국 회 의 원 유 인 태 (열린우리당, 도봉을)	서면질의서	일자 : 2004. 10. 6 행정자치위원회 서울특별시
(150-702) 서울특별시 영등포구 여의도동1번지 국회의원회관 709호 / 전화 (02)784-2171,788-2228 / FAX(02)788-3709 / 홈페이지 www.yoointae.com

천백만 서울시민 개인정보 무방비상태

- 성명, 계좌번호까지 담긴 개인통장내역, 계약서,

심지어 비리제보자 이름까지 그대로 노출

- 담당자가 기본적인 보안관리사항조차 준수하지 않아

발생

□ 서울시 전자민원서비스의 운영현황

- 전자민원시스템의 경우 2001년 11월 개통이후 총이용자수 26만9천387명

- 주민등록등․초본 등 증명발급민원, 신고민원 등 393개의 증명민원신청

- 공직자비리신고센터, 불친절공무원, 청소년유해․퇴폐업소, 부정불량식품에 대한 신고센터

- 행정정보 공개청구, 민원처리공개시스템, 시민감사 옴부즈만, 청렴계약 옴부즈만 운영 중에 있습니다.

○ 전자민원서비스 이용시 필수기재사항 (별첨자료1)

- 전자민원서비스를 이용하기 위해서는 필수사항으로 민원인 내지 신고자의 성명, 주민등록번호, 주소, 핸드폰번호 등을 기재하게 되어 있습니다.

- 특히, 공직자비리신고센터의 경우 제보자의 신상정보 외에도 비리공직자의 성명, 소속, 직위, 신고내용 등을 상세하게 기입하도록 하고 있습니다.

질의) 전자민원서비스 이용시 민원서류 요철을 제외하고 옴부즈만, 정보공개청구, 각종 신고시 개인의 성명, 주민등록번호, 주소지 등이 꼭 필요합니까?

□ 서울시 인터넷 민원자료 무방비 노출

○ 사건개요

- 2004년 9월 7일 저희 보좌진이 미디어다음에서 “서울시 내부문서, 인터넷에 무방비 노출”이라는 제목의 기사를 접하고 담당기자에게 문의하였습니다.

- 미디어다음 기자에 의하면, 포털사이트의 일반검색엔진(www.empas.com)을 통해 개인신상정보가 담긴 민원자료를 검색할 수 있다는 제보를 받은 후 이것이 사실임을 확인하였습니다.

- 2004년 9월 6일 밤 미디어다음측은 서울시 정보화기획담당관 관계자에게 이와 같은 사실을 통보했습니다. 그런데 이러한 사실을 정보보호팀장(김OO 씨)은 그때까지도 모르고 있었습니다.

- 서울시는 미디어다음측이 보도가 되면 개인정보유출 피해가 확대될 것을 우려하여, 보도 전 미리 서버를 닫을 것을 김 팀장에게 제안한 후에야 서버를 닫았습니다.

- 김 팀장은 이 사태가 해킹에 의해 발생한 것으로 보고 서울경찰청 사이버수사대에 전화하여 해킹시도가 있었는지 여부를 문의하였습니다.

○ 유출된 자료의 내용

- 그러나 김 팀장의 판단처럼 해킹에 의한 것이 아니었습니다.

- 이들 자료는 포털사이트를 통해 검색하거나 주소 입력만으로 쉽게 접근할 수 있었던 것이었습니다.

- 당시 노출된 서버는 file.seoul.go.kr/crm/200409였으며 뒷부분 숫자를 바꾸면 해당년월의 민원자료 및 행정자료를 볼 수 있었습니다. (별첨자료2)

- 그 분량은 2001년 10월부터 2004년 9월 6일 2시 51분 ㅅ공사 노동조합 o위원장이 이명박 서울시장에게 보낸 서신까지 줄잡아 1만여건에 달했습니다.

예시)

- 송OO 씨의 이력서: 성명, 본관, 생년월일, 본적, 주소, 학력, 사회경력 기재 (별첨자료3)

- 조OO 씨 국민은행 통장(계좌번호 ******-04-******)통장내역 (별첨자료4)

- 서울시 도봉구 쌍문2동에 거주하는 안OO씨의 계약서: 융자금, 계약금, 중도금액수, 주민등록번호, 핸드폰번호 등 기재 (별첨자료5)

- OO구 관할의 OO어린이집의 횡령 등 부정․비리가 담긴 문서 (별첨자료6)

- OO구청 관할의 OO종합사회 복지관 및 구립 OO어린이집의 부정비리(보육료 착복, 보조금 사취, 기부받은 음식의 전용, 임금체불 등 (별첨자료6)

- 그 외 OO시 동시분양 분양가 분석표, OO공원측에 대한 부패의혹 내용이 기재된 민원서류, OO컴퓨터월드의 사업계획서 (자금조달, 손익분기점, 수익성 분석 등 기재), 버스이용 일자와 승차시간, 하차시간, 하차역이 명시된 자료 등

- 이번 사건과 관련하여 국가사이버안전센터의 진단에 따르면, 사전에 충분히 예방이 가능한 사건이었습니다.

- 9월 7일 국가사이버안전센터에 의해 보안상 부주의에 의한 것임을 통보받은 이후에도, 정보보호팀장은 9월 15일 통화시 해킹에 의한 것이라고 주장하였습니다.

- 10월 4일 의원실 보좌진과 통화시에는, 해킹이 아닌 것 같다고 말을 바꾸었고, 해킹에 대해 어떻게 정의하는지에 대한 물음에는 계속 모른다는 답변을 하였습니다.

질의) 2004년 9월 7일 국가 사이버안전센터와 서울시가 공동으로 조사한 바에 의하면, 이번 사건의 원인은 해킹이 아니라 보안상 부주의에 의한 것이라고 하는데, 그래도 해킹이라고 생각하십니까?

- 국가 사이버안전센터측의 진단에 따르면 기본적인 보안관리사항만 지켜졌더라도 충분히 발생하지 않을 수 있던 사건이었습니다.

- 보안 전문가들에 따르면 웹서버 세팅시 간단한 설정만으로도 자료가 무방비로 노출되는 것 막을 수 있었다고 합니다.

- 당시 주소만 입력하면 누구나 다운로드받을 수 있었습니다.

○ 신상정보 담긴 민원자료 유출로 인한 문제점

- 서울시정개발연구원에서 실시한 <서울시민의 개인정보보호인식에 관한 설문조사>에 따르면, 응답자의 45.6%가 신용카드정보를 제치고 주민등록번호를 개인정보에서 가장 중요하다고 생각하고 있으며,

- 주민등록번호를 공공목적으로 공개가 가능하다고 생각하는 응답자는 9%에 불과합니다.

- 서울시민이 신용카드정보보다도 더 중요하게 생각하며 공개되길 꺼려하는 주민등록번호 뿐 아니라 비리제보, 계약서, 통장내역, 버스 승․하차 시간 및 장소 등에 관한 문서가 유출된 것은 큰 문제입니다. 개인사생활 뿐 아니라 재산권, 명예 등에 치명적입니다.

○ 시민의 개인정보유출에 대한 서울시측의 미온적 대응

질의) 이번에 유출된 자료를 악용한 사례가 있는지 사이버 수사대에 정식으로 수사를 의뢰셨습니까?

- 저희 의원실에서 조사한 바에 따르면, 서울시에서 개인정보유출로 인한 피해사례가 있었는지 여부에 대해 경찰청 사이버수사대에 정식으로 수사의뢰한 적이 없습니다.

- 서울경찰청 사이버수사대측은 정보유출과 관련하여 악용된 사례가 있는지 수사를 의뢰하기 원하면, 공문서를 작성하여 정식으로 수사를 의뢰하라고 말했습니다.

- 이후 공문서를 통해 정식으로 수사를 의뢰한 적은 없습니다.

- 이 사건을 인지한지 9일이나 지난 2004년 9월 15일에도 현재 수사의뢰여부를 내부적으로 검토중이라는 답변을 하였습니다.

- 2004년 9월 30일 통화시, 서울시는 자체적으로 조사한 결과 이번 사건과 관련된 피해사례는 없는 것으로 파악하여 수사를 의뢰하지 않았다고 밝혔습니다.

질의) 서울시에서 자체적으로 조사가 어떻게 이루어졌는지 구체적으로 말씀해 주시겠습니까?

질의) 피해사례 존재여부는 개인 당사자가 가장 잘 알 것으로 생각되는데, 당사자에게 이번 사건의 내용을 알리셨습니까? 이로 인한 피해발생시 신고절차라든지 보상절차에 대한 안내가 있었습니까?

- 저희 보좌진이 개인신상정보가 인터넷상에 노출된 당사자들과 통화한 바에 따르면, “서울시를 믿고 억울한 민원사항 제기하기 위해 성명, 주민등록번호, 주소 등을 기재했는데 이렇게 유출될 줄 몰랐다”며 “당사자들과 연대하여서라도 서울시를 상대로 법적대응도 불사하겠다”고 합니다.

질의) 서울시는 어떻게 대응할 생각입니까?

- 인터넷상에서의 정보는 단 한 사람만 열람을 했을지라도 순식간에, 수많은 사이트에 유포되어 네티즌이 열람할 수 있다는 점에서 그 피해는 막대합니다.

○ 인터넷상 정보보안관리 부실

- 국가사이버안전센터의 진단 및 권고사항(별첨자료7)에 의하면

- 서울시측은, 중요자료파일 홈페이지 서버에 이전할 때 별도의 컴퓨터에 저장해야 하는 기본적인 보안관리사항을 지키지 않았습니다.

- 불가피하게 홈페이지 서버에 중요자료를 저장할 경우 인터넷으로부터 무단접근이 차단되도록 반드시 보안기능을 설정해야 함에도 이를 이행하지 않아 발생한 것이었습니다.

- 2004년 2월 20일 사이버안전센터 개원 이후 서울시와 관련된 사이버 침해사고는 총 4건이었는데 모두 보안관리 부실이 주된 원인이었다고 안전센터측은 밝혔습니다.

- 정보보호시스템 보강 등 보안관련 예산으로 2002년 이후만도 총 37억 9천 114만 2천원이 쓰였는데(별첨자료8), 이렇게 기본적인 보안관리사항도 지키지 않는다면 시민의 혈세만 낭비되는 것입니다.

□ 대안

○ 서울시민이 안심하고 민원서비스 이용할 수 있도록 서울시측의 개인정보보호에 대한 확고한 의지 필요

- 서울시정개발연구원의 조사에서도, 정보보호담당 공무원은 서울시 전자정부의 개인정보보호와 정보보안정책 집행의 저해요인으로 예산부족이나 시스템의 문제보다는 “담당자 및 정책결정자의 소극적인 자세”라고 응답하였습니다.

- 또한 서울시민의 경우 응답자의 31%가 “개인정보 담당공무원의 의식수준이 낮기 때문에 걱정스럽다”는 의견이며, 응답자의 44%는 정보시스템의 보안상의 문제 때문에 개인정보가 침해당할 수 있다며 우려하고 있습니다.

- 서울시에서는 업무관리상 인터넷에서 성명, 주민등록번호, 학력, 가족관계 뿐 아니라 신장, 체중, 병명, 치료현황, 죄명, 형량, 수형인명부 등까지 취급하고 있습니다.(별첨자료9)

- 서울시의 인터넷 민원서비스가 성공적으로 운영되기 위해서는 서울시측의 시민의 개인정보보호에 대한 확고한 의지가 필요하며, 정보유출시 피해구제에 최선을 다해야 할 것입니다. 이와 함께 보안시스템의 확충과 함께 전문성있는 인력과 예산의 확보가 필요하다고 봅니다.

질의) 이에 대해 시장님은 어떻게 생각하십니까?