보안인증 수년째 외면… 아이스크림미디어, 정보유출 불렀다

전국 초등학교 교사의 90% 이상이 이용하는 에듀테크(교육정보기술) 기업 '아이스크림미디어'가 정부의 ISMS(정보보호관리체계) 의무인증 대상임에도 수년간 인증을 받지 않은 것으로 나타났다. 법에서 정한 최소한의 관리체계를 갖추지 않은 채 서비스를 운영하다가 올해 초 대규모 개인정보 유출사고까지 발생하면서 개인정보보호위원회(이하 개보위)의 제재과정에서 미인증 사실이 불리한 요소로 작용할 가능성이 제기된다.

11일 국회 과학기술정보방송통신위원회 소속 이훈기 더불어민주당 의원실에 따르면 아이스크림미디어는 2022년 ISMS 의무인증 대상에 처음으로 포함된 이후 현재까지 인증을 취득하지 않았다. 의무인증 대상으로 지정된 해의 다음해 8월31일까지 인증받지 않으면 다다음해에 과태료가 부과된다. 아이스크림미디어는 2022년과 2023년 인증의무를 이행하지 않아 지난해 1월20일과 올해 1월30일 각각 3000만원의 과태료를 냈다.

ISMS는 기업이 정보보호를 위한 관리체계를 적정하게 구축·운영하는지를 한국인터넷진흥원(KISA)이 심사하는 인증제도다. 정보보호 최고책임자 지정여부부터 해킹대응 계획, 서버 로그관리, 관리자 계정과 비밀번호 관리 등 모두 80개 기준을 충족해야 한다. 정보통신서비스부문의 매출이 연간 100억원 이상이거나 일평균 이용자 수가 100만명을 넘는 등 일정요건을 충족하면 중소기업도 의무적으로 ISMS 인증을 받아야 한다. 아이스크림미디어는 매출요건이 충족돼 의무인증 대상에 포함됐다.

아이스크림미디어가 누적 6000만원의 과태료를 감수하면서도 인증을 취득하지 않은 배경에는 적지 않은 인증비용과 준비부담이 있는 것으로 분석된다. ISMS 인증심사 수수료는 일반적으로 800만~1400만원 수준이다. 인증을 신청하려면 KISA가 요구하는 관리체계를 전부 구축한 뒤 최소 2개월 이상 실제 운영해야 한다.

정부는 이런 부담을 고려해 2024년부터 제도를 일부 완화했다. 과학기술정보통신부와 개보위, KISA는 정보통신서비스부문의 매출 300억원 미만 중소기업의 인증심사 수수료를 400만~700만원으로 낮추고 인증기준도 기존 80개에서 40개로 축소했다. 정부의 제도 간편화에도 아이스크림미디어처럼 인증을 받지 않은 의무대상 기업은 현재 20곳에 달한다.

아이스크림미디어의 미인증 사실은 개인정보 유출사고에 대한 개보위의 과징금 산정과정에서 불리한 요소로 반영될 가능성이 있다. 정부가 최소한으로 요구하는 정보보호 관리체계조차 갖추지 않은 상태에서 대규모 유출사고가 발생해서다.

앞서 지난 3월 아이스크림미디어에서는 약 20만건의 개인정보가 유출됐다. 당시 교사회원의 학교명과 주소, 연락처 등 학교정보는 물론 이용자 아이디(ID), 이름, 전화번호, 생년월일, 이메일 주소 등이 외부로 빠져나갔다. 대표 서비스인 '아이스크림S' 이용교사가 약 20만명인 점을 고려하면 사실상 전국 초등교사가 대부분 피해를 본 것으로 추정된다. 아이스크림미디어는 KISA가 먼저 이상징후를 확인하기 전까지 개인정보 유출사실조차 자체적으로 인지하지 못했다.

이훈기 의원은 "대부분 초등교사가 이용하는 교육 플랫폼이 4년째 법정의무인 정보보호 인증조차 받지 않았다는 것은 개인정보 보호에 대한 기업의 안일한 인식을 보여주는 것"이라며 "반복적인 과태료 부과에도 인증의무 위반이 시정되지 않는다면 사실상 법을 지키지 않는 기업에 면죄부를 주는 것 아닌가"라고 지적했다.

아이스크림미디어는 내년 취득을 목표로 ISMS보다 강화된 체계인 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증을 준비 중이라는 입장이다. ISMS-P는 기존 ISMS 기준에 개인정보 보호 관련 요구사항 21개를 추가해 총 101개 기준을 충족해야 하는 인증이다. 심사 수수료도 1000만~1800만원 수준으로 ISMS보다 더 높다.

아이스크림미디어 관계자는 "정보보호 관리체계의 중요성을 인식하고 관련법령과 기준에 따라 정보보호 수준을 지속적으로 점검한다"며 "개보위의 조사결과를 바탕으로 필요한 개선조치를 성실히 이행하겠다"고 말했다.