[4차산업행정뉴스=서정용기자]       이재명 대통령은 지난 3일 국무회의에서 공공과 민간에 흩어진 보안 기능을 총괄·조정할 기구의 구성을 적극 검토하라고 지시했다. 

인공지능(AI)의 발달로 해킹 수법이 고도화되는 상황에서 공격 징후를 조기에 탐지하고, 정보통신·에너지·금융 등 국가 핵심 인프라의 취약점을 보완하라는 취지다. 경실련은 정부의 검토에 환영의 뜻을 밝히며, 민간·공공기업의 보안 실태를 상시 감사하고 시정조치 이행까지 확인할 수 있는 독립적인 ‘사이버보안감독원’신설(안)을 제안한다.

-반복되는 개인정보 유출사고에 책임지지 않는 구조가 고착화됐다.
최근 잇따른 통신·금융·이커머스 개인정보 유출 사태는 단순한 기술적인 문제가 아니라, 국가 전체의 사이버보안 관리체계가 부재함을 보여주는 중대한 경고다. 이미 우리 국민들은 수차례 비슷한 피해를 겪어왔다. 

2011년 농협 전산망이 마비되어 전국 금융거래가 중단됐고, 2014년에는 카드 3사에서 1억 건이 넘는 개인정보가 유출됐다. 10여년이 지난 지금도 통신·금융·이커머스 등 민간뿐만 아니라, 공공기관, 병원, 교육청 등 공공에서도 대형 보안사고가 반복되고 있다. 지난해 국가정보자원관리원 화재로 공공서비스가 중단된 일은 기반시설의 장애가 국민 생활에 얼마나 큰 영향을 미치는지도 보여줬다.

그러나 이러한 대형 보안사고가 날 때마다. 정부와 기업들은 “기술적 오류”나 “개인의 실수,” “개인의 일탈”로만 치부하고, 제도적 원인과 감독 실패에 대한 근본적인 점검과 대책 마련은 외면해 왔다. 그 결과, 국민의 개인정보는 반복적으로 유출되고, 그 누구도 책임지지 않는 구조가 고착화됐다.

-최근 AI를 악용한 신종 해킹 공격이 우리 국민들의 재산과 안보를 위협하고 있다.
지난 9월 말 신한은행에서는 외부인이 대출모집인용 모바일 서비스의 본인확인 절차를 우회해 고객정보에 접근했다. 은행이 밝힌 피해 규모만 약 2만 5천 명이었다. 이름과 전화번호뿐 아니라 연소득과 대출한도가 유출됐고, 일부 고객은 주민등록번호까지 노출됐다. 

금융보안원 관계자에 따르면, 접속기록과 공격에 사용된 IP를 역추적하는 과정에서 AI 기반 보안점검 도구 ‘ARTEX’를 악용한 흔적이 발견됐다. 지난달 10월 중순까지 금융회사 16곳에서 개인정보 침해사고가 확인됐고, 금융권 정보유출 규모가 약 10만 건이라고 발표했다. 

금융당국이 금융회사 555곳을 점검한 결과, 130곳에서 보안 취약점을 확인됐다. 한 회사에서 공격 수법이 드러나면 다른 회사에서도 같은 침입이 가능한지 곧바로 점검해야 하는 이유다.

이처럼 공격 수법이 달라졌어도 정부와 기업이 답해야 할 질문은 분명하다. 정부와 기업은 AI를 악용한 신종 해킹 공격으로부터 국민들의 개인정보와 데이터를 보호할 수 있도록 보안을 강화하고 사고를 예방하여야 한다. 어떤 취약점이 반복되고 있는지 보완 조치 후 같은 방식의 침입을 차단할 수 있는지 상시 재점검하고, 개인정보 보호를 위한 점검 기준과 시정 결과를 국민에게 투명하게 공개하여야 한다.

-정부의 사이버보안 감독·책임 공백이 구조적 실패를 불렀다.
오늘날 대한민국의 사이버보안 감독체계는 기관별로 분절되어 있고, 책임이 불분명하다. △통신망은 과학기술정보통신부 산하 한국인터넷진흥원(KISA)이, △금융망은 금융보안원이, △공공기관은 국가정보원이, △개인정보 유출은 개인정보보호위원회가 각각 맡고 있지만, 이들 기관은 서로의 영역을 넘지 않으려 하며 감시 공백을 방치해 왔다.

그 결과, 사고 발생 시 신속한 대응은커녕 보고와 공시조차 제때 이루어지지 않는다. 최근 KT 사태에서도 과학기술정보통신부와 한국인터넷진흥원이 KT의 불법 이동기지국의 존재를 파악하고도 즉시 대응하지 못했고, 해킹 경로와 피해 규모조차 명확히 파악되지 못한 채 긴 시간이 흘렀다. 

특히 LGU+의 경우 개인정보보호위원회의 조사 착수 전 자사의 서버 운영체제를 재설치하거나 폐기하는 방식으로 진상규명과 피해구제를 원천적으로 방해한 중대한 증거인멸 행위로 현재 수사중에 있다. 이는 단순히 일개 기업의 관리 부실이나 부패·범죄 문제만이 아니라, 국가의 관리·감독·제재와 이용자 보호가 실종된 국가적 총체적 실패이다.

-국가가 직접 책임지는 통합감독체계가 긴요하다.

이재명 정부는 독립적인 감독기구인 “사이버보안감독원”을 설치하라.

이제 정부는 ‘민간의 자율보안’이라는 구호 뒤에 숨는 태도를 버려야 한다. 국민의 데이터와 거래, 통신망의 안전은 국가의 직접적 책임이다. 이에 경실련은 정부와 국회가 협력하여, 국가와 민간의 모든 기간망을 통합 관리할 “사이버보안감독원(가칭)”을 즉시 신설할 것을 강력히 촉구한다.

새로운 사이버보안감독원은 국무총리 소속의 독립적 중앙행정기관으로 설치되어야 하며, 통신사·금융기관·공공기관·대형 플랫폼 사업자 등 국민 생활과 직결된 모든 기간망을 정기적으로 감사하고, 사고 발생 시 즉각적인 보고와 공시를 의무화해야 한다. 또한 은폐나 지연보고가 발생할 경우, 해당 기업이나 기관의 매출액에 연동한 과징금 부과와 함께 임원의 해임, 영업정지 등 실질적 제재를 가할 권한을 가져야 한다.

공공기관도 예외가 되어서는 안 된다. 지자체, 공기업, 공공기관 등 국민의 데이터를 보유·처리하는 모든 기관은 민간과 동일한 기준으로 감사를 받아야 하며, 국가정보원은 국가안보 중심의 정보기관으로 역할을 제한하고, 보안관리와 감사기능은 이제 독립된 사이버보안감독원에 일원화해야 한다.

-개인정보 유출로 확인된 재산피해는 “선보상”하고, 집단소송으로 남은 손해를 구제하라.
개인정보 유출 사고로 피해를 입은 국민에게는 ‘선보상(Zero Liability)’ 제도를 도입해 민간사업자가 먼저 배상하고 이후 원인 제공자에게 구상하도록 해야 한다. 이름·전화번호와 함께 연소득·대출한도가 유출되면, 금융실명거래나 전자상거래에 악용될 수 있다. 

사업자는 개인정보 유출 사실을 확인하는 즉시 피해자에게 누가 어떤 정보를 어떻게 유출시켰는지 그 경로와 함께 개별 통지하고, 또한 피해 예방을 위해 모든 고객에게 투명하게 공개하고 그 수법과 예방 방법을 안내해야 한다. 이후 부정결제 등 재산피해가 확인되고 유출 사고와의 관련성이 소명되면, 사업자가 정해진 기한 내 확인된 손실을 먼저 보상하도록 법제화해야 한다. 

사업자간 책임 분담은 피해자에게 선보상 후 구상권을 청구하면 된다. 사업자가 선보상을 거절할 때에는 피해자에게 그 사유와 이의신청 절차를 서면으로 통지토록 하고, 손해배상청구권을 보장해야 한다.

이와 더불어, 국회는 개인정보 유출을 비롯한 집단적 피해를 구제할 “집단소송법”을 연내 제정해야 한다. 현행 개인정보 집단분쟁조정은 사업자가 결과를 수락하지 않으면 배상을 강제하기 어렵다. 개인정보 단체소송으로 청구할 수 있는 것도 침해행위의 금지·중지에 한정된다. 

같은 서비스에서 같은 경로로 정보가 유출됐는데도 국민 한 사람 한 사람이 소송 비용을 들이고 사업자가 보유한 접속기록을 확보해야 한다면, 상당수 피해자는 배상을 청구할 엄두조차 내기 어렵다. 

대표당사자가 공통 쟁점을 한 번에 다투고 제외를 신청하지 않은 피해자에게도 판결의 효력이 미치는 ‘옵트아웃’ 방식과 법원을 통해 사업자가 가진 자료를 확보할 수 있는 ‘증거개시(디스커버리) 제도’를 함께 도입해야 그 실효성을 높일 수 있다. 선보상을 받은 피해자라도 나머지 손해에 대해 집단소송청구권을 보장해야 한다.

-세계는 이미 ‘독립형 사이버감독기구’로 전환했다.
유럽연합은 2004년 「ENISA(European Union Agency for Cybersecurity, 유럽연합 사이버보안청)」를 설립하여 회원국의 공공·금융·통신망을 통합 관리하고, GDPR(일반 데이터 보호 규칙)에 따라 위반 기업에 대해 매출의 최대 4%까지 과징금을 부과하고 있다. 

미국은 국토안보부 산하 「CISA(Cybersecurity and Infrastructure Security Agency, 사이버·인프라보안국)」를 통해 민간과 공공이 함께 참여하는 상시 공조체계를 운영하며 사고 발생 시 전국 단위의 경보체계를 즉시 가동한다. 영국 또한 「NCSC(National Cyber Security Centre, 국가사이버보안센터)」를 설립하여 모든 공공기관과 금융기관의 보안수준을 인증·감독하고 있다.

이와 달리, 한국은 여전히 국가정보원 중심의 폐쇄형 관리·감독 체계를 유지하고 있다. 감독은 분절되고, 관리책임은 불명확하며, 투명한 공시는 이루어지지 않고 있다. 이제는 시대에 뒤처진 관리 구조를 바꾸어야 할 때이다.

-정부와 국회의 결단을 촉구한다.
경실련은 이재명 정부가 연내 「사이버보안감독원 설치 및 운영에 관한 법률 (약칭: 사이버보안감독원설치운영법)」을 발의할 것을 제시한다. 

이 법에는 상시감사, 공시의무, 매출연동 과징금, 피해자보호 제도 등이 포함되어야 하며, 12개월 이내에 사이버보안감독원을 공식 출범시켜야 한다. 국회는 정쟁을 떠나 국민의 안전을 위한 초당적 협력에 나서야 한다. 과학기술정보방송통신위원회와 정무위원회가 공동으로 이 법안을 심사하고, 정부와 함께 구체적인 이행 로드맵을 마련해야 한다. 더 이상 “소잃고 외양간 고치기” 식의 사후대응으로 또 무책임한 행정만 반복하는 것으로는 국민의 신뢰를 되찾을 수 없다.

-개인정보 보호는 헌법적 국가의 의무다.
국가가 국민의 개인정보와 데이터를 지키지 못한다면 그것은 단순한 관리 실패가 아니라 헌법적 의무의 포기이다. 범람하는 AI와 빅데이터 시대 통신망, 금융망, 공공정보망은 이미 국민의 생명과 재산, 생활을 지탱하는 국가의 공공인프라다. 그 안전을 더 이상 민간의 자율규제에만 맡겨둘 수는 없다. 

경실련은 정부와 국회가 즉각 행동에 나서 “사이버보안감독원” 설립을 통해 국가가 스스로 국민의 개인정보와 데이터를 지키는 체계를 만들 것을 요구한다. 국민의 데이터는 더 이상 기업의 재산이 아니라, 국가의 생명선이자 국민의 권리다.

국민들이 정부에 요구하는 변화는 분명하다. 이재명 정부는 “사이버보안감독원”의 권한, 기관별 역할, 필요한 인력·예산을 담은 설치안과 이행 로드맵을 수립하라. 국회는 이번 정기국회에서 사이버보안감독원설치운영법과 집단소송법을 연내 처리하고, 개인정보 유출로 재산피해를 입은 피해자들을 보호할 수 있는 법적 근거를 마련하라.