개인정보 유출 사고는 이제 일상적인 뉴스가 되었다.
크리덴셜 스터핑으로 GS리테일에서 고객 정보가 유출되고, 랜섬웨어로 하이트진로의 개인정보 유출이 의심되며, 고객의 개인신용정보를 무단 사용한 토스가 금감원의 제재를 받았다. 이러한 사건은 단순한 보안의 문제가 아니다. 이는 우리 사회가 개인정보 보호에 대해 얼마나 허술한지를 적나라하게 보여준다.
우리는 개인정보를 다루는 데 있어 여전히 안전불감증에 빠져 있다. 기업과 기관은 개인정보 보호를 위한 투자를 미루고, 법적·제도적 장치는 해커와 내부 위협보다 훨씬 느리게 따라가고 있다. 결과적으로 개인정보 보호를 위한 전문 인력과 시스템 부족은 문제를 더욱 악화시키고 있다.
2023년 개정된 신용정보법 시행령은 기업의 신용정보 무단 사용에 대한 과징금 기준을 상향 조정했지만, 현실은 여전히 국민의 기대에 못 미친다. 예를 들어 토스는 2,928만 건의 신용정보를 무단 사용하고도 1건당 약 205원의 벌금만 부과받았다. 과연 이 수준의 제재가 국민의 신뢰를 회복할 수 있을까?
반면 해외 사례를 보면 제재 수준의 차이는 더욱 두드러진다. 미국의 에퀴팩스는 대규모 해킹으로 6억 달러, 페이스북은 개인정보 유출로 50억 달러에 달하는 벌금을 부과받았다. 우리나라의 제재 수준은 개인정보 보호의 중요성을 제대로 반영하지 못하고 있다. 고의적 개인정보 무단 사용에는 단순 과태료 이상의 징벌적 제재가 필요하다.
랜섬웨어 공격으로 개인정보가 유출될 가능성을 보여준 하이트진로 사례는 기업 보안 시스템의 한계를 명확히 드러냈다. 특히 공공기관과 제조업 분야는 금융권에 비해 보안 투자가 부족해 유출 사고가 잦다. 보안 전문가들은 EDR(Endpoint Detection and Response)이나 MDR(Managed Detection and Response) 등 다층적인 보안 체계의 도입을 강조한다. 그러나 이러한 보안 시스템이 제대로 작동하려면 이를 운영하고 관리할 전문 인력이 필요하다.
통계에 따르면, 2024년 기준 한국의 보안 전문 인력은 약 23,947명으로, 일본(약 39만 명)이나 미국(약 125만 명)과 비교해 턱없이 부족하다. 정부는 2025년까지 1만 명 이상의 보안 전문 인력이 필요하다고 예상하지만, 현재의 증가 속도로는 부족을 메우기 어렵다.
문제는 명확하다. 법적·제도적 장치가 현실에 뒤처져 있으며, 기업들은 이를 악용해 책임을 회피하려 한다. 개인정보 유출 사고를 줄이기 위해선 고의적 개인정보 무단 사용에 대해 징벌적 손해배상 제도를 도입하고, 기업이 막대한 비용을 치르게 해야 한다. 정부와 교육기관이 협력해 보안 전문 인력을 체계적으로 양성하고, 기업이 이들을 적극 고용할 수 있도록 지원해야 한다.
기업도 변해야 한다. 제로트러스트 보안 모델과 MDR, XDR 같은 최신 보안 체계를 도입해 선제적으로 보안 사고를 예방해야 한다. 더 나아가 개인정보 유출 사고의 피해자들에게 실질적인 보상이 이뤄지도록 해야 한다. 이는 단순한 기술적 문제를 넘어, 국민의 신뢰를 회복하기 위한 기본적인 책무다.
개인정보 유출 사고가 발생할 때마다 정부와 기업은 보안을 강화하겠다고 말하지만, 그 약속은 여전히 부족하다. 이제는 말이 아니라 행동으로 보여줘야 할 때다. 법적·제도적 장치를 강화하고, 보안 인력을 확충하며, 선제적 보안 체계를 도입하는 것이 그 시작이다. 국민이 믿을 수 있는 사회적 안전망이 마련될 때, 개인정보 유출에 대한 안전불감증은 비로소 해소될 것이다.
<송세용 기자>
개인정보 유출 사고는 이제 일상적인 뉴스가 되었다.
크리덴셜 스터핑으로 GS리테일에서 고객 정보가 유출되고, 랜섬웨어로 하이트진로의 개인정보 유출이 의심되며, 고객의 개인신용정보를 무단 사용한 토스가 금감원의 제재를 받았다. 이러한 사건은 단순한 보안의 문제가 아니다. 이는 우리 사회가 개인정보 보호에 대해 얼마나 허술한지를 적나라하게 보여준다.
우리는 개인정보를 다루는 데 있어 여전히 안전불감증에 빠져 있다. 기업과 기관은 개인정보 보호를 위한 투자를 미루고, 법적·제도적 장치는 해커와 내부 위협보다 훨씬 느리게 따라가고 있다. 결과적으로 개인정보 보호를 위한 전문 인력과 시스템 부족은 문제를 더욱 악화시키고 있다.
2023년 개정된 신용정보법 시행령은 기업의 신용정보 무단 사용에 대한 과징금 기준을 상향 조정했지만, 현실은 여전히 국민의 기대에 못 미친다. 예를 들어 토스는 2,928만 건의 신용정보를 무단 사용하고도 1건당 약 205원의 벌금만 부과받았다. 과연 이 수준의 제재가 국민의 신뢰를 회복할 수 있을까?
반면 해외 사례를 보면 제재 수준의 차이는 더욱 두드러진다. 미국의 에퀴팩스는 대규모 해킹으로 6억 달러, 페이스북은 개인정보 유출로 50억 달러에 달하는 벌금을 부과받았다. 우리나라의 제재 수준은 개인정보 보호의 중요성을 제대로 반영하지 못하고 있다. 고의적 개인정보 무단 사용에는 단순 과태료 이상의 징벌적 제재가 필요하다.
랜섬웨어 공격으로 개인정보가 유출될 가능성을 보여준 하이트진로 사례는 기업 보안 시스템의 한계를 명확히 드러냈다. 특히 공공기관과 제조업 분야는 금융권에 비해 보안 투자가 부족해 유출 사고가 잦다. 보안 전문가들은 EDR(Endpoint Detection and Response)이나 MDR(Managed Detection and Response) 등 다층적인 보안 체계의 도입을 강조한다. 그러나 이러한 보안 시스템이 제대로 작동하려면 이를 운영하고 관리할 전문 인력이 필요하다.
통계에 따르면, 2024년 기준 한국의 보안 전문 인력은 약 23,947명으로, 일본(약 39만 명)이나 미국(약 125만 명)과 비교해 턱없이 부족하다. 정부는 2025년까지 1만 명 이상의 보안 전문 인력이 필요하다고 예상하지만, 현재의 증가 속도로는 부족을 메우기 어렵다.
문제는 명확하다. 법적·제도적 장치가 현실에 뒤처져 있으며, 기업들은 이를 악용해 책임을 회피하려 한다. 개인정보 유출 사고를 줄이기 위해선 고의적 개인정보 무단 사용에 대해 징벌적 손해배상 제도를 도입하고, 기업이 막대한 비용을 치르게 해야 한다. 정부와 교육기관이 협력해 보안 전문 인력을 체계적으로 양성하고, 기업이 이들을 적극 고용할 수 있도록 지원해야 한다.
기업도 변해야 한다. 제로트러스트 보안 모델과 MDR, XDR 같은 최신 보안 체계를 도입해 선제적으로 보안 사고를 예방해야 한다. 더 나아가 개인정보 유출 사고의 피해자들에게 실질적인 보상이 이뤄지도록 해야 한다. 이는 단순한 기술적 문제를 넘어, 국민의 신뢰를 회복하기 위한 기본적인 책무다.
개인정보 유출 사고가 발생할 때마다 정부와 기업은 보안을 강화하겠다고 말하지만, 그 약속은 여전히 부족하다. 이제는 말이 아니라 행동으로 보여줘야 할 때다. 법적·제도적 장치를 강화하고, 보안 인력을 확충하며, 선제적 보안 체계를 도입하는 것이 그 시작이다. 국민이 믿을 수 있는 사회적 안전망이 마련될 때, 개인정보 유출에 대한 안전불감증은 비로소 해소될 것이다.