구조
  • 개인정보보호위원회(개인정보위)가 중앙행정기관으로서 유출 사고의 주된 조사 및 대응 창구로 기능
  • 기술적 분석은 한국인터넷진흥원(KISA), 정보통신망법 관련은 과학기술정보통신부(과기정통부), 국가안보 가능성 존재 시 국가정보원(국정원)이 병행 조사
  • 사고 발생 시 개인정보위 중심 대응이 원칙이나, 기술적/안보적 사안은 여전히 다부처 개입이 발생
• SKT 유심 해킹 사고 대응 사례
  • 4월 19일 악성코드 탐지, 4월 20일 KISA 신고, 4월 22일 오전 개인정보위 보고
  • 72시간 내 신고 기준 충족, SK텔레콤의 초동 대응은 빠른 편으로 평가
  • 하지만 '콘트롤 타워'에 해당하는 개인정보위 보고가 이틀 늦은 것에 대한 지적 존재
• 다부처 조사 체계의 문제점
  • 기관별 요구자료 포맷과 범위 차이로 기업의 대응 피로도 증가
  • 기업은 유출 대응보다 조사 대응에 자원 집중되는 구조에 놓이기 쉬움
  • 정부 기관 간 정보공유 미비 시 사고 대응 일관성 저하 및 골든타임 놓칠 가능성
• 조사 일원화 필요성
  • 개인정보위 중심의 '원-스톱(One-Stop)' 조사 체계 구축 필요
  • 과기정통부·국정원은 개인정보위의 요청에 따라 기술 지원, 안보 분석 등 비대면 백엔드 역할 수행
  • 기업은 단일 창구(개인정보위)만 대응하여 조사 효율성과 책임소재 명확화 가능
• 전문가 제안
  • 기업 대면 조사 창구는 개인정보위로 단일화
  • KISA는 기술분석 파트너로 지원, 국정원은 안보 정보 분석에 집중하는 내부 연계 방식 제안
  • 공공·민간 모두를 포괄하는 ‘사이버 유출 대응 체계’의 재정립 필요
• 결론
  • SKT 유심 해킹 사고는 개인정보 유출 대응 체계의 실효성과 효율성 재검토의 계기
  • 조사 창구 단일화와 백엔드 협업 체계 도입이 기업 부담 경감과 신속 대응을 동시에 가능하게 함
  • 개인정보 보호의 실질적 효과를 높이기 위한 제도적 정비와 민관 합동 시스템 강화 필요