“기술적 발전이 야기할 역기능에 대해 적극적으로 대응 못해”

[보안뉴스= 심우민 국회입법조사처 조사관] 빅데이터(Big Data), 클라우드 컴퓨팅(Cloud Computing), 그리고 사물인터넷(Internet of Things) 등의 용어가 일종의 유행인 것처럼 번지고 있는 상황이다. 이러한 용어들로 대변되는 현재의 인터넷 발전상황은 이미 ‘오래된 미래’였다고 할 수 있다.


새로운 인터넷 서비스의 각축과 개인정보보호의 변화 및 대응
아주 오래 전부터 예견되어 왔던 상황임에도 불구하고, 이러한 기술적 발전이 야기할 역기능에 대해서는 그간 우리 사회가 적극적으로 예견해 대응해 오지 못한 측면이 있다.

인터넷은 기본적으로 E-to-E(End-to-End)라는 기본이념에 입각해 설계된 네트워크다. 이는 달리 말하면 무수히 많은 최종 이용자 및 단말(End : 종단)간을 차별 없이 연결하여 커뮤니케이션의 원활성을 확보하는 데 그 목적이 있다.

이러한 측면에서 최근 회자되고 있는 빅데이터, 클라우드, 사물인터넷 등의 용어는 연결성과 개방성이 무한히 확대되며, 과거에는 상상도 할 수 없었던 데이터와 가치들이 생산 및 유통되는 상황을 묘사하는 것이다.

이러한 인터넷 서비스의 변화 상황은 불가피하게 개인정보의 활용을 증대시키고, 또한 그로인한 개인정보 유출의 위험성도 높이고 있다. 정보통신 기술의 발전은 궁극적으로 개별 이용자들의 편의를 증대시키는 데 초점을 맞출 수밖에 없으며, 그 결과 다양한 인터넷 서비스는 개인에 최적화된 서비스를 추구하게 되기 때문이다.

최근 일련의 대규모 정보유출 사고에서 확인할 수 있었던 바와 같이, 우리나라의 경우에는 개인정보의 중요성과 유출 위험성에 대한 국가·사회적 인식이 다소 빈약한 것이 현실이다.

이에 정부는 다양한 대응책들을 제시하고 있는 실정이지만, 이러한 대응방안들은 사회적 우려를 불식시켜 주지 못하고 있다. 이는 국가적·제도적 대응이 가지는 한계라고 할 수 있다. 따라서 개인정보보호 및 보안에 관한 사회적 차원의 인식 전환이 요구되는 상황이다.

국가 후견주의 극복
아직까지 우리 사회는 개인정보 유출 등에 대한 대응에 있어 국가 후견주의적 패러다임을 벗어나지 못하고 있다.

즉 인터넷 서비스 사업자들이 스스로 개인정보보호에 대한 대응책을 마련해가기 보다는, 국가 및 정부가 먼저 개인정보보호를 위한 다양한 기술적·관리적 보호조치를 법령을 통해 제시해 왔다.

결과적으로 사업자들은 실질적인 정보보호 활동보다는 법령상 기준을 충족하기 위한 형식적인 노력(문서작업 등)에 초점을 두어 왔다. 법령 등이 규정하고 있는 최소 요건만 준수하면 일선 사업자들은 책임으로부터 일정 부분 자유로워질 수 있었기 때문이다.

그러나 상황은 매우 급격하게 변화하고 있다. 그간 제3자의 악의적 침해행위인 해킹 등으로 인한 개인정보 유출사고에 있어 법원이 사업자 측의 실질적인 손해배상 책임을 인정한 경우는 드물지만, 일반 이용자들은 이러한 현실에 대해 지속적인 불만을 제기하고 있는 상황이기에 향후 이러한 판결의 태도 및 법리가 계속 유지될 지는 미지수다.

따라서 인터넷 서비스 사업자들은 미연에 이러한 개인정보 유출 사안에 대해 경각심을 가지고 적극적인 대응책을 스스로 강구해 나가야 할 필요성이 있다.

이러한 측면에서 유의해야 할 지점은 바로 ‘개인 식별정보’의 활용 문제다.

우리나라는 국가적 차원에서 단일하고 보편적인 목적으로 개인 식별정보가 인터넷에서 매우 광범위하게 활용되고 있는 가장 대표적인 국가다.

이러한 범용 개인 식별정보의 존재는 이제까지 한국의 인터넷 발전을 추동해 왔지만, 이는 향후 우리나라 인터넷의 제도적 난제로 평가받을 것으로 보인다. 따라서 이하에서는 이와 관련한 현안들을 확인해보고, 바람직한 대응방안을 모색해 보고자 한다.

개인 식별정보 활용의 문제 상황
1. 주민등록번호와 아이핀
주민등록번호는 관련 제도 취지상 원래 행정목적을 위해 고안된 식별번호 체계이다. 그러나 이러한 주민등록(번호)의 법적 근거라고 할 수 있는 ‘주민등록법’은 주민등록번호의 활용영역을 별도로 제한하지 않고 있다.

그 결과 오프라인의 다양한 영역에서는 물론이고 인터넷 공간에서 매우 광범위하게 활용되어 왔다. 이는 전적으로 주민등록번호의 개인 식별정보로서의 편의성만을 고려한 것이었다.

그간 우리나라에서 인터넷상 개인정보 유출 사고의 상당수는 주민등록번호 등 개인 식별정보 탈취를 목적으로 하는 경우가 많았다. 그 이유는 이러한 정보들이 인터넷 활용에 있어 범용적 본인 인증수단으로 활용되기 때문이다.

특히, 주민등록번호의 인터넷상 광범위한 활용은 한국 인터넷의 취약점으로 평가받아 왔으며, 그 결과 ‘주민등록번호 대체수단’ 및 ‘주민등록번호 수집 법정주의’ 규정들이 도입되기에 이르렀다.

이러한 상황에서 최근 주민등록번호의 대표적 대체수단으로 인식되고 있는 (공공)아이핀(i-PIN) 75만 건이 부정 발급되었다.

물론 행정자치부는 이번 사건으로 인한 피해가 없었다는 점을 강조하고 있지만, 국가기관이 직접적으로 관리 책임을 가지고 있는 ‘공공아이핀센터’가 해킹으로 피해를 입었다는 점에서 범용 개인 식별정보체계의 취약점이 확인된 셈이다.

이번 사건에 대해 행정자치부는 재발방지 종합대책을 제시하면서 공공아이핀 시스템 재구축 등의 계획을 피력하고 있다. 그러나 일각에서는 더욱 전향적인 제도 개선의 노력을 요청하고 있다.

2. 아이핀 부정발급 사건 및 정부대응
아이핀 부정발급 사건은 2015년 2월 28일에서 2015년 3월 2일 사이에 발생했다. 이를 통해 75만 건의 아이핀이 부정·발급되었으며, 이 중 12만 건이 3개 게임 사이트에서 계정신설 등에 이용됐다.

해당 해킹사고는 아이핀 발급시 본인확인 결과값을 이용자(해커)측으로 전송하는 프로그램 설계상 오류를 악용한 것으로 파악되었다. 즉 해커는 정상발급 절차를 우회하는 소위 파라미터(parameter) 변조로 불리는 다소 초보적인 해킹 방법을 활용했다.


관계 기관은 이상 징후 발견 직후, 해커의 공격을 차단함과 아울러 부정 발급된 아이핀의 사용을 중지(삭제)시켰다. 또한 2차 피해를 방지하기 위하여 관련 사항을 게임사 등에 제공하여 각 사업자들이 대응할 수 있도록 했다.

행정자치부는 이번 사고원인 분석을 통해 ‘공공아이핀 부정발급 재발방지 종합대책’을 마련했다. 이 대책의 주요한 내용들을 정리해보면 다음과 같다.

이와 같은 행정자치부의 종합대책은 이번 사고의 주요 원인을 보안 시스템상의 문제로 파악하고 있으며, 대응방안도 주로 보안 시스템을 고도화하는 데 초점을 맞추고 있다. 물론 아이핀의 불필요한 활용을 최소화하기 위한 계획도 일부 포괄적으로 제시되어 있기는 하지만, 과거 주민등록번호의 대규모 유출사고 등에 대한 정부의 대응에 비춰볼 때 실질적인 제도 개선이 이루어질 수 있는지에 대해서는 의문이 제기된다.

인터넷상 범용 식별정보 활용의 문제점 인식
1. 범용 식별정보의 활용 위험성
개인 식별정보는 다양한 인터넷 서비스를 이용하기 위한 열쇠로서 기능하기 때문에 항시 유출 및 침해의 대상이 될 수밖에 없다. 실제로 과거 한국 인터넷상 실명 및 본인확인 수단으로 활용되어 왔던 주민등록번호는 주요한 전자적 침해(탈취)의 대상이 되어 왔다. 이는 개인 식별정보 자체가 인터넷상에서 사용가치가 높다는 사실을 보여준다.

한국의 경우는 다른 국가들과 달리 보편성 또는 범용성을 가지는 개인 식별정보를 법률적 차원에서 활용하도록 강제 및 허용하는 경우가 많다.

개인 식별정보의 범용성이란 당해 정보가 활용영역의 구분 없이 모든 부문에서 사실상 만능열쇠로 활용된다는 점을 의미한다. 이것이 바로 한국의 개인 식별정보(주민등록번호, 아이핀, 마이핀 등)가 높은 사용가치를 가지는 이유이며, 연결성과 개방성을 기본 속성으로 하는 인터넷은 그러한 정보들을 손쉽게 획득할 수 있는 탈취 경로를 제공해 주고 있다.

다른 주요 국가들의 경우, 역사적·문화적 맥락이 각기 다르다는 점을 고려하더라도 범용성이 있는 개인 식별정보의 활용을 법적으로 허용 또는 강제하고 있는 경우는 드물다고 할 수 있다. 주요국의 현황을 간략하게 정리해 보면 다음과 같다.


대규모로 유출된 (공공)아이핀은 기존에 범용 식별정보로 기능해 온 주민등록번호의 인터넷상 오남용을 제한하기 위한 목적으로 도입됐다. 그러나 이에 대해서는 지속적인 문제제기가 있어 왔다.

즉 아이핀의 최초 발급단계에서는 주민등록번호를 활용할 수밖에 없으며, 또한 아무리 난수(亂數) 형태로 아이핀의 번호 체계를 구성하고 변경이 가능하도록 하더라도 활용상 범용성을 가지기 때문에 주민등록번호와 마찬가지로 항시 탈취의 목표가 될 수밖에 없다.

이러한 문제점에 대응하기 위해서는 인터넷 등에서 범용성을 가지는 개인 식별정보의 활용을 감축시킬 수 있는 제도적 대응방안을 마련할 필요가 있다. 이러한 정책방향은 주민등록번호 수집 법정주의라는 이름으로 우리 법제에 일부 반영되어 있다.

그러나 주민등록번호 수집 법정주의의 경우 법령상 허용되는 수집의 예외가 매우 광범위할 뿐만 아니라, 범용성을 가지는 또 다른 개인 식별정보(아이핀과 같은 대체수단)를 인터넷 등에서 활용하도록 하고 있어 이 지점에 대한 개선방안을 강구할 필요성이 있다. 이와 더불어 민간영역에서는 이러한 개인 식별정보의 활용을 스스로 자제할 필요성도 있다.

2. 아이핀 발급·관리의 체계상 문제점
아이핀은 ‘개인정보보호법’ 및 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’에 근거해 주민등록번호 대체수단으로 인정되고 있다. 그러나 아이핀이 국가적 차원의 범용 식별정보임에도 불구하고 발급기관은 공공영역과 민간영역으로 이원화된 체계를 취하고 있다.

해당 부정발급 사안에서 볼 수 있는 것처럼 정부가 직접 관리한다고 하여 문제가 발생하지 않는 것은 아니지만, 민간영역 신용정보 사업자에게 발급권한을 부여하면서 국가 및 공공영역에서도 활용할 수 있도록 인정하고 있어 일부 체계상 문제점이 있다.

공공아이핀과 민간아이핀을 구분하면서도 발급된 번호를 영역 구분없이 활용할 수 있도록 한 이유는 이용자 편의성을 고려한 것이지만, 민간 사업자가 범용 개인 식별정보를 보유·취급함으로 인해 발생할 수 있는 유출 사고의 위험을 경시한 측면이 있다.

이에 더해 정부는 오프라인에서 주민등록번호를 대체하기 위해 아이핀 서비스(공공 및 민간 발급기관)와 연동되어 있는 마이핀(My-PIN)의 사용을 권장하고 있다. 마이핀의 장점으로는 개인정보가 드러나지 않는 번호체계와 변경의 용이성이 제시되고 있다.

그런데 마이핀 사용과 관련하여 정부는 활용 영역의 범용성 및 이용자 편의성을 제고한다는 측면에서 ‘서비스 연계성’을 강조하고 있다. 이는 정부가 국가적 차원에서의 범용 식별정보 활용이 가지는 위험성을 진지하게 인지하고 있지 못하고 있음을 보여준다.

이러한 문제점에 대응하기 위해서는, 범용 개인 식별정보의 중요성과 위험성을 고려해 만일 이를 유지하는 것이 필요하다고 판단한다면, 공공(행정자치부)과 민간(방송통신위원회)으로 분산된 아이핀 관리를 체계적으로 일원화하고, 이러한 토대 위에서 감독의 효율성과 엄격성을 제고해야 한다.

또한, 민간영역에서 이러한 개인 식별정보를 활용하도록 국가가 장려할 것이 아니라 가급적 자제하도록 유도할 필요가 있다.

범용 식별정보의 활용 자제
범용성을 가지는 개인 식별정보를 국가가 제공해 줌으로써 이제까지 민간 영역은 일정부분 편의성을 제공받아 왔다. 이용자 측면에서는 인터넷 등에서의 서비스 이용을 위해 다소 번거로울 수 있는 각종 인증절차를 간소화할 수 있고, 사업자 입장에서는 인증절차 구축을 위한 별도의 비용을 지출할 필요성이 없기 때문이다.

그러나 문제는 인터넷과 같이 개방성과 연결성을 가지는 정보통신망에서는 그러한 식별정보가 다양한 방식으로 유출 및 오남용될 여지가 높다는 점이다. 인터넷상 연이은 대규모 주민등록번호 유출사고는 물론이고, 이번에 발생한 공공아이핀 부정발급 사고는 이러한 위험성을 보여주는 예시라고 할 수 있다.

따라서 가장 이상적인 정책 방향은, 가급적 정부가 인터넷상 범용 식별정보를 활용하도록 강제 또는 권장하는 후견주의적 정책 운용을 자제하고, 민간 사업자들의 경우에는 필요 최소한의 정보만을 수집하되 불가피한 경우에는 ‘자기책임’의 원리 하에 자체 인증 시스템을 구축하도록 하는 것이다. 이러한 정책 방향이 전제될 때 민간영역의 인증·보안 산업도 기술경쟁을 통해 발전할 수 있을 것이다.

민간영역의 선도적 대응노력
개인정보보호 및 보안의 문제는 안정적인 ICT 산업 발전의 근본적인 토대라고 할 수 있다. 이용자 입장에서는 본인이 이용하는 인터넷 서비스의 안정성에 대해 신뢰할 수 있어야 더욱 적극적으로 그것을 활용할 수 있기 때문이다.

현재 정부는 ICT 산업 진흥 등을 근간으로 하는 창조경제 활성화를 강조하고 있다. 이는 달리 말해 한국 경제발전에 있어 ICT 산업이 가지는 중요성을 보여주는 것이다. 이러한 측면에서 국가가 제도적·입법적 차원에서 개인정보보호를 위해 노력해야 하는 것은 너무나도 당연하다.

그러나 모두에 언급한 바와 같이, 국가의 제도적 대응책에는 한계가 있을 수밖에 없다. 그 이유는 기술적 발전 및 변화의 속도를 국가가 정책적으로 따라잡기에는 힘든 상황이 연출되고 있기 때문이다. 결국 과거와 같이 현실 문제의 해결을 전적으로 국가에 의존하는 것은 타당하지 못하다.

따라서 국가가 쳐주는 최소한의 울타리 속에서 민간영역은 자율적으로 개인정보보호를 위한 자구적인 노력을 이행해 나가야 할 필요가 있다. 국가가 설정해 놓은 개인정보보호의 법령상 최소 기준은 현 단계에 있어 사업자 등의 책임 범위를 제한하거나 경감시켜주는 역할을 할 수도 있겠지만, 장기적으로는 이러한 역할을 기대하기는 힘들 것으로 보이기 때문이다.

특히 우리나라 인터넷 환경의 가장 큰 특수성이라고 할 수 있는 국가적·범용적 개인 식별정보의 활용을 가급적 자제할 필요성이 있다.

설령 법령상 개인 식별정보를 활용하도록 허용하고 있다고 하더라도, 그것이 유출되거나 악용되었을 때에는 그에 상응하는 책임을 민간영역에서 부담해야 할 가능성이 높다. 민간영역의 사업자 및 이용자는 우리 개인정보보호법제에 반영되어 있는 개인정보의 ‘최소수집 원칙’을 적극적으로 실천해 나가야 할 필요가 있다.

현대 정보사회에서 개인정보, 특히 개인 식별정보는 서비스의 편의성 확보는 물론이거니와 실질적인 재산으로서의 가치까지 가진다고 할 수 있다. 그러나 문제는 당초 서비스 제공을 위한 목적을 넘어서는 광범위한 개인정보 수집은, 최근 공사 영역을 가리지 않고 발생하는 대규모 개인정보 유출사고 등에 비추어볼 때, 그것 자체가 사업 경영상 위험(risk)을 높여주는 결과를 초래한다.

민간영역에서는 사업의 구상 및 설계부터 관련 영역에서 관행적으로 수집 및 활용하고 있는 범용 개인 식별정보의 활용이 필수 불가결한 것인지에 대해 진지하게 성찰해야 할 필요성이 있다.

개별 민간영역 주체들의 노력은 결국 국가적인 불합리하고 비효율적인 규제를 개선하는 데에도 일조할 수 있을 것이다. 이와 관련해서는 세계 굴지의 선도적 정보통신 서비스 사업자들은 아이디와 이메일 정보만으로도 혁신적인 서비스를 고안해 내고 있다는 점을 상기할 필요가 있을 것이다.
[글_ 심 우 민 국회입법조사처 조사관/법학박사]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>