3년간 ISMS 인증기업 중 14%서 사고…무신사 "관리체계 전반 심사받아"
고객 이름·전화번호 등 16만건 및 파트너사 개인정보 유출
[연합뉴스 자료사진]
(서울=연합뉴스) 이상서 기자 = 고객의 이름과 휴대전화번호, 배송정보 등 16만건에 달하는 개인정보를 유출한 무신사가 사고 2개월 전에 정부의 정보보호 관리체계(ISMS) 인증 심사를 통과했던 것으로 드러났다.
정부 점검이 형식적으로 이뤄진 게 아니냐는 지적과 함께 심사에 대한 실효성을 강화해야 한다는 제언이 나온다.
14일 정보보안업계에 따르면 한국인터넷진흥원(KISA)은 올해 6월 무신사에 보낸 'ISMS 인증 심의 결과' 문건에서 '인증 적합'을 통보하며, 'ISMS를 지속적으로 유지·관리해 주시기 바랍니다'라고 적었다.
ISMS 인증은 정보자산을 안전하게 관리하기 위한 위험 관리, 사고 예방 및 대응, 복구 등 80개 기준을 통과한 기업에 부여한다. 과학기술정보통신부와 개인정보보호위원회가 담당한다.
의무 대상은 주요 정보통신서비스 제공자나 정보통신서비스 매출액 100억원 이상 또는 일평균 이용자 100만명 이상인 경우 등이다.
해당 문건을 보면, 인증 범위는 무신사를 비롯해 무신사가 운영하는 29CM와 솔드아웃, 엠프티에 대한 온라인 서비스 운영 부문이다.
유효 기간은 올해 6월 4일부터 2029년 6월 3일까지다.
그러나 무신사는 ISMS 인증을 받은 지 약 2개월 후인 지난달 말 온라인 패션 플랫폼 29CM에서 개인정보를 유출했다.
유출 항목 및 규모는 고객 이름 13만8천841건과 이름·이메일 주소·휴대전화번호·배송정보 2만1천11건 등이다. 여기에 29CM 파트너사의 담당자 개인정보가 함께 유출된 사실도 뒤늦게 파악됐다.
이처럼 정부의 각종 보안 심사를 받은 지 불과 두 달 만에 16만건에 달하는 고객 정보가 유출된 것을 두고 관련 제도의 실효성이 떨어진다는 지적이 제기된다.
앞서 SK텔레콤과 쿠팡 등 ISMS 인증을 받은 기업에서 잇달아 대규모 개인정보 유출 사고가 발생하자 정부가 제도 심사 기준을 대폭 강화하기로 했음에도 또다시 허점이 드러난 셈이다.
[해당 문서 갈무리 제공. 재판매 및 DB 금지]
실제로 관계부처에 따르면 최근 3년간 ISMS 및 ISMS-P 인증기업 1천283곳 가운데 14%(179곳)에서 침해사고가 발생했다.
경찰청 지능범죄수사과장 출신의 법무법인 대륙아주 박상융 변호사는 "'ISMS 무용론'이 확산하는 것을 방지하기 위해서라도 심사 수준을 강화하고 해킹을 차단할 수 있는 심사 항목을 다양화할 필요가 있다"고 짚었다.
권헌영 고려대 정보보호대학원 교수도 "ISMS 인증이 보안 사고 방지를 위한 필요조건이지 충분조건은 아니기 때문에 인증받은 기업이 별도의 대책을 마련해야 한다"면서도 "해킹 수법이 날로 진화하는 상황을 감안해 모의 침투 훈련 등 실효성을 높이는 보완책이 필요하다"고 제언했다.
이에 무신사 관계자는 "ISMS 인증 당시 정보보호 정책과 조직, 계정·접근권한 관리, 인증통제 등 정보보호 관리체계 전반을 심사받았다"며 "인증 여부와 관계없이 이번 사고를 엄중하게 인식하고 있으며, 관계기관 조사와 내부 점검을 통해 필요한 보완 조치를 이행할 예정"이라고 설명했다.
[과학기술정보통신부·개인정보보호위원회 제공. 재판매 및 DB 금지]
shlamazel@yna.co.kr