[머니톡스] 늑대소년의 경고…유출 가능성과 유출, 무엇이 다른가

다음 내용이 궁금하다면?

불편하시다면 뒤로 가기를 눌러주세요

(서울=연합뉴스) 윤선희 선임기자 = # 1. "확인될 때까지는 아무 말도 하지 마라."

그동안 국내 기업들의 개인정보 침해 사고 대응 공식은 늘 '침묵'이었다. 수천만 건의 고객 정보가 매물로 올라오고 나서야 침해를 시인했던 통신사들의 유출 사태나, 시스템 오류와 해킹 정황을 단순 노출이라고 축소하며 수개월간 쉬쉬하던 대형 이커머스·플랫폼 사고가 대표적이다.

기업이나 금융회사들은 법적 책임과 유출 범위가 최종 확정될 때까지 입을 닫았다. 이용자들은 보이스피싱과 스미싱, 계정 도용 등 2차 피해에 노출된 뒤에야 안내문을 받았다.

# 2. 최근 중견 제조업체에서 인사 업무를 맡고 있는 A씨는 회사 홈페이지에 올라온 안내문 때문에 하루 종일 전화를 놓지 못했다. 안내문에는 주민등록번호와 계좌번호, 가족 정보 등이 유출될 가능성이 있다고 적혀 있었고, 직원들의 전화가 빗발쳤다. "내 정보가 털렸다는 거냐?"는 물음에 A씨는 "다시 읽어보니 '유출'이 아니라 '유출 가능성'이라고 돼 있었는데, 그 차이를 설명할 방법이 없었다"고 했다.

지난 9월 시행된 개정 개인정보 보호법은 유출 여부가 확인되지 않았더라도 그 가능성이 있으면 이를 72시간 안에 정보 주체에게 의무적으로 알리도록 했다. 이 제도는 시행 두 달 만에 시험대에 올랐다.

기업들에 회계·인사 프로그램을 공급하는 B 기업의 경우 개인정보 침해사고가 발생하자, 이 회사 서비스를 쓰는 많은 기업과 기관들이 개정법에 따라 홈페이지에 '유출 가능성'을 잇따라 공지했다.

제도의 취지는 기업의 은폐 관행을 차단하고 조기에 위험을 알려 혹시 모를 2차 피해를 선제적으로 막자는 것이다. 그러나 공지문이 동시에 쏟아지고 실시간 공개되면서 시장에서는 '매일 새로운 유출 사고가 터지고 있나"라는 공포와 불안이 번지고 있다.

B사는 다른 기업이나 기관을 고객사로 둔 수탁사이다. 이 회사는 백업 설루션 취약점을 통해 암호화 데이터 일부가 반출된 정황을 확인해 관계 당국에 신고하고 이를 고객사들에도 알렸다.

개정법에 따라 고객사들도 정보 주체에게 알릴 의무가 있어 이런 내용의 공지문을 일제히 올렸다. 수탁사 한 곳의 사고가 고객사들의 공지로 이어진 것이지 새로운 사고가 여럿 발생한 것은 아니다.

공지의 주 내용은 백업 서비스의 유출 가능성을 알린 것이고, 안내문에 나열된 항목은 잠재 가능 범위이지 모두 빠져나간 것을 의미하는 것은 아니다.

＃ 고객사가 맡긴 데이터가 외부로 반출된 정황이 확인된 것만으로도 수탁사의 책임은 절대 가볍지 않다. 계약이 끝난 고객사의 백업 자료가 왜 남아 있었는지에 대해서도 답해야 한다. 고객이 맡긴 장부는 끝까지 고객의 것이라는 원칙은 흔들릴 수 없기 때문이다.

다만 통지제가 불안의 신호가 아니라 대비의 신호로 자리 잡을 수 있도록 해야 한다.

늑대소년의 경보가 잦아 피로가 쌓이면 이용자는 정작 진짜 위기가 닥쳤을 때 둔감해진다. 가능성이 '확정'으로, 공지 건수가 '피해 규모'로 잘못 읽히면 주체들은 길을 잃고 시장은 위험의 값을 잘못 매긴다.

정보 주체에게 필요한 것은 막연한 불안이 아니라, 내 정보가 어떤 사안에 해당하고 지금 무엇을 해야 하는지에 대한 명확한 안내이다.

이 때문에 기업은 가능성을 공지한 것으로 의무를 다했다고 생각하면 안 된다. 무엇이 확인됐고 무엇이 해소됐는지를 끝까지 알려야 한다.

제도를 운용하는 당국도 불안 확산을 막기 위해 '가능성 통지'와 '확정 통지'를 구분할 수 있는 세부 기준을 마련할 필요가 있다.

공지 건수가 피해 규모로 인식되지 않도록 전달 과정의 신중함도 필요하다. 조기 경보만큼 정확한 팩트를 알리는 것도 중요하다. 정확한 정보 앞에서 불안과 의심은 줄어든다.

indigo@yna.co.kr

'임진록' 계승작 나온다…'프로젝트 진달래' 2차 CB 켄싱턴호텔, 4인 이상 여행객 기획전…뷔페·사우나 등

인기상품 확인하고 계속 읽어보세요!

5

원치 않을 경우 뒤로가기를 눌러주세요.