[컬럼] 개인정보 유출 사고, 사과는 이제 그만, 구조를 바꿔라!

[ 조연행 컬럼 ] 금융회사는 돈과 함께 고객의 삶을 보관한다. 이름과 주민등록번호, 연락처는 물론 소득과 대출, 거래 내역까지 금융회사에 모인다.

이 정보가 유출되면 소비자는 보이스피싱과 명의도용의 위험을 떠안는다. 비밀번호는 바꿀 수 있어도 이미 퍼져버린 개인정보를 모두 회수할 수는 없다.

금융권의 개인정보 유출이 반복되고 있다. 사고가 터질 때마다 금융회사는 사과하고 보안을 강화하겠다고 약속한다.

그러나 소비자가 원하는 것은 같은 사과의 반복이 아니다. 자신의 정보가 어디에 저장되고, 누가 접근하며, 어떤 경로로 외부에 나가는지 제대로 관리하라는 것이다.

이제 금융권의 개인정보 보호 체계를 다섯 가지 원칙으로 바꿔야 한다.

첫째, 개인정보를 적게 보유해야 한다. 많이 모아 오래 보관하는 관행부터 고쳐야 한다. 법적으로 보존해야 하는 정보는 안전하게 관리하되, 보존기간이 지난 정보와 업무에 불필요한 복사본은 삭제해야 한다.

개발·시험용 자료와 업무기록에도 실제 고객정보가 무분별하게 남아서는 안 된다. 보유하는 정보가 줄어야 유출될 정보도 줄어든다.

둘째, 직원과 외주업체의 접근을 철저히 통제해야 한다. 내부 직원이라는 이유만으로, 시스템을 개발한다는 이유만으로 광범위한 고객정보를 열람하게 해서는 안 된다. 담당 업무에 필요한 정보만, 필요한 기간에만 접근하도록 해야 한다. 계약이 끝난 외주업체의 계정은 즉시 차단하고, 대량 조회와 다운로드에는 별도의 승인과 기록을 남겨야 한다. 업무를 외주화해도 고객정보 보호에 대한 금융회사의 책임까지 넘길 수는 없다.

셋째, 대량 반출을 실시간으로 차단해야 한다. 평소와 다른 대량 조회, 야간 다운로드, 비정상적인 외부 전송이 발생하면 즉시 탐지하고 제한해야 한다. 해커의 침입뿐 아니라 내부자의 유출도 감시해야 한다. 개인정보는 암호화하고 암호키는 분리해 관리해야 한다. 보안의 성패는 장비를 얼마나 샀느냐보다 실제 유출 경로를 얼마나 빨리 발견하고 막느냐에 달려 있다. 지문인식 등 본인확인을 강화하는 것도 필요하다.

그러나 고객의 로그인 인증을 강화했다고 금융회사 서버에 저장된 정보까지 안전해지는 것은 아니다. 인증 강화와 내부 정보관리는 함께 추진해야 한다. 생체정보 역시 불필요하게 중앙에 모으기보다 개인 기기 안에서 안전하게 활용하는 방향이 바람직하다.

넷째, 경영진이 보안에 책임져야 한다. 개인정보 보호를 전산부서의 업무로만 취급해서는 안 된다. 최고경영자와 이사회가 취약점 개선, 외주업체 관리, 전문인력 확보를 직접 점검해야 한다.

보안책임자가 위험을 발견해도 비용과 일정 때문에 조치가 밀린다면 사고의 책임은 경영의 문제다. 보안책임자에게 독립성과 권한을 보장하고, 경영진의 평가에도 개인정보 보호 성과를 반영해야 한다.

다섯째, 피해자에게 실질적인 구제와 배상을 제공해야 한다. 과징금은 국가에 납부하는 돈이다. 그 자체로 피해 소비자에게 배상이 이뤄지는 것은 아니다. 사고 금융회사는 유출 항목과 위험을 정확히 알리고, 명의도용 방지와 피해 상담, 금융거래 보호조치를 적극 지원해야 한다. 소비자가 여러 창구를 전전하며 피해를 설명하도록 해서는 안 된다.

이를 뒷받침할 제도 개혁도 필요하다. 집단소송제도, 징벌적 손해배상제도, 입증책임 전환이라는 ‘소비자권익3법’을 서둘러 마련해야 한다. 개별 소비자가 금융회사 내부의 보안체계와 유출 원인을 밝혀내기는 어렵다. 관련 자료를 보유한 기업이 적절한 보호조치를 했는지 설명하고, 반복적인 중대 과실에는 엄중한 책임을 지도록 해야 한다.

소비자가 함께 권리를 행사할 수 있어야 피해구제도 현실적인 힘을 갖는다. 감독당국도 서류와 체크리스트를 확인하는 검사에서 벗어나야 한다. 실제 침투 가능성과 개인정보 반출 경로를 검증하고, 취약점이 발견됐을 때 개선이 끝났는지 확인해야 한다. 금융회사 사이의 위협정보 공유도 신속히 이뤄져야 한다.

한 회사에서 확인된 공격이 다른 회사에서 되풀이되지 않도록 공동 대응체계를 작동시켜야 한다. 소비자는 금융서비스를 이용하기 위해 개인정보를 맡긴다. 그 선택을 이유로 평생 불안과 감시의 부담까지 떠안을 수는 없다. 개인정보 보호는 금융회사가 고객에게 제공하는 기본적인 의무이며, 금융산업의 신뢰를 지탱하는 조건이다.

개인정보 최소보유, 외주 접근 통제, 대량 반출 차단, 경영진 책임, 피해자 실질 배상. 금융회사와 정부는 이 다섯 가지 요구를 실행계획과 기한으로 답해야 한다. 다음 사고가 발생한 뒤 또다시 사과하는 일은 이제 끝내야 한다.(끝)