[PEDIEN] 경기도의회 윤도희 의원이 도 정보보안 관리 체계의 허점을 날카롭게 지적했다. 지난 9일 열린 제395회 제1차 미래과학협력위원회 AI국 행정사무감사에서 윤 의원은 경기도자원봉사센터의 위탁 운영 과정에서 발생한 개인정보 유출 사고를 언급하며, 위탁 기관까지 포함하는 철저한 사고 통보 및 점검 체계 마련을 강력히 촉구했다.
사고는 지난 9월 25일, 경기도자원봉사센터가 위탁 운영사로부터 받은 안내를 통해 공지됐다. 센터의 교육 사이트인 '자원봉사다움' 운영 서버가 9월 20일 침입당해 개인정보가 유출된 사실이 뒤늦게 밝혀진 것이다. 윤 의원이 공개한 자료에 따르면, 이번 사고로 성명, 주소, 이메일, 성별 등 회원 정보 총 2만 1104건이 유출된 것으로 집계됐다. 유출 원인으로는 시스템 보안 취약점 악용과 악성코드 설치가 지목되었으며, 이후 공격 IP 차단, 백도어 삭제, 취약점 보완 등의 조치가 이루어진 것으로 파악됐다.
윤 의원은 이번 사고가 단순히 한 기관의 문제를 넘어, 동일한 위탁 업체를 이용하는 다른 기관에도 연쇄적인 영향을 미칠 수 있다는 점을 강조했다. 그는 "한 기관의 위탁업체에서 사고가 나면 같은 서비스를 쓰는 다른 기관도 영향을 받을 수 있다"며, "계약 기관은 위탁업체를 관리하고 경기도는 영향을 받은 기관에 위험을 알리고 점검을 진행할 수 있어야 한다"고 지적하며 관리 감독의 중요성을 피력했다.
특히 피해 규모 집계 과정에서의 허술함도 도마 위에 올랐다. 윤 의원이 유출된 2만 1104건이 센터 이용자만을 의미하는지, 운영사 전체인지, 중복을 제외한 실제 인원인지 질문하자, 관계자는 "중복이 포함돼 있다"고 답변했다. 이에 윤 의원은 중복을 제외한 실제 피해 범위 자료 제출을 요구하며, "직접적인 위탁기관은 아니지만 관리 감독이나 정보 파악은 필요하다"고 강조했다.
또한 윤 의원은 AI국이 이 사고를 언제, 누구를 통해 처음 인지했는지, 그리고 동일한 업체나 플랫폼을 사용하는 다른 기관에 실제 위험 통보가 이루어졌는지 여부도 따져 물었다. 그는 최초 접수 시각, 통보 기록, 긴급 점검 및 기술 지원 내역을 서면으로 제출할 것을 요구하며, 만약 조치 기록이 없다면 그 사유도 명확히 밝히라고 지시했다.
정보 자산 관리에서도 빈틈이 드러났다. 지난 6월 정보보안 관리실태 평가 당시 자원봉사센터가 정보 자산 전수 조사에 포함되었는지에 대한 질문에, 담당자는 "확인해 봐야 할 것 같다"는 답변을 내놓았다. 윤 의원은 위탁 서비스 담당 부서 및 연락처 확인 여부가 담긴 조사표 제출을 요구하며 정보 관리의 책임성을 물었다.
밤이나 휴일에 위탁 서비스 사고 통보가 들어올 경우, 같은 서비스를 사용하는 다른 기관에 누가 알릴 것인지에 대한 질문에, 담당자는 24시간 사이버 관제센터와 비상 연락망을 운영하고 있다고 설명하면서도 "위탁까지 세부 명단은 확보가 안 돼 있다"고 인정했다. 그는 "현재 인력에 한계가 있어 위탁기관까지는 신경을 쓰지 못했지만, 위탁기관까지 관리할 수 있도록 최대한 노력하겠다"고 덧붙였다.
윤 의원은 "협력업체나 위탁기관의 보안망이 공공기관보다 상대적으로 취약하다 보니 그쪽으로 공격이 들어오는 경향이 있다"며, "도민의 개인정보가 담긴 위탁 서비스라면 관리 대상에 반드시 포함해 보안을 강화해야 한다"고 역설했다. 더불어 위탁 서비스 사고 발생 시 이용 기관에 즉각적으로 정보가 전파될 수 있도록 야간·휴일 긴급 대응 훈련을 실시할 것을 주문하며, 도민의 소중한 개인정보 보호를 위한 실질적인 대책 마련을 촉구했다.
저작권자 © PEDIEN 무단전재 및 재배포 금지
