[사설] 국립외교원까지 줄 잇는 해킹, 뻥 뚫린 사이버 안보

정부기관·민간기업 유출사고 반복
보안 강화 위한 근본적 대책 세워야

정부서울청사 별관의 국립외교원 온라인교육시스템 서버가 해킹돼 전현직 외교관과 주재원 등의 개인정보 1만건이 유출됐다. 북한 해킹조직의 소행 가능성이 제기되는 가운데 해외 파견 정보요원의 신원 노출 우려까지 나온다. 단순한 개인정보 유출 사고를 넘어 국가안보와 직결된 재난이다.

무엇보다 심각한 것은 문제의 서버가 외교부 본부 안에 있으면서도 정기 보안점검 대상에서 제외돼 보안 사각지대를 자초했다는 점이다. 관계기관이 통보할 때까지 10개월간 해커가 제집 드나들듯 침투했는데도 몰랐다. 지난 2월 긴급 차단하고도 5개월 뒤에야 공개했다. 늑장대응에 뒷북 공개다. 퇴직자나 원부처 복귀자의 정보를 파기하지 않고 방치해 피해를 키웠다는 지적도 나온다.

있어서는 안 될 정부기관 보안 사고가 최근 잇따르고 있다. 정부 창업지원 프로그램 '모두의 창업' 합격자 5000명의 개인정보와 창업 아이디어가 유출돼 당시 주무 장관이 직접 사과했다. 서울시 공공자전거 '따릉이' 이용자 462만명의 개인정보도 유출됐다. 전문가들은 공공기관에 대한 제재가 민간보다 약하기 때문에 사고가 줄지 않는다고 지적한다.

민간기업도 마찬가지다. 롯데카드를 비롯해 KT·SK텔레콤 등 통신사, 쿠팡과 티빙까지 개인정보 침해 사고가 이어졌다. 쿠팡(3370만명), SK텔레콤(2324만명) 등 피해 규모도 커지고 있다. 개인정보보호위원회는 예스24, GS리테일, 넷마블 등도 조사 중이다. 보안 사고가 잦아 국민은 기업이 공지하지 않으면 자신의 개인정보가 유출됐는지조차 알기 어렵다. 국민의 일상이 사이버 공격에 노출된 셈이다.

보안 사고가 반복되는 것은 제재가 솜방망이 수준이기 때문이다. 개인정보 침해 사고가 두 건 이상 발생한 기관의 절반 가까이가 과징금 대신 시정권고나 과태료 처분에 그쳤다고 한다. 과징금은 과태료보다 훨씬 강력한 제재다. 반복 사고에도 처벌이 약해진 사례가 적지 않다. 정부도 과징금 기준 상한을 높이고 집단소송제를 추진하는 등 제도 보완에 나서고 있다. 쿠팡에는 역대 최대인 6200억원대의 과징금을 부과했다.

그러나 보안을 투자 아닌 비용으로 보는 인식이 바뀌지 않는 한 근본적인 예방은 어렵다. 보안 사고는 화재나 자연재해와 같다. 한 번 터지면 피해 규모를 가늠하기 어렵고 기업 신뢰에도 치명적이다. 사고 때마다 대책을 외치지만 곧 흐지부지된다. 투자계획을 세울 때마다 우선순위에서 밀리기 일쑤다.

사이버 공격은 이제 안보와 경제를 동시에 위협하는 국가재난이다. 사이버 안보 체계를 전면 재정비해야 한다. 국가 차원의 컨트롤타워를 구축하고 공공과 민간을 아우르는 대응 체계를 갖춰야 한다. 개인정보 유출을 은폐하거나 관리에 소홀한 기관과 기업에는 과징금을 대폭 올리고 책임을 엄중하게 물어야 한다. 무엇보다 사이버 보안을 비용이 아니라 국가 안보와 생존을 위한 필수 투자로 인식해야 한다. 그래야 반복적인 악순환을 끊을 수 있다.