개인정보 유출, 국가와 기업이 할 일
계속되는 개인정보 유출 사고, 제일 답답하고 궁금한 대목에 이르렀다. 이 문제를 해결하기 위해 누가, 무엇을, 어떻게 해야 할까? 당연히 기업과 정부가 보안을 강화해야 할텐데 구체적으로 어떤 부분을 강화해야 하는 걸까? 관련 제도의 허점이 뭐고 그걸 어떻게 보완해야 할까? 규칙은 이미 다 있다! 기업이 개인정보를 다룰 때 지켜야 할 보안 기준은 이미 상당히 구체적으로 마련돼 있다. 누가 개인정보에 접근할 수 있는지 권한을 관리하고, 퇴직자의 권한을 즉시 없애고, 개인정보 관련 시스템에 누가 언제 접속했는지 일정 기간 보관해야 하고, 보안 취약점이 발견되면 제때 고치는 것 등이 대표적이다.개인정보 보호를 감독하는 정부 기관인 개인정보보호위원회는 ‘인사 이동이나 퇴직으로 담당자가 바뀌면 지체 없이 시스템 접근 권한을 말소해야 하고, 누구에게 언제 권한을 주고 거뒀는지 기록해 3년간 보관해야 한다.’고 고시하고 있다. 작년 쿠팡에서 수천만 명의 정보를 빼낸 사람은 이미 퇴사한 직원이었다. 쿠팡이 이 기준을 따르지 않아 퇴사한 직원이 인증키를 가지고 있었던 것. 같은 해 297만 명의 정보가 빠져나간 롯데카드 사고는, 2017년에 이미 공개돼 보완 패치까지 나와 있는 결함을 방치한 결과였다.
규칙을 지키고, 경고에 귀를 기울였으면 두 사고 다 미연에 방지할 수 있었다. 하지만 문제는 남아 있다. 개인정보가 한 기업 내에만 있지 않다는 점이다. 결제, 배송, 고객 상담 같은 업무를 외부 업체에 맡기면서 개인정보도 함께 전달한다. 그래서 해커들은 회사 자체의 서버보다 ‘협력업체‘를 공략하는 경우가 많다. 우리가 어떤 쇼핑몰에 가입하면 우리의 개인정보는 주문 확인 문자를 보내는 회사, 고객센터 상담을 대신 받는 회사, 결제를 처리하는 회사, 물건을 배송하는 회사로 전달된다. 그래서 개인정보 보호법 제26조는 다른 회사에 개인정보 처리를 맡길 때 지켜야 할 것들을 정해 두었다. 무엇을 맡기는지 계약서에 적을 것, 맡긴 회사가 그 정보를 다른 데 쓰지 않도록 교육하고 감독할 것, 그리고 누구에게 무엇을 맡겼는지 이용자가 볼 수 있게 공개할 것. 협력사에서 유출사고가 일어날 경우 법적으로 손해배상 책임은 맡긴 기업이 져야 한다. 그만큼 협력업체의 보안까지 관리하는 일이 중요하다는 뜻이다. 현실에서는 이 부분이 매우 취약하다.
보안업체 카스퍼스키가 2025년 발표한 바에 따르면, 지난 1년간 개인정보 관련해서 기업은 협력업체를 우회해 들어오는 공격을 가장 위협적이었다고 꼽았다. 실제로 2025년 11월에는 LG전자와 삼성메디슨의 협력사가 잇따라 해킹당해 직원 정보가 노출됐다. 대기업들은 수백 곳 이상의 외부업체와 연결돼 있다. 그만큼 협력업체의 개인정보 보호 수준까지 일일이 점검하고 관리하는 데 적지 않은 비용과 노력이 든다. 법은 위탁한 기업에도 관리·감독 책임을 지우고 있지만, 많은 협력업체를 빈틈없이 관리하는 일은 쉽지 않다.그리고 기업은 당장 매출로 이어지는 마케팅이나 신규 서비스에 투자하기 바빠 개인정보 보호를 위한 보안 투자에 신경을 덜 쓴다. 전체 IT 투자액 대비 정보보호 투자 비율은 6.29% 수준이다.