‘SKT 해킹’ 여파…정보보호투자 확대될 것인가

프린트

Live 중기 ㅣ 산업뉴스 ‘SKT 해킹’ 여파…정보보호투자 확대될 것인가 예산 비율 의무화, 인증 강화 등 제도 보완 가능성도

기사입력2025-07-03 11:30

SK텔레콤의 홈 가입자 서버 해킹 사태의 여진이 이어지고 있다. 해킹 사실이 알려진 4월 28일부터 5월 19일까지 불과 한달도 되지 않는 기간 동안 유심을 교체한 고객이 252만명에 달했다. SKT는 5월과 6월 각각 500만개 이상씩, 총 1000만개를 웃도는 유심물량을 확보하기로 한 상황이다. SKT가 “유심교체와 동일한 피해예방 효과를 가지고 있다”고 설명한 유심보호서비스는 일주일만에 가입자가 1000만명을 넘어서기도 했다.

사태의 원인에 대한 진단과 향후 조치방안도 다양하게 제시되고 있다. 5월 국회 입법조사처가 펴낸 ‘이동통신사 해킹 사전 예방을 위한 정보보호 강화 방안’ 보고서는, 4월말과 5월 초순 두 차례 열린 국회 청문회에서 “SKT의 정보보호 투자가 미흡했다는 지적이 제기”됐다고 짚었다. 보고서는 또, “2024년 기준 SKT의 정보보호 투자금액이 KT(1218억원)의 절반에도 미치지 못하고, LGU+(632억원)보다도 적은 금액”이라고 지적했다.

이에 대해 SKT는 다른 이통사와 달리 유무선 사업이 SKT와 SK브로드밴드로 분리돼 있으며, SK브로드밴드(267억원)의 정보보호 투자금액을 합하면 2024년 투자금액은 867억원이라고 해명한 바 있다. 하지만 이또한 2022년 투자금액을 소폭 웃도는 수준에 그쳤다. 과기정통부 자료에 따르면, 2022년 SKT와 SK브로드밴드의 정보보호 투자금액 합산치는 860억원이다.

다른 이동통신사들이 정보보호 예산을 자발적으로 늘린 것은 아니다. 해킹 사고에 따른 원인을 분석하는 과정에서 투자 미흡이 확인됐고, 이에 정부가 투자 예산 확대를 촉구한 사실이 있었다. SKT 역시 이번 사태를 계기로 정보보호 투자 확대를 요구받을 가능성이 제기되는 이유다.

LGU+ 2023년 해킹사태…정부, 정보보호 예산 확대 요구

지난 2023년 1월 한 해커가 LGU+ 고객정보를 판매한다는 글을 게시했고, 이를 확인하는 과정에서 정부와 LGU+는 약 30만명 규모의 고객정보 유출 사실을 확인했다. 이후 디도스 공격 등이 이어지자, 정부는 같은 해 4월 원인 분석결과와 조치방안 등을 발표했다.

당시 정부는 LGU+가 핵심서비스와 내부정보 등을 보호하기 위한 전문인력이 부족하고, 정보보호 조직의 권한과 책임도 미흡했다고 지적했다. 특히, 정보기술(IT) 및 정보보호 관련 조직이 여러 곳에 분산돼 있어 긴급상황 발생 시, 유기적인 대응 및 빠른 의사결정에 어려움이 있었다고 진단했다.

타 통신사 대비 보안투자가 상대적으로 저조한 것도 LGU+의 전반적인 침해 예방·대응 체계 수준과 관련이 있는 것으로 판단했다. 이에 따라 정부는 주요 보안인력 보강과 보안 조직체계 구성을 주문했다. 또 타 통신사와 대등한 수준 이상으로 정보보호 강화에 필요한 예산 규모를 확대하되, 한시적인 투자 확대가 아닌 장기 계획에 따른 보완 투자가 진행될 수 있도록 요구했다.

2022년 당시 LGU+의 정보보호 투자액은 292억원으로 이동통신 3사 중 가장 낮은 수준이었다. 이후 LGU+는 정보보호 투자액을 2023년 442억원, 2024년 632억원으로 연거푸 확대했다. 전체 정보기술 투자액에서 정보보호 관련 투자의 비율도 2022년 3.7%에서 2024년 6.6%로 늘어났다.

국회 입법조사처 보고서는 이같은 사례를 들며, “SKT는 이러한 선례를 교훈으로 삼지 못하고 정보보호 투자에 소극적인 태도를 보였던 것으로 보인다”고 분석했다. 아울러, “이동통신사의 정보보호 투자 확대를 유도하기 위해 정보통신망법을 개정해 정보보호예산이 정보기술부문 예산의 일정비율 이상이 되도록 노력할 의무를 명시하는 방안을 고려해 볼 수 있다”고 제언했다.

이동통신업계 뿐만 아니라 해킹 등으로 인해 큰 피해가 우려되는 업종의 정보보호 투자 역시 영향을 받을 가능성이 있다. <이미지=이미지투데이>

유사한 규제 사례가 있다는 점도 근거로 들었다. 금융위원회의 전자금융감독규정은 당초 금융회사 또는 전자금융업자가 정보보호예산을 정보기술부문 예산의 7% 이상이 되도록 노력할 의무를 규정하고 있었다. 올해 2월 이 규정이 개정되면서 투자비율은 삭제된 상태다.

보고서는 “SKT 해킹 사고를 통해 자율보안의 한계가 드러난 점을 고려할 때, 종전 전자금융감독규정을 참고해 정보통신망법에 정보보호예산의 최소 투자비율을 명시한다면, 이동통신사의 정보보호 투자 확대를 제도적으로 뒷받침할 수 있을 것”이라고 봤다.

‘정보보호 관리 체계’ 인증 실효성을 높일 가능성도 있어

해킹 등을 사전에 예방할 수 있는 인증을 강화해야 한다는 주장도 내놓았다. SKT는 정부가 부여하는 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증을 받았음에도 심각한 해킹 사고가 발생해, 인증 제도의 실효성에 대한 의문이 제기됐기 때문이다.

ISMS-P 인증은 정보통신망법과 개인정보보호법에 따라 정보통신망의 안정성 확보 및 개인정보 보호를 위한 조치와 활동이 인증기준에 적합한지 평가해 인증을 부여하는 제도다.

그런데 2014년 KT, 2023년 LGU+에 이어 이번 SKT까지 인증을 받고도 중대한 해킹 사태가 발생했다. 이를 두고 “인증 기준상 요구되는 절차가 실제 현장에서는 제대로 작동하지 않았으며, 큰 비용과 시간을 들여 유지한 인증체계가 정작 해킹 방어와 초기 대응에 실패했다”는 비판이 나왔다.

보고서는 “ISMS-P 인증제도가 형식적으로 운영되지 않고 실제 이동통신사의 보안 위협에 대한 효과적 대응수단이 될 수 있도록 인증체계 전반에 대한 개선과 함께, 인증에 대한 관리·감독 체계를 강화해야 한다”고 주장했다.

인증제도의 실효성을 높이기 위한 조치사항으로는, 이동통신 등 보안 관련 고위험 산업군에 대해 강화된 인증기준을 적용하는 방안을 고려할 수 있다고 제안했다. 현행 정보통신망법은 소기업 등에 인증기준을 완화할 수 있도록 규정하고 있지만 고위험 산업군에 대해 인증기준을 강화할 수 있는 근거는 없는데, 법 개정을 통해 엄격한 인증기준을 도입할 수 있다는 것이다.

인증 취득기업의 중대한 위법행위로 인한 해킹 사고 발생 시 인증 취소 등 엄정한 제재를 가할 필요성도 제기했다. 관련법은 일정 사유에 해당할 경우 인증을 취소할 수 있도록 규정하고 있으나, 현재까지 인증 취득 후 취소된 사례는 전무한 상황이다. 개인정보법은 중대한 법 위반 시 인증을 취소할 수 있도록 규정한데 반해, 정보통신망법은 인증 취소 사유에 중대한 법 위반이 포함되지 않아 사각지대가 존재한다는 문제도 있다.

또한 중대한 법령위반에 대한 인증취소가 재량사항으로 규정되더라도, 명확한 해석기준을 마련해 인증 취소 여부가 자의적으로 판단되지 않도록 할 필요가 있다고 덧붙였다.

이같은 분석에 따르면, 정부가 SKT 해킹 사태의 원인분석 이후 내놓을 조치방안에는 정보보호 투자확대가 포함될 가능성이 높다. 추가로 정보보호 예산 비율 의무화나 인증 강화와 같은 입법까지 이뤄질 경우 관련 투자는 상당폭 확대될 전망이다. 이동통신업계 뿐만 아니라 해킹 등으로 인해 큰 피해가 우려되는 업종의 정보보호 투자 역시 영향을 받을 가능성이 있다. 따라서 향후 정부와 국회의 규제 도입 및 정보보호 투자 확대 조치의 향방에 주목할 필요가 있다. 중기이코노미 이창호 기자