또 터진 대형 개인정보유출 사건… 기업에 제대로 된 CISO가 없다

CISO 상당수 기술팀 소속
실질 권한 없어 유명무실

25일 인터파크의 1030만 명 개인정보 유출 사고로 온라인쇼핑몰 등의 개인정보보호 소홀이 또다시 도마에 오르고 있다. 전문가들은 정부 등에선 정보보안최고책임자(CISO) 의무 도입까지 추진하며 개인정보 보호에 전력을 기울이고 있지만, 실제 경영 과정에서 제대로 된 대응이 나오지 못하고 있다고 지적한다.

국내 개인정보 유출에 가장 큰 책임을 부여받은 것은 기업 내 CISO이지만 그 권한은 한정적이다. 지난해 인터넷 쇼핑몰, 금융기관 등에 CISO 도입을 의무화하고 개인정보보호의 책임을 맡겼지만, 실제 권한은 크지 못해 실제 중요한 순간 목소리를 내지 못한다는 것이다.

권헌영 고려대 개인정보보호대학원 교수는 26일 “현재 대부분 기업에서 CISO가 독자적인 위치를 누리는 곳은 거의 없고 대부분 정보팀이나 기술팀, 법무팀, 고객 담당 부서 안에 속해 있다”며 “특정 부서에 소속된 CISO는 이번처럼 대형 사건이 터졌을 때 적극적으로 CEO에게 의견을 개진하기 어렵다”고 설명했다.

실제 인터파크를 비롯한 국내 온라인 쇼핑몰의 CISO 상당수는 기술팀이나 소비자팀 소속으로 돼 있었다. 지난 6월 한국은행 조사결과 국내 금융권 CISO 중 ‘전임’ CISO의 비율은 2013년 85.1%에서 CISO 의무화가 시행됐던 지난해 80.5%로 떨어졌다.

기업들이 개인정보 유출 뒤에도 지나치게 안일하게 대응하는 부분도 개선해야 될 과제로 꼽힌다. 인터파크의 경우 사건 발생 후 열흘이 넘도록 피해자들에게 개인정보 유출 사실을 알리지 않았다. 정보통신보호법에 따라 개인정보 분실·도난·누출 사고 발생 시 이용자 및 방송통신위원회에 24시간 이내에 알리게 돼 있지만 이를 위반한 것이다.

권 교수는 “많은 기업은 사고가 난 뒤에 CEO가 관심을 두는 게 대부분”이라며 “사건이 터졌을 때 덮으려만 하지 말고 CEO가 처음부터 적극적으로 개인정보 보호에 나서야만 유출 사고가 근절될 수 있다”고 말했다.

박준우·최재규 기자 jwrepublic@munhwa.com