국회입법조사처 보고서 통해 해킹 대응 지적
"경보 대상·내용·방식 구체적으로 정해야"
중대 위험일 경우 재난문자 발송 방안 제안도

7일 서울 시내 한 SK텔레콤 인증 대리점에 신규 가입 중단 안내문이 부착돼있다. 사진=연합뉴스

SK텔레콤 유심 정보 해킹 사고와 관련해 개인정보 유출 안내 대상자를 피해고객뿐 아니라 '모든 고객'으로 범위를 확장해야 한다는 지적이 나왔다. 고객들이 신속하게 유출 사실을 인지할 수 있어야 한다는 취지다.

국회입법조사처는 7일 '통신사 해킹 사고 사후 대응의 문제점과 입법과제' 보고서를 통해 "이동통신망 핵심부가 해킹되는 것은 국가 안보에 중대한 위협으로 작용할 수 있어 구조적 대응이 필요하다"면서 "정부와 기업의 대응이 극히 부실했다"고 꼬집었다.

입법조사처는 기업의 개인정보 유출 사실 통지 의무 기준이 모호한 점을 짚었다. SK텔레콤은 해킹 사고 초기 자사 홈페이지 팝업창 등 제한된 채널을 통해 일부 정보가 유출됐다고 공지한 바 있다. 그러다가 지난달 23일에 유심보호서비스 가입을 안내하는 전체 문자를 발송하기 시작했다.

입법조사처는 "해킹 사고 발생 후 이른 시일 내에 유출 피해자를 특정하지 못한다면 유출 범위와 내용을 정확히 알지 못하는 것이므로 최악의 시나리오를 가정해야 한다"고 했다. 그러면서 개인정보보호법을 개정해 개인정보 유출 대상자가 특정되지 않아도 전체 가입자에게 구체적 상황과 대응 방법을 개별 통지할 것을 촉구했다.

해킹 사고가 광범위하거나 중대한 위험으로 이어질 수 있다고 판단되는 경우 정부의 재난 경보 체계를 활용하자는 의견도 내놨다. 현재는 정보통신망이 '중단'될 때만 재난문자를 보낼 수 있다. 대표적으로 2022년 SK C&C 데이터센터 화재로 일어난 카카오 장애 당시 정부가 재난안전법에 근거해 재난 문자를 3차례 발송한 전례가 있다.

이번 해킹 사고의 경우 정보 통신망이 중단된 것이 아니라 재난문자 발송 조치가 이뤄지진 않았다. 입법조사처는 "해킹 사고에서 정부의 경보 체계가 부재한 것은 국민 경각심을 떨어뜨리고 피해 예방 기회를 놓친다"고 주장했다. 정보통신망법이나 방송통신발전법에서 침해사고 발생 때 취해야 할 경보의 대상이나 내용, 방식을 구체적으로 정해야 한다는 것이다.

또 중대한 위험을 발생시킨다고 판단되는 경우에는 행정안전부장관과 협의하여 재난경보체계를 활용할 수 있도록 제안했다.

해킹 사고에 관한 정부 조사 권한을 강화하는 내용의 정보통신망법 개정도 주문했다. 현재 운영되는 과학기술정보통신부를 주축으로 한 민관합동조사단은 강제력이 부족하다는 이유다. 입법조사처는 "(기업의) 소극적 대응이나 사고 은폐를 방지하고 실효성 있는 조치를 유도하기 위해서는 정보통신망법상 과태료를 상향하거나 이행강제금을 부과하는 등 법을 개정할 필요가 있다"고 강조했다.

기업이 피해자에 대한 실질적 구제 조처를 하고 피해자가 보상을 쉽게 받을 수 있도록 전기통신사업법, 정보통신망법, 개인정보보호법도 개정해야 한다고 촉구했다. 입법조사처는 특히 피해자가 개인정보 유출과 피해 간 인과관계를 입증하기 어려울 수 있는 만큼 개인정보보호법에 인과관계를 추정할 수 있는 규정을 두는 방안도 검토할 것을 주문했다.

박수빈 한경닷컴 기자 waterbean@hankyung.com

Copyright © 한국경제. 무단전재 및 재배포 금지.