행복e음, 해킹 시 1,256만명 개인정보 유출 가능

- 한국보건복지정보개발원 늑장대응, 현재까지 개인정보 암호화 하지 못해 -

질의

o 개인정보보호법이 지난 3월29일 국회를 통과, 내일(30일)부터 시행됩니다. 이 법 24조3항에 따르면, 개인정보를 암호화하도록 규정하고 있습니다.

o 암호화가 이뤄졌습니까?

▶ 행복e음 이뤄지지 않음. 나머지 정보는 암호화 완료.

▶ 하위법령으로 유예기간이 주어졌다 하더라도 보건복지분야 개인정보를 다루는 기관 입장에서 개인정보가 유출(노출)되는 것을 사전에 방지해야

o 암호화가 이뤄지지 않았다는 것은 외부에서 해킹을 할 경우 개인정보가 고스란히 노출될 수 있지요?

▶ 암호화는 ‘DB자체 암호화’와 ‘유출 시 볼 수 없도록 하는 암호화’ 2가지, 그러나 행복e음은 두 가지 모두 암호화가 되지 않음. 따라서 유출 시 개인정보 노출

o 그렇습니다. 지금 행복e음에 무려 1,256만명의 개인정보가 담겨 있습니다.

o 조속한 암호화가 필요합니다. 그런데 정보개발원은 한가하게도 지금 암호화를 위한 컨설팅을 하고 있습니다. ▶ 10월11일 완료예정.

o 그리고 내년에 암호화를 위한 예산이 단 한 푼 편성되지 않았죠?

o 복지부 관계자 나와 있습니까? 예산이 편성됐습니까?

▶ 복지부가 기재부에 7억1,250만원 신청했지만, 전액 미반영.

o 이 정부가 개인정보에 대해 인식이 얼마나 허술한가를 보여주는 단면입니다.

o 정보개발원의 늑장 대응도 문젭니다.

o 화면을 보시면, 법이 3월29일 제정되고, 현대캐피탈, 농협 등 금융권 보안사고가 잇따르자, 정보개발원은 지난 5월13일 ‘금융권 보안사고 관련 우리원 보안강화 방안’을 수립했습니다. 알고 계시죠? (▶ 5.16일 원장 사인)

o 동 보고서에는 “개인정보보호법, 2011.9.30 발효에 DB암호화가 필수 사항으로 지정되어 반드시 암호화가 이루어져야 함”이라고 명시되어 있습니다.

o 그런데 3개월 지난 시점인 8월12일 암호화를 위한 컨설팅계약을 체결합니다.

o 이거 늑장대응 아닙니까?

▶ 정보개발원 입장 : 개인정보보호법 상 개인정보를 의무화하도록 하고 있지만, 금융권 등 현장에서 비용, 시간 등 부담이 크다보니 유예 등의 요구. 이러한 상황을 봐 가면서 추진함.

o 원장께서는 2010년 2월 취임 후, 4개월 만인 6월에 ‘UN공공행정상’ 추진을 지시했습니다. 조직이 생긴 지 6개월만입니다.

o 기관장 평가를 잘 받기 위해 2010년 1,880만원을 들여 컨설팅을 받았습니다.

o 조직의 내실은 뒤로하고 겉치레에 치중하고 있는 것입니다.

o 지금 일에 있어서 무엇이 우선이고 무엇이 중요한 것인가를 다시 한번 생각해 보시길 당부합니다.