|
개보위는 지난 27일 제18회 전체회의를 열고, 개인정보 보호 법규를 위반한 SK텔레콤에 대한 과징금 처분 등을 의결했다고 28일 밝혔다. 개보위는 SK텔레콤이 국내 1위 이동통신사업자로서 안전조치의무를 소홀히 해 유심정보를 비롯한 개인정보가 유출된 행위에 대해 과징금 1347억9100만원을 부과했다. 정보 주체에 대한 유출 통지를 지연해 신속한 피해 확산방지를 소홀히 한 행위에 대해서도 과태료 960만원을 부과하기로 결정했다.
개보위는 지난 4월 22일 SK텔레콤이 비정상적 데이터 외부 전송 사실을 인지하고 유출 신고해옴에 따라 조사에 착수했다. 이후 사건의 중대성을 감안해 신고 당일 한국인터넷진흥원(KISA)과 집중조사 TF를 구성해 유출 관련 사실관계, 개인정보 보호법령 위반여부 등을 중점 조사했다.
TF 조사 결과 SK텔레콤 이동통신 서비스의 핵심 역할을 하는 다수 시스템에 대한 해킹으로 LTE·5G 서비스 전체 이용자 2324만4649명(알뜰폰 포함)의 휴대전화번호, 가입자식별번호(IMSI), 유심 인증키(Ki, OPc) 등 25종의 정보가 유출된 것으로 확인됐다. 개보위는 "이동통신 이용에 필요한 가입자식별번호 및 유심 인증키가 대규모로 유출됨에 따라 이동통신 서비스의 신뢰도가 저하되고, 사회적 불안감이 확산되는 등 국민 생활에 중대한 영향을 미쳤다"고 설명했다.
개보위는 SK텔레콤의 개인정보 보호법 위반과 관련 △안전조치 의무 위반 △개인정보 보호책임자 지정 및 업무 수행 소홀 △개인정보 유출통지 지연 등을 지목했다. 특히 안전조치 의무 위반에 대해선 '접근통제 조치 소홀', '접근권한 관리 소홀', '보안 업데이트 미조치', '유심 인증키 미암호화' 등을 강조했다.
인터넷과 내부망 사이의 보안 운영 환경이 해커의 불법적인 침입에 매우 취약한 상태로 관리·운영됐고, 침입탐지 시스템의 이상행위 로그도 확인하지 않는 등 불법적인 유출 시도에 대한 탐지·대응 조치를 소홀히 했다는 게 개보위 판단이다. 개보위는 "2016년 11월 보안 취약점을 가진 OS를 설치했으며, 올해 4월 유출 당시까지도 보안 업데이트를 실시하지 않았다"며 "백신 미설치를 대체하는 보안 조치마저도 소홀히 해 결과적으로 이번 유출 사고를 막지 못했다"고 지적했다.
개보위는 유출 사고 재발 방지를 위해 이동통신 서비스 전반의 개인정보 처리 현황을 면밀히 파악해 안전조치를 강화하고, 개인정보 보호책임자(CPO)가 회사 전반의 개인정보 처리 업무를 총괄할 수 있도록 거버넌스 체계를 정비할 것을 시정명령했다. 현재 일부 고객관리시스템에 대해서만 획득한 개인정보보호관리체계(ISMS-P) 인증 범위를 통신 이동통신 네트워크 시스템으로 확대해 회사 시스템 전반의 개인정보 안전성 확보조치 수준을 제고하도록 개선 권고했다.
개보위는 유사사례가 발생하지 않도록 대규모 개인정보 처리자에 대한 관리·감독을 더욱 강화하고, 개인정보 안전관리 체계 강화방안을 마련해 9월 초 발표할 예정이다.
고학수 개보위원장은 "이번 사건을 계기로 대규모 개인정보를 보유·처리하는 사업자들이 관련 예산과 인력의 투입을 단순한 비용 지출이 아닌 필수적인 투자로 인식하길 바란다"며 "나아가 데이터 경제시대 CPO와 전담조직이 기업경영에서 차지하는 역할과 중요성을 제고해 개인정보 보호 체계가 한 단계 강화되는 계기가 되길 바란다"고 말했다.
