[단독] 1000만 가입 상조회사, 인증도 공시도 없다… 예고된 ‘보안 공백’

사진은 지난 10일 8개 계열사에서 랜섬웨어 감염 사고가 발생한 교원그룹 전경./연합뉴스

상조 회사 교원라이프를 포함한 교원그룹 8개 계열사가 랜섬웨어(데이터를 암호화한 뒤 돈을 요구하는 악성 코드) 공격으로 정부 조사를 받고 있는 가운데, 상조 업계의 정보보호 관리 체계가 구조적으로 취약한 것으로 나타났다. 상조 상품 가입자가 1000만명에 육박하고 선수금 규모도 10조원에 달하지만, 제도 미비로 정보보호 사각지대에 놓여있다는 지적이 나온다.

18일 이준석 개혁신당 의원실이 한국인터넷진흥원(KISA)에서 제출받은 자료에 따르면, 작년 말 기준 웅진프리드라이프, 교원라이프, 보람상조개발, 더케이예다함, 소노스테이션 등 국내 상조 회사 상위 5곳 가운데 정부의 정보보호 관리 체계(ISMS) 인증을 받은 곳은 한 곳도 없었다.

ISMS 인증은 기업이 정보보호 정책과 접근 통제, 침해 사고 대응, 개인정보 보호 절차 등을 체계적으로 갖추고 있는지 정부가 심사하는 제도다. 정보통신서비스 매출액 100억원 이상, 일평균 이용자 수 100만명 이상인 기업은 의무적으로 인증을 받아야 한다. 상조 업체들은 이용자가 많지만 정보통신서비스업이 아니란 이유로 이 의무에서 비껴나있다.

또 정부는 ‘정보통신망을 이용해 정보 제공, 매개를 하는 기업’을 대상으로 정보보호 공시 의무를 부여했지만, 상조 회사들은 이런 의무에서도 제외돼 있다. 이 때문에 상조 회사들의 정보보호 투자 규모나 전담 인력 보유 여부, 내부 점검 현황 등을 외부에서 확인할 방법이 없는 상태다.

이 때문에 보안 업계에선 ‘계약 정보와 결제 정보, 가족 관계 등 민감한 개인 정보를 장기간 축적하는 상조업이 전통적인 금융업이나 정보통신서비스 제공자가 아니라는 이유로 관리 사각지대에 방치돼 있다’는 지적이 나온다. 임종인 고려대 정보보호대학원 명예교수는 “랜섬웨어 범죄는 돈을 목적으로 한 공격인 만큼, 현금 흐름이 있으면서도 방어벽이 낮은 곳이 우선 표적이 될 수밖에 없다”며 “장비를 들여놓는 수준을 넘어, 보안을 제대로 운영할 수 있는 우수한 인력을 중심으로 한 선제적 투자가 필요하다”고 말했다.

이준석 의원은 “수백만 명의 회원 정보를 관리하는 상조회사들이 최소한의 정보보호 인증조차 받지 않고 있다는 점은 심각한 제도적 공백”이라며 “상조업의 특성상 계약자나 납입자가 고연령층일 가능성이 높고, 유출된 정보가 악용될 위험도 크다는 점에서 금융·쇼핑·플랫폼에 적용되는 정보보호 규제를 상조업에도 적용할 필요가 있다”고 했다.

[장우정 기자]

- Copyrights ⓒ 조선일보 & chosun.com, 무단 전재 및 재배포 금지 -