[이 기사에 나온 스타트업에 대한 보다 다양한 기업정보는 유니콘팩토리 빅데이터 플랫폼 '데이터랩'에서 볼 수 있습니다.]
중소벤처기업부가 2차 '모두의 창업' 참가자를 지원하기 위해 선정한 AI(인공지능) 솔루션 '로폼'에서 개인정보 유출 사고가 발생한 것과 관련, 솔루션 운영사 아미쿠스렉스에 대한 제재 심의에 착수한다고 15일 밝혔다.
중기부에 따르면 이번 사고로 유출된 개인정보는 총 2만28명 규모다. 이중 2차 모두의 창업 참가자 818명의 정보가 포함됐다. 유출 항목은 이름과 연락처, 이메일이다. 중기부는 나머지 AI 솔루션 공급기업 49개사에 대해서도 보안점검을 실시한다.
해킹 공격은 지난 11일 오전 5시38분 발생했다. 아미쿠스렉스는 같은 날 오전 8시30분 공격 정황을 포착하고 해외 IP(인터넷 프로토콜) 접속 차단 등 긴급조치에 나섰다.
이어 12일 오후 3시 모두의 창업 참가자 818명의 정보가 포함된 사실을 확인한 뒤 같은 날 오후 6시10분 창업진흥원에 유출 사실을 보고했다. 13일 오후 3시에는 유출 대상자에 대한 안내가 이뤄졌다.
중기부는 모두의 창업 세부관리기준과 공고문 등에 따라 사업운영위원회를 신속히 열고 아미쿠스렉스에 대한 제재 조치를 심의할 예정이다. 선정 취소, 1년 이내 참여 제한 등이 검토 대상이다.
심의 결과에 따라 조치가 결정되면 아미쿠스렉스가 계정 발급을 위해 보유하고 있던 참가자 개인정보를 즉시 파기하도록 하고, 창업진흥원이 이행 여부를 확인한다.
피해자 보호 대책도 마련했다. 심의 결과 AI 솔루션 공급이 중단될 경우 해당 솔루션을 이용 중인 참가자에게 중단 사실을 통보하고, 기능이 유사한 대체 AI 솔루션을 활용할 수 있도록 지원한다.
서비스 중단과 전환 과정에서 솔루션을 이용하지 못한 참가자를 위해 지원 기간도 1개월 연장한다. 개인정보 유출 피해를 입은 참가자에게는 '스타트업 원스톱 지원센터' 법률자문단을 통해 피해구제 절차와 신청 방법을 안내할 계획이다.
다른 49개사도 개인정보 보호조치 점검
다른 공급기업 49개사에 대해서는 민간 보안 전문업체와 함께 오는 20일까지 개인정보 보호조치 이행 실태를 확인한다. 점검 항목은 △개인정보 보유 현황 △접근권한 △암호화 △취약점 관리 △사고 대응체계 등이다.
확인된 미흡 사항은 즉시 보완하도록 조치한다. 보완이 어려운 경우에는 취약점의 심각도와 정보보안 문제 발생 가능성 등을 고려해 사업운영위원회 심의를 거쳐 선정 취소와 참여 제한을 검토한다.
중기부는 정부 지원사업에 민간 서비스를 연계해 제공하는 사례가 늘고 있는 만큼, 이번 사고를 계기로 지원사업 전반의 개인정보 보호 관리체계도 강화하기로 했다.
우선 계획·공고 단계부터 개인정보 제공 필요성을 사전 검토하고, 개인정보 보호 책임자 지정과 접근권한 관리 등 공급기업의 의무를 공고에 명시한다. 업체 선정 시에는 평가위원에 개인정보 보안 전문가를 반드시 포함하고, 정보보안 항목을 평가점수에 필수 반영한다.
서비스 개시 전과 운영 중에 접근권한·접속기록 관리 등 보안 의무 이행 여부를 점검·시정하는 내용도 지침에 필수 반영한다. 사고 발생 시 즉시 보고하는 체계와 피해 확산 방지 조치도 강화한다.
중기부는 이 같은 방안을 구체화하고 부처 전 영역에 반영하기 위해 제1차관을 팀장으로 하는 '정보보안 관리 TF(태스크포스)'를 구성해 신속히 점검을 시작한다는 방침이다.
앞서 중기부는 지난 6월 1차 모두의 창업에서도 AI 솔루션 기업 해킹으로 합격자 5000명의 이메일 주소와 심사평, 창업 아이디어 요약 등이 유출되는 사고를 겪었다. 이후 지난 7월 개인정보 암호화 체계 강화 등을 담은 재발 방지 대책을 발표한 바 있다.
중기부 관계자는 "유출 업체에 대한 후속조치와 피해자 보호·지원, 나머지 AI 솔루션 업체들에 대한 긴급 보안점검을 신속히 추진하겠다"며 "사업운영위원회 심의 결과에 따라 엄정하게 조치할 방침"이라고 말했다.
[머니투데이 스타트업 미디어 플랫폼 '유니콘팩토리']