[단독]눈뜨고 당한 안행부, 정보유출에 정부 전체가 '무방비'

금융사의 대규모 개인정보유출로 인한 2차 피해 우려가 커지고 있는 가운데 지난 21일 오전 서울 소공동 롯데백화점 본점 내 롯데카드센터에 신용카드를 재발급 받으려는 고객들이 몰려 긴 대기줄을 이루고 있다/사진=홍봉진 기자

정부가 불과 지난달 신용카드사의 개인정보 관리 실태를 대대적으로 기획 점검했지만 유출사실을 까맣게 몰랐던 것으로 확인됐다. 전문가들을 동원해 수천만 명의 신용정보가 털렸던 국민카드와 롯데카드를 직접 검사하고도 이상 징후를 발견하지 못했다는 얘기다. 당시 수사를 진행 중이던 검찰과 정보교류도 전혀 없었다.

국민의 개인정보를 체계적으로 보호할 수 있는 범정부 차원의 시스템도, 능력도 제대로 갖춰져 있지 않다는 비판이 나온다.


26일 금융권에 따르면 안전행정부는 개인정보보호합동점검단을 운영하며 지난달 신용카드사에 대한 개인정보 관리실태 현장 검사를 실시했다.

검사 대상은 이번에 정보 유출 사고를 일으킨 국민, 롯데카드를 포함한 8개 전업카드사 전부였다. 검사에는 안전행정부와 경찰청, 금감원 직원을 포함해 한국인터넷진흥원(KISA)과 한국정보화진흥원(NIA) 전문인력까지 동원됐다.

검사 항목은 오직 개인정보 관련 부분에만 집중됐다. 개인정보 수집·제공 과정에서 동의를 제대로 거쳤는지, 개인정보 접근 권한을 적절히 관리하고 통제하는지 등이다. 특히 업무를 위탁할 때 외부 용역회사 직원에 대한 관리감독 문제도 핵심 검사 항목에 포함돼 있었다. 마치 카드 3사 개인정보 유출사고가 터질 줄 알고 관련된 모든 내용을 뽑아 특별히 실시한 사전 검사와 같았다.


그러나 안전행정부는 국민 1억580만 명(중복 포함)의 신용정보가 고스란히 빠져나간 전무후무한 사건을 전혀 알아차리지 못했다. 아직까지 개인정보보호 시스템 상의 어떤 문제점을 지적한 후속 조치도 없다. 정부 관계자는 "점검 결과를 검토하는데 2~3개월이 걸린다"며 "행정조치 이행 내역 등을 중심으로 검사했기 때문에 유출사실을 발견하지 못했다"고 말했다.

겉으로 드러난 제도 운영 등만 살피면서 정작 실제 개인정보가 빠져나갔는지는 들여다보지 않은 셈이다. 한 금융권 보안 전문가는 "포렌식(forensic) 기법 등을 동원해 금융회사 전산에서 USB(이동식저장매체)를 꼽아 어떤 데이터를 내려 받았는지 세세히 점검해야하지만 이런 식의 기술적 접근을 하지 못한 것"이라고 말했다.

범정부 차원의 공조도 전혀 이뤄지지 않았다. 안전행정부가 롯데카드를 검사한 게 지난 12월5~6일, 국민카드를 검사한 날짜가 같은 달 9~10일이다. 바로 하루 뒤인 12월11일 창원지검은 이번 사태의 단초가 됐던 한국SC(스탠다드차타드)은행과 한국씨티은행의 정보유출 사건을, 이후 한 달도 안 돼 지난 8일 카드 3사의 수사결과를 발표했다. 검찰이 수사를 할 동안 안전행정부는 아무런 사전 지식 없이 검사를 다녀왔고 아무것도 발견하지 못했다.

안전행정부 관계자는 "검찰과 정보 공유는 없었다"며 "(수사 관련 내용을) 미리 알았다면 검사 방식이나 내용도 달라졌을 것"이라고 말했다.

전문가들은 개인정보보호를 관리하는 국가 시스템을 전면 혁신해야 한다고 지적한다. 권헌영 공공데이터전략위원회(공동위원장 정홍원 국무총리, 김진형 교수) 법제도분과장은 "금융당국에만 책임을 물을게 아니라 범정부 차원에서 통합대응체제를 만들고 사고 발생 시 발 빠른 공동대응을 할 수 있는 '핫라인'체제를 구축해야 한다"고 말했다.