퇴사자 토큰 서명키 유효성·자체 포렌식 정당성·비활성 데이터 관리 등 집중 점검 필요
미국 자본시장선 ‘한국은 유출에 익숙하다’ 평가... “국가 안보 위협으로 인식해야”
[보안뉴스 조재호 기자] 국민의 약 65%에 달하는 개인정보에 권한 없이 접근한 ‘쿠팡 사태’를 두고, 국회입법조사처가 쿠팡 자체 조사의 이유와 내부 보안 체계 상황 등에 대해 국정조사에서 중점적으로 다뤄야 한다고 주장했다.
개인정보 침해를 일상적인 일로 보는 시각이 고착되면 대규모 개인정보 유출 반복이 구조적으로 용인될 수 있다는 우려다.
2일 국회입법조사처는 ‘쿠팡 국정조사에서의 개인정보 침해 관련 쟁점’ 보고서를 내고, 국정조사에서 쿠팡의 보안 체계 결함과 사고 대응 과정의 적절성을 중점적으로 다뤄야 한다고 밝혔다.
입법조사처는 이번 사태를 단순한 사고가 아닌 “국가 안보 및 사회 안전에 연쇄적인 영향을 미칠 수 있는 위험”으로 규정했다. 쿠팡이 상장된 미국 자본시장에서 ‘한국 소비자들이 개인정보 유출 사고에 상대적으로 익숙하다’며 사태 파장을 축소 해석한 것에 주목, 개인정보 침해에 대한 사회적 불감증을 차단하기 위한 분명한 대응이 필요하다고 지적했다.
보고서는 국정조사에서 다뤄야 할 5가지 핵심 쟁점을 꼽았다.
‘내부 보안 체계의 구조적 결함’이다. 엄격하게 관리돼야 할 내부자 전용 ‘토큰 서명키’가 퇴직자에게서 회수되지 않고 유효하게 작동했다는 점은 단순 실수가 아닌 전사적 내부 통제 프로세스의 붕괴를 시사한다. 입법조사처는 실시간 탐지·차단 체계가 제대로 작동했는지, 유사한 무단 접근이 추가로 발생할 가능성은 없는지 확인해야 한다고 주문했다.
‘자체 조사의 정당성’ 문제다. 수사가 진행 중인 상황에서 쿠팡이 독자적으로 유출자를 특정하고 자체 포렌식을 실시한 배경을 규명해야 한다는 것이다. 특히 자체 포렌식이 특정 진술에 맞춰 범위를 한정해 진행된 것은 아닌지, 수사기관이 확보한 원본 자료와 동일성이 유지되었는지 검증이 필요하다고 지적했다.
‘개인정보 데이터베이스(DB) 관리 실태’다. 이번 사고에서 유출자가 활성 정보뿐만 아니라 탈퇴 회원 정보 등 ‘비활성 정보’에도 별다른 제약 없이 접근했을 가능성이 제기됐다. 이에 따라 비활성 데이터에 대한 접근 통제가 적정하게 이루어졌는지 점검해야 한다.
‘통지 과정의 의사결정 구조’다. 약 3370만 개 계정에 대한 비정상적 접근이 확인되었음에도 ‘유출’이라는 표현을 회피한 판단이 누구에 의해 어떤 기준으로 결정되었는지 책임 소재 확인이 필요하다.
‘피해자 배상 방식’이다. 입법조사처는 쿠폰 지급 등 계열사 서비스 이용을 전제로 한 쿠팡의 상업적 보상 방식에 대한 적절성 검토와 함께 서비스를 탈퇴했거나 구매이용권을 원치 않는 피해자에 대한 별도 배상 계획이 있는지 점검해야 한다고 제언했다.
입법조사처는 “개인정보 침해가 일상화되는 시각이 고착화되면 대규모 유출의 반복이 구조적으로 용인될 수 있다”고 밝혔다. 입법조사처는 향후 쿠팡과 관련된 물류 노동, 산업안전, 공정거래 쟁점에 대한 보고서도 순차적으로 발간할 예정이다.
[조재호 기자(sw@boannews.com)]
미국 자본시장선 ‘한국은 유출에 익숙하다’ 평가... “국가 안보 위협으로 인식해야”
[보안뉴스 조재호 기자] 국민의 약 65%에 달하는 개인정보에 권한 없이 접근한 ‘쿠팡 사태’를 두고, 국회입법조사처가 쿠팡 자체 조사의 이유와 내부 보안 체계 상황 등에 대해 국정조사에서 중점적으로 다뤄야 한다고 주장했다.
개인정보 침해를 일상적인 일로 보는 시각이 고착되면 대규모 개인정보 유출 반복이 구조적으로 용인될 수 있다는 우려다.
2일 국회입법조사처는 ‘쿠팡 국정조사에서의 개인정보 침해 관련 쟁점’ 보고서를 내고, 국정조사에서 쿠팡의 보안 체계 결함과 사고 대응 과정의 적절성을 중점적으로 다뤄야 한다고 밝혔다.
▲쿠팡 개인정보 관련 쟁점 보고서 [출처: 국회입법조사처]
보고서는 국정조사에서 다뤄야 할 5가지 핵심 쟁점을 꼽았다.
‘내부 보안 체계의 구조적 결함’이다. 엄격하게 관리돼야 할 내부자 전용 ‘토큰 서명키’가 퇴직자에게서 회수되지 않고 유효하게 작동했다는 점은 단순 실수가 아닌 전사적 내부 통제 프로세스의 붕괴를 시사한다. 입법조사처는 실시간 탐지·차단 체계가 제대로 작동했는지, 유사한 무단 접근이 추가로 발생할 가능성은 없는지 확인해야 한다고 주문했다.
‘자체 조사의 정당성’ 문제다. 수사가 진행 중인 상황에서 쿠팡이 독자적으로 유출자를 특정하고 자체 포렌식을 실시한 배경을 규명해야 한다는 것이다. 특히 자체 포렌식이 특정 진술에 맞춰 범위를 한정해 진행된 것은 아닌지, 수사기관이 확보한 원본 자료와 동일성이 유지되었는지 검증이 필요하다고 지적했다.
‘개인정보 데이터베이스(DB) 관리 실태’다. 이번 사고에서 유출자가 활성 정보뿐만 아니라 탈퇴 회원 정보 등 ‘비활성 정보’에도 별다른 제약 없이 접근했을 가능성이 제기됐다. 이에 따라 비활성 데이터에 대한 접근 통제가 적정하게 이루어졌는지 점검해야 한다.
‘통지 과정의 의사결정 구조’다. 약 3370만 개 계정에 대한 비정상적 접근이 확인되었음에도 ‘유출’이라는 표현을 회피한 판단이 누구에 의해 어떤 기준으로 결정되었는지 책임 소재 확인이 필요하다.
‘피해자 배상 방식’이다. 입법조사처는 쿠폰 지급 등 계열사 서비스 이용을 전제로 한 쿠팡의 상업적 보상 방식에 대한 적절성 검토와 함께 서비스를 탈퇴했거나 구매이용권을 원치 않는 피해자에 대한 별도 배상 계획이 있는지 점검해야 한다고 제언했다.
입법조사처는 “개인정보 침해가 일상화되는 시각이 고착화되면 대규모 유출의 반복이 구조적으로 용인될 수 있다”고 밝혔다. 입법조사처는 향후 쿠팡과 관련된 물류 노동, 산업안전, 공정거래 쟁점에 대한 보고서도 순차적으로 발간할 예정이다.
[조재호 기자(sw@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
조재호기자 기사보기
.gif)
.jpg)
.png)
.jpg)
