20만 교사 정보유출 아이스크림미디어, 정보보호 수년째 미인증

전국 초등학교 교사 90% 이상이 이용하는 에듀테크(교육정보기술) 기업 '아이스크림미디어'가 정부의 정보보호관리체계(ISMS) 의무 인증 대상임에도 수년째 인증을 받지 않은 것으로 나타났다. 법에서 정한 최소한의 관리체계를 갖추지 않은 채 서비스를 운영하다가 올해 초 대규모 개인정보 유출 사고까지 발생하면서 개인정보보호위원회(개보위)의 제재 과정에서 미인증 사실이 불리한 요소로 작용할 가능성이 제기된다.

11일 국회 과학기술정보방송통신위원회 소속 이훈기 더불어민주당 의원실에 따르면 아이스크림미디어는 2022년 ISMS 의무 인증 대상에 처음으로 포함된 이후 현재까지 인증을 취득하지 않았다. 의무 대상으로 지정된 해의 다음 해 8월31일까지 인증을 받지 않으면 다다음 해 과태료가 부과된다. 아이스크림미디어는 2022년과 2023년 인증 의무를 이행하지 않아 지난해 1월20일과 올해 1월30일 각각 3000만원의 과태료를 냈다.

ISMS는 기업이 정보보호를 위한 관리체계를 적정하게 구축·운영하고 있는지를 한국인터넷진흥원(KISA)이 심사하는 인증 제도다. 정보보호 최고책임자 지정 여부부터 해킹 대응 계획, 서버 로그 관리, 관리자 계정과 비밀번호 관리 등 모두 80개 기준을 충족해야 한다. 정보통신서비스 부문 매출이 연간 100억원 이상이거나 일평균 이용자 수가 100만명을 넘는 등 일정 요건을 충족하면 중소기업도 의무적으로 ISMS 인증을 받아야 한다. 아이스크림미디어는 매출 요건이 충족돼 의무 인증 대상에 포함됐다.

아이스크림미디어가 누적 6000만원의 과태료를 감수하면서도 인증을 취득하지 않은 배경에는 적지 않은 인증 비용과 준비 부담이 있는 것으로 분석된다. ISMS 인증 심사 수수료는 일반적으로 800만~1400만원 수준이다. 인증을 신청하려면 KISA가 요구하는 관리체계를 전부 구축한 뒤 최소 2개월 이상 실제 운영해야 한다.

정부는 이런 부담을 고려해 2024년부터 제도를 일부 완화했다. 과학기술정보통신부와 개보위, KISA는 정보통신서비스 부문 매출 300억원 미만 중소기업의 인증 심사 수수료를 400만~700만원으로 낮추고 인증 기준도 기존 80개에서 40개로 축소했다. 정부의 제도 간편화에도 아이스크림미디어처럼 인증을 받지 않은 의무 대상 기업은 현재 20여곳에 달한다.

아이스크림미디어의 미인증 사실은 개인정보 유출 사고에 대한 개보위 과징금 산정 과정에서 불리한 요소로 반영될 가능성이 있다. 정부가 최소한으로 요구하는 정보보호 관리체계조차 갖추지 않은 상태에서 대규모 유출 사고가 발생해서다.

앞서 지난 3월 아이스크림미디어에서는 약 20만건의 개인정보가 유출됐다. 당시 교사 회원의 학교명과 주소, 연락처 등 학교 정보는 물론 사용자 ID, 이름, 전화번호, 생년월일, 이메일 주소 등이 외부로 빠져나갔다. 대표 서비스인 '아이스크림S' 이용 교사가 약 20만명인 점을 고려하면 사실상 전국 초등교사 대부분이 피해를 입은 것으로 추정된다. 아이스크림미디어는 KISA가 먼저 이상 징후를 확인하기 전까지 개인정보 유출 사실조차 자체적으로 인지하지 못했다.

아이스크림미디어는 내년 취득을 목표로 ISMS보다 강화된 체계인 ISMS-P 인증을 준비하고 있다는 입장이다. ISMS-P는 기존 ISMS 기준에 개인정보 보호 관련 요구사항 21개를 추가해 총 101개 기준을 충족해야 하는 인증이다. 심사 수수료도 1000만~1800만원 수준으로 ISMS보다 더 높다.

아이스크림미디어 관계자는 "정보보호 관리체계의 중요성을 인식하고 관련 법령과 기준에 따라 정보보호 수준을 지속적으로 점검하고 있다"며 "개보위 조사 결과를 바탕으로 필요한 개선 조치를 성실히 이행하겠다"고 말했다.