[신문고뉴스] 김혜령 기자 = 시민단체 소비자주권시민회의가 대규모 개인정보 유출 사고가 발생한 티빙과 관련해 2024년 모의해킹 과정에서 보안 취약점을 사전에 발견하고도 개선하지 않은 경위와 경영진의 책임을 국정감사에서 규명해야 한다고 촉구했다.

국회 과학기술정보방송통신위원회가 티빙 최주희 대표와 모회사 CJ ENM 윤상현 대표를 국정감사 증인으로 채택한 가운데, 소비자주권시민회의는 이번 국감이 단순히 개인정보 유출 사고의 기술적인 원인을 다시 확인하는 데 그치지 않고 ‘알고도 고치지 않은 책임’을 밝히는 자리가 돼야 한다고 주장했다.

▲ 소비자주권시민회의 상징깃발

소비자주권시민회의는 30일 보도자료를 통해 “이번 국정감사의 핵심은 2024년 모의해킹에서 취약점을 사전에 확인하고도 실제 개선조치가 이뤄지지 않은 원인과 그 책임을 밝히는 데 있다”며 “사고 경위를 넘어 내부 관리체계와 경영진의 책임을 분명히 규명해야 한다”고 밝혔다.

3,954만 계정 개인정보 유출…보안 전담인력은 4명 내외

지난 9월 3일 과학기술정보통신부 민관합동조사 결과에 따르면 티빙에서는 중복을 포함해 3,954만개 계정의 개인정보가 유출된 것으로 확인됐다.

조사단은 접속키 관리와 접근권한 통제, 이상행위 모니터링, 취약점 개선 등 티빙의 정보보호 관리체계 전반에서 문제점을 확인했다. 특히 전체 임직원 265명 가운데 개발인력이 149명에 달했지만 외주인력을 제외한 정보보호 전담인력은 4명 내외에 불과했던 것으로 조사됐다.

소비자주권시민회의가 가장 심각한 문제로 지목한 것은 티빙이 사고 발생 이전인 2024년 모의해킹 과정에서 개발·운영환경 접속키를 소스코드에 그대로 노출하는 이른바 ‘하드코딩’ 취약점을 발견하고도 이를 개선하지 않았다는 점이다.

단체는 모의해킹의 목적이 단순히 취약점을 발견하는 데 있는 것이 아니라 실제 사고가 발생하기 전에 확인된 위험을 제거하거나 통제하는 데 있다며, 취약점이 확인되고도 후속 조치로 이어지지 않은 과정을 이번 국감에서 집중적으로 확인해야 한다고 강조했다.

“누구에게 보고했고 왜 개선 안 했나”

소비자주권시민회의는 현재 공개된 민관합동조사 결과만으로는 취약점이 발견된 이후 티빙 내부에서 어떤 보고와 의사결정 과정이 진행됐는지 구체적으로 확인하기 어렵다고 지적했다.

이에 따라 국감에서 ▲2024년 모의해킹 결과의 보고 대상과 시점 ▲해당 취약점의 위험등급과 개선기한 ▲책임부서 및 담당자 지정 여부 ▲CISO(정보보호 최고책임자)·CPO(개인정보보호 책임자)와 최고경영진의 인지 시점 ▲취약점 개선을 위한 예산·인력·시스템 투자 요청 여부와 처리 과정 등을 확인해야 한다고 요구했다.

단체는 이를 통해 내부 관리·보고체계가 제대로 작동하지 않았던 것인지, 정보보호 부서가 필요한 예산과 인력을 요청했지만 경영진이 반영하지 않은 것인지, 또는 위험성을 알고도 개선을 미루는 경영 판단이 있었던 것인지 규명해야 한다고 주장했다.

그 결과에 따라 책임의 주체와 성격 역시 달라질 수 있다는 것이다.

“내부통제 실패인지 경영 판단인지 구분해야”

소비자주권시민회의는 중대한 취약점을 발견한 뒤에도 책임부서 지정이나 개선기한 관리, 경영진 보고와 후속점검 등이 제대로 이뤄지지 않았다면 ‘정보보호 내부통제체계의 실패’가 핵심 문제가 될 수 있다고 지적했다.

반면 정보보호 조직이 위험성과 개선 필요성을 경영진에 보고하고 예산·인력 확대를 요구했음에도 경영진이 이를 받아들이지 않았다면 정보보호 위험을 감수한 경영 의사결정이 있었는지를 따져야 한다고 주장했다.

특히 개발인력이 149명인 데 비해 정보보호 전담인력이 4명 내외였던 만큼 기존 정보보호 인력 규모를 어떤 기준으로 결정했는지, 사고 발생 전 보안인력 증원 요구가 있었는지 등도 확인해야 한다고 강조했다.

티빙은 사고 이후 2030년까지 정보보호 투자를 직전 5년 대비 약 4배로 확대하고 향후 5년 동안 정보보호 전문인력을 현재의 약 3배 수준으로 늘리겠다는 대책을 발표했다.

CEO·CISO·CPO 중심의 보안 거버넌스를 강화하고 제로트러스트 체계와 인공지능(AI) 기반 이상징후 탐지시스템을 구축하겠다는 계획도 제시했다.

소비자주권시민회의는 이에 대해 “사고 이후 필요성이 인정된 투자와 인력이 사고 이전에는 왜 충분히 확보되지 않았는지 피해 소비자 입장에서는 의문을 가질 수밖에 없다”며 사고 전후 정보보호 투자와 인력 운용의 의사결정 과정을 비교해 검증할 필요가 있다고 밝혔다.

“책임 규명, 피해 소비자 손해배상에도 중요”

단체는 취약점을 알고도 개선하지 않은 경위가 향후 개인정보 유출 피해자들의 손해배상 과정에서도 중요한 자료가 될 수 있다고 강조했다.

현행 개인정보보호법은 개인정보처리자의 법 위반 행위로 피해를 본 정보주체에게 손해배상청구권을 인정하고 있다. 개인정보처리자가 고의 또는 과실이 없었다는 점을 증명하지 못하면 책임을 면하기 어렵고, 고의 또는 중대한 과실로 개인정보가 유출돼 손해가 발생한 경우 법원이 일정 요건 아래 손해액의 최대 5배 범위에서 배상액을 정할 수 있도록 하고 있다.

이에 소비자주권시민회의는 취약점의 사전 인지 여부와 위험성에 대한 내부 보고, 개선 요청과 처리 과정, 최종적으로 조치가 이뤄지지 않은 이유 등이 향후 티빙의 고의·과실 또는 중대한 과실 여부를 판단하는 자료가 될 수 있다고 주장했다.

관련 내부 자료 대부분을 사업자가 보유하고 있는 만큼 국정감사를 통해 사실관계를 확인하는 것은 피해 소비자의 실질적인 권리구제 차원에서도 의미가 있다고 강조했다.

“국감, ‘알고도 안 고친 책임’ 밝혀 사전예방으로 이어져야”

소비자주권시민회의는 이번 국정감사가 특정 기업의 책임을 따지는 데서 끝나지 않고 대규모 개인정보를 취급하는 기업들의 정보보호 체계를 전반적으로 강화하는 계기가 돼야 한다고 밝혔다.

중대한 보안 취약점이 발견될 경우 개선 책임자와 기한을 명확하게 지정하고 필요한 예산과 인력을 검토하는 한편 CISO·CPO 및 최고경영진 보고, 개선 완료 여부에 대한 재점검까지 이어지는 책임관리체계를 제도적으로 강화해야 한다는 것이다.

또 취약점 개선이 장기간 이뤄지지 않을 경우에는 미조치 사유와 관련 의사결정 과정을 명확하게 기록하고 관리하도록 해 사고 발생 이후 책임 소재를 확인할 수 있도록 해야 한다고 제안했다.

소비자주권시민회의는 “이번 국정감사가 티빙의 ‘알고도 안 고친 책임’을 명확히 규명하는 동시에 기업 전반의 개인정보 보호책임을 강화하고, 확인된 보안 위험이 실제 사고로 이어지기 전에 개선될 수 있는 사전예방 체계를 점검하는 계기가 되기를 기대한다”고 밝혔다.

#티빙 #TVING #CJENM #개인정보유출 #개인정보보호 #과방위 #국정감사 #최주희 #윤상현 #소비자주권시민회의 #정보보호 #보안취약점 #모의해킹 #하드코딩 #CISO #CPO #개인정보보호법 #손해배상 #정보보안 #소비자권익 #사이버보안