[경제인사이드] 과징금 4년 새 100배 폭증… 정부 '기술 중심' 보안인증...

작년 유출 관련 과징금 1580억원 달해

사후관리 등 체계 도입으로 실효성 제고

공공·민간 보안 전담 인력 기관당 0.3명

인력 가뭄 속 실질적 대응책 마련 시급

3단계 차등 인증 등 기술 중심 제도 개편

정보유출. (출처: 게티이미지뱅크)

핵심 요약

◆‘인적 과실’ 인한 과징금 1580억 시대

개인정보 유출 과징금이 4년 만에 100배 폭증하며 기업 경영의 최대 리스크로 부상했다. 지난해 과징금 규모는 약 1580억원에 달하며 특히 사고 원인의 상당수가 지능형 해킹보다는 내부 관리 소홀이나 업무상 과실 등 인적 요인에 집중되고 있다. 이에 따라 단순한 보안 장비 확충을 넘어 내부 보안 의식을 근본적으로 바꾸는 ‘관리 패러다임’ 전환과 범정부 차원의 강도 높은 대응책 마련이 시급해진 상황이다.

◆인증제 대개편·공공 책임 보안 강화

정부는 기존 서면 위주의 ISMS-P 인증을 기술심사와 상시 점검 중심의 ‘3단계 차등 체계’로 전면 재편해 규제 실효성을 높인다. 특정 시점만 점검하던 방식에서 벗어나 중대 결함 시 인증을 즉시 취소하는 등 사후관리 강화가 핵심이다. 공공기관 유출 사고 시 평가 감점 폭을 20점으로 높이고 전담 인력과 예산을 확충해 국민 데이터 보호를 위한 범정부 차원의 밀도 높은 안전망을 구축할 방침이다.

[천지일보=황해연 기자] 개인정보 유출에 따른 과징금 부과액이 최근 4년 사이 100배 이상 폭증하며 기업 경영의 존립을 흔드는 핵심 리스크로 급부상한 가운데 정부가 인증제도의 전면 개편과 범정부 차원의 인프라 확충을 골자로 한 강도 높은 대응책 마련에 나섰다.

지난해 개인정보 관련 과징금 규모는 약 1580억원에 달해 ‘천문학적 과징금 시대’가 본격화됐으며 특히 사고 원인의 상당수가 고도화된 해킹보다는 내부 관리 소홀이나 업무상 과실 등 인적 요인에 집중되고 있어 기업 및 공공기관의 보안 패러다임 전환이 시급하다는 지적이 제기되고 있다.

이에 대응해 정부는 기존 서면 위주의 형식적 점검에 그쳤던 정보보호 및 개인정보 보호 관리체계(ISMS·ISMS-P) 인증을 기술심사와 상시 점검 중심의 3단계 차등 체계로 전면 재편하고 공공부문의 사고 대응 책임 강화를 위해 평가지표 상의 감점 폭을 대폭 확대하는 등 규제의 실효성을 높이기로 했다.

고질적인 인력난과 예산 부족 문제를 해결하기 위해 부처 간 협업을 통한 전담 조직 확충 및 기술적 방어 체계 고도화에 총력을 기울임으로써 갈수록 지능화되는 프라이버시 침해 위협으로부터 국민의 데이터를 보호하기 위한 근본적인 안전망 구축에 박차를 가할 방침이다.

정보통신기술. (출처: 게티이미지뱅크)

◆해킹보다 ‘관리 소홀’에 의한 유출 비중 높아

국회 정무위원회 소속 국민의힘 이양수 의원이 개인정보위원회에서 제출받은 자료에 따르면 지난해 개인정보 유출 관련 과징금 부과액은 약 1579억원으로 집계됐다. 이는 2021년 약 15억원 수준이었던 전체 규모가 4년 만에 100배 이상으로 폭증한 결과다.

특히 작년에는 SK텔레콤의 대규모 유심 정보 유출에 따른 약 1348억원의 과징금이 반영되면서 전체 규모가 크게 확대된 것으로 나타났다.

최근 5년간의 유출 원인을 분석한 결과 외부 해킹보다 내부 관리 소홀이나 업무상 과실에 의한 비중이 더 높다는 점이 확인됐다. 공공기관의 경우 ‘해킹’은 29건이었으나 ‘업무과실 등’이 67건으로 두 배 이상 많았고 민간 역시 해킹 192건, 업무과실 등 220건으로 내부 요인에 의한 비중이 더 높게 나타났다.

이는 날로 정교해지는 외부 해킹 공격뿐 아니라 기업 및 기관 내부의 고질적인 보안 의식 부재와 관리 부실이 기업 경영의 존립을 위협하는 더 심각한 요인이 되고 있음을 시사한다.

민간 부문의 과징금 부과 상위 기관으로는 SK텔레콤(약 1347억 9100만원)을 필두로 메타(216억 1300만원), 루이비통코리아(213억 8500만원), 카카오(151억 4196만원), 크리스챤디올꾸뛰르코리아(134억 5100만원) 등이 명단에 이름을 올렸다. 공공 부문에서도 한국연구재단(7억 300만원), 전북대(6억 2300만원), 공무원연금공단(5억 3200만원) 등이 상위권에 포함되며 거액의 과징 처분을 피하지 못했다.

보안. (출처: 게티이미지뱅크)

◆ISMS-P 인증체계 대전환 및 기술심사 중심 제도 개편

정부는 인증제도의 실효성 논란을 적극적으로 해소하기 위해 기존의 획일적인 기준에서 벗어나 ‘강화인증·표준인증·간편인증’으로 구성된 3단계 차등 체계를 도입하기로 했다.

특히 국민 생활에 파급력이 큰 강화인증군에는 보다 엄격해진 기준과 심사방식을 적용할 방침이다. 이는 그간 지적된 서면 중심의 일회성 점검 방식에서 탈피해 현장과 기술 중심의 심사 및 상시 관리체계로 전환하는 것을 골자로 한다. 주요 개편 사항에 따르면 앞으로는 본심사에 앞서 예비심사를 통해 핵심 보안 항목을 사전에 철저히 점검하고 취약점 진단과 모의침투 등 기술심사 영역을 대폭 확대한다.

심사 방식 역시 특정 시점의 보안 상태만 점검하는 이른바 ‘스냅샷’ 방식에서 벗어나 인증 이후에도 보안 수준이 일정하게 유지되도록 하는 상시 점검 체계를 구축할 예정이다. 인증 취소 기준을 더욱 구체화해 인증기준 미달 여부를 판단하기 위한 중대결함 기준을 마련하고 이를 기한 내에 개선하지 않을 경우 즉시 인증을 취소할 수 있도록 규정을 대폭 강화한다.

이와 함께 주요 공공시스템 운영기관과 이동통신사업자, 본인확인 기관 등에 대해 ISMS-P 인증을 의무화하고 이를 단계적으로 확대할 방침이며 외부 인터넷과 연결돼 공격 경로로 활용될 가능성이 높은 주요 디지털 자산은 반드시 인증 범위에 포함하도록 해 보안 사각지대를 최소화하기로 했다.

송경희 개인정보위 위원장은 “인증제도를 개인정보 보호의 사전예방 핵심수단으로 개선해 국민이 안심할 수 있는 디지털 환경을 구현하겠다”고 했으며 류제명 과학기술정보통신부 제2차관은 “급변하는 사이버 보안 환경에 대응해 정보보호 관리체계를 보다 엄격하고 내실 있게 운영하겠다”고 밝혔다.

이러한 상시 점검과 인증 취소 기준 강화 등 사후관리 제도는 올해 하반기부터 적용되며 ISMS-P 의무화와 차등 인증체계는 오는 2027년부터 본격적으로 시행될 전망이다.

송경희 개인정보보호위원회 위원장이 지난 25일 오후 서울 종로구 정부서울청사에서 개최된 2026년 제5회 개인정보보호위원회 전체회의에서 의사봉을 두드리고 있다. (제공: 개인정보보호위원회)

◆범정부 정책 협의와 공공부문 평가 체계 고도화

정부는 규제 강화와 병행해 공공부문의 실질적인 대응 인프라를 구축하기 위한 부처 간 협업에 총력을 기울이고 있다.

개인정보위는 지난 20일 정부서울청사에서 중앙행정기관 24개 부처의 개인정보보호책임자(CPO)들이 참석한 가운데 ‘개인정보 보호 정책협의회’를 개최했다.

이번 협의회에서는 공공부문의 역량을 선제적으로 강화하기 위해 중장기적 관점의 차기(2027~2029년) 개인정보 보호 기본계획 수립 방향과 보호 인력 및 필요 예산 확충 방안이 집중적으로 논의됐다. 해당 기본계획은 오는 6월 중 개인정보위 전체회의 심의·의결을 거쳐 최종 확정될 예정이다.

현재 보안 현장의 실태를 보면 인력난이 심각하다. ‘2025년 개인정보보호 및 활용조사’ 결과에 따르면 전담 인력은 공공기관 평균 0.29명, 민간기업 평균 0.34명 수준에 불과해 수천만 명의 개인정보를 관리하는 기관들이 단 한 명의 전담자도 온전히 확보하지 못한 채 운영되고 있음이 드러났다.

이에 이정렬 개인정보위 부위원장은 “개인정보 정책은 개별 부처 단위의 접근을 넘어 범정부 차원의 통합적 시각에서 추진될 필요가 있다”며 “이번 정책협의회를 통해 공공부문 개인정보 보호 인프라 확충을 위한 협력체계를 구축해 나가는 한편 개인정보 분야 인력‧예산이 조기 확충될 수 있도록 관련 부처 등과의 협의도 적극 추진해 나가겠다”고 강조했다.

올해부터는 공공기관 평가 시 개인정보 유출 사고 발생에 따른 감점 한도를 기존 10점에서 20점으로 상향 조정하고 대응 조치가 미흡할 경우 최대 5점의 추가 감점을 부과하는 등 사후관리 책임을 엄중히 묻기로 했다.

양청삼 개인정보위 사무처장은 “최근 공공기관에서도 유출 사고가 잇따르는 만큼 공공 부문의 안전 관리체계가 강화돼야 한다”며 “평가 과정에서 발견된 미흡 사항을 기관이 자발적으로 개선할 수 있도록 체계적인 지원을 통해 공공 부문 전체의 안전관리 수준을 높일 것”이라고 말했다.

한편 국민의 대다수(성인 93%, 청소년 95.7%)가 개인정보 보호를 중요하게 인식하고 있으나 정작 권리를 알고 있다는 응답은 성인 37.4%, 청소년 38.5%로 낮게 나타났다. 특히 청소년의 70.1%가 ‘잊힐 권리’ 서비스를 이용할 의향이 있다고 답한 만큼 정책적 홍보의 필요성도 대두됐다.

천지일보는 24시간 여러분의 제보를 기다립니다.

천지일보 카톡

1644-7533