아이핀 관리체계 民·公 '따로' …보안·개인정보 정책도 '따로'

"용도는 동일한데, 왜 민간 기업과 공공 '아이핀'을 왜 따로 관리하나요?"

공공 아이핀(I-PIN) 시스템에서 75만개 아이핀이 부정 발급되는 사고가 발생하는 배경에는 현 정부의 정보보호 정책 체계에 근본적인 문제가 있다는 진단도 나오고 있다. 유사 사고 재발을 막기 위해서는 현재 분산돼 있는 관련 조직과 기능 정비가 우선돼야 한다는 지적이다.

◇용도는 동일, 관리는 따로 왜?

'아이핀'은 온라인에서 주민번호 오남용 사례가 크게 늘던 2005년 10월 정보통신부(현 미래부+방통위)가 도입한 새로운 사이버 신원확인 수단이다. 3년 뒤인 2008년 8월 이번에는 행정안전부(현 행자부)도 공공 아이핀을 내놨다. 온라인 공공 서비스에도 국민 누구나 쓸 수 있는 주민번호 대체수단이 필요하다는 명분이였다. '아이핀' 발급에 필요한 신원 확인 방법으로 휴대폰, 공인인인증서, 대면확인 외 주민번호 확인시스템을 추가했던 것도 이 때문이다.

하지만 지금은 민간이든 공공이든 아이핀을 한번 발급 받으면 공공·민간 영역 구분없이 동일하게 쓸 수 있다. 한국인터넷진흥원이 민간 공공 아이핀간 상호 연계시스템을 갖추면서부터다. 저조했던 아이핀 보급률을 끌어올리기 위한 정부의 고육책이었다. 문제는 민간·공공 아이핀 용도를 일원화했음에도 관리 체제는 그대로라는 것. 민간 아이핀은 방송통신위원회를 관리감독 부처로 서울신용평가정보, 나이스신용평가정보, 코리아크레딧뷰로(KCB) 등이 발급하고 있다. 공공 아이핀은 행정자치부를 감독부처로 한국지역정보개발원에서 발급 업무를 맡고 있다.

관리 체계 이원화에 따른 시스템 관리 부실 가능성은 일찌감치 예견돼왔다. 시스템 보안 점검과 주체가 서로 달랐기 때문. 민간과 공공 아이핀간 보안 수준이 현격히 차이날 수밖에 없던 이유다. 이면에는 정부 부처 간 알력 다툼이 존재한다는 것이 보안 전문가들의 지적이다. 현재 개인정보보호 정책 관련 부처는 행정자치부, 방송통신위원회, 금융위원회 등으로 분산돼 있고, 소관 법률과 산하기관도 제각각이다. 작년 초 대규모 카드사 개인정보 유출사고를 계기로 정부가 그 해 7월 국가정책조정회의를 거쳐 여러 기관에 흩어진 개인정보보호 법률 및 행정체계를 정비하겠다는 '개인정보보호 정상화 대책'을 내놨지만, 실행에 옮겨지진 않았다.

김민수 삼정회계법인 리스크컨설팅서비스 이사는 "발급 주체는 다르지만 아이핀은 엄연한 대국민 서비스라는 점이 중요하다"며 "각 주체들이 관리 영역을 굳이 합치지 않더라도 어떤 통합된 관리·감동의 가이드라인이 필요하다"고 지적했다.

◇사이버 보안·개인정보 정책도 '따로따로'

날로 고도화되고 있는 사이버 공격과 정보유출 사고에 대비하기 위해서는 보다 일관되고 체계적인 대응 정책이 불가피해지고 있다. 하지만 정부조직과 정책기능은 이와는 반대로 오히려 분산되고 있다. 현 정부 출범 이후 '사이버 보안'과 '개인정보보호' 정책 기능이 각각 미래부와 방통위로 쪼개진 사례가 대표적이다.

최근 발생한 일련의 개인정보 유출사고들은 대부분 사이버 해킹과 악성코드를 통해 이뤄진다. 하지만 사이버 공격 대응과 개인정보보호 주무부처가 다르다 보니 사건이 발생할 때마다 언론은 물론 담당 공무원들조차 혼선을 빚기 일쑤다. 지난해 KT 홈페이지 취약점 공격을 통해 대규모 해킹사고가 터졌을 때도 마찬가지였다. 양 부처가 원인 분석과 현장 점검 일정을 놓고도 우왕좌왕 해야 했다. 양 부처 의사결정마저 각각 '독임제'와 '합의제'로 다르다보니, 일사불란한 대응이 더욱 쉽지 않았다는 게 관련 공무원들의 하소연이다.

정태명 성균관대 교수는 "현재처럼 분산돼 있는 관련 조직 및 정책기능이 그대로 유지된다면 언제 또다시 대형 보안사고가 터질지 모른다"며 "다만, 어떤 기관으로 분산된 기능을 통합할 지에 대한 논의보다는 시대 변화와 맞춰 방향을 정한 뒤 그에 맞는 조직과 정책 체계로 정비하는 것이 중요하다"고 말했다.