기자의 눈 개인정보는 자산인데 보안은 비용인가
“믿고 이용해 주시는 회원님께 큰 걱정과 심려를 끼쳐 드린 점 진심으로 사과드립니다. 외부 비인가 접근으로 인한 회원님의 개인정보 유출 여부는 아래 링크를 통해 조회하실 수 있습니다”
최근 받은 개인정보 유출 안내문이다. 올해 들어 확인한 개인정보 유출 통지는 이번이 세 번째다. 쿠팡과 KT에 이어 이번에는 티빙이었다. 이름과 연락처, 아이디, 비밀번호를 비롯해 보유 캐시 금액과 결제 이력 정보까지 유출 가능 항목에 포함됐다.
카드사, 통신사, 유통업체, 온라인동영상서비스(OTT) 업체까지 개인정보 유출 사고가 잇따르고 있다. 개인정보를 대량 보유한 기업들이 해킹 공격의 표적이 되면서 유출 규모 역시 갈수록 커지는 모습이다.
개인정보 유출은 이제 특정 기업이나 특정 산업만의 문제가 아니다. 이용자들은 자신이 가입한 서비스 가운데 어느 곳에서 다음 사고가 발생할지 알 수 없는 환경에 놓여 있다.
문제는 사고의 규모가 커지는 속도에 비해 기업들의 정보보호 체계와 제도적 장치가 이를 충분히 따라가지 못하고 있다는 점이다.
최근 개인정보 유출 사고가 발생한 티빙 해킹 사건의 최종 피해자는 1953만명으로 파악됐다. 쿠팡(3755만명)과 SK텔레콤(2324만명)에 이어 세 번째로 큰 규모의 보안 참사다.
한국인터넷진흥원(KISA) 정보보호공시에 따르면 티빙의 정보보호 투자액은 2023년 21억9667만원에서 2024년 18억3940만원으로 감소했고, 지난해에는 17억6510만원까지 줄어들었다. 최고정보보호책임자(CISO)와 개인정보보호책임자(CPO)를 비임원급 인사가 겸직해 온 사실도 알려졌다.
정보보호 수준은 투자금액만으로 평가하기 어렵고, 실제 보안 체계는 다양한 요소에 의해 결정된다. 다만 개인정보 유출 사고가 반복되는 상황에서 정보보호 투자가 줄어들고 있다는 사실은 기업들이 보안을 얼마나 중요한 경영 과제로 인식하고 있는지 되돌아보게 만든다.
개인정보는 더 이상 단순한 정보가 아니다. 결제 정보와 이용 기록, 소비 패턴 등 개인의 생활과 경제활동을 담고 있는 디지털 자산이다. 기업들은 이를 활용해 서비스를 제공하고 수익을 창출한다. 그렇다면 개인정보 보호 역시 비용이 아닌 투자 관점에서 접근할 필요가 있다.
제도적 측면에서도 점검이 필요해 보인다. 현행 개인정보배상책임보험 제도는 정보주체 100만명 이상, 매출액 800억원을 초과하는 기업의 최소 가입금액을 10억원으로 규정하고 있다. 수천만명의 정보를 보유한 플랫폼 기업과 100만명 수준의 기업이 사실상 같은 구간에 포함되는 구조다.
개인정보배상책임보험이 모든 피해를 보상하기 위한 제도는 아니다. 하지만 개인정보 유출 사고가 대형화되고 플랫폼 기업의 영향력이 커지고 있는 현실을 고려하면 현재의 기준이 적정한지에 대한 논의는 필요해 보인다.
개인정보 유출 사고를 완전히 막는 것은 쉽지 않다. 그러나 이용자들이 원하는 것은 사고가 발생한 뒤 반복되는 사과문만은 아닐 것이다. 자신이 맡긴 정보가 안전하게 관리되고 있으며 기업이 정보보호를 핵심 경영 과제로 인식하고 있다는 믿음이다.
디지털 시대 기업의 경쟁력은 얼마나 많은 개인정보를 확보했는지가 아니라 그 정보를 얼마나 안전하게 보호할 수 있는지에 달려 있다. 개인정보가 기업의 중요한 자산이라면, 정보보호 역시 더 이상 비용으로만 인식되어서는 안 될 것이다.
