[IT 칼럼]개인정보 유출이 끊이지 않는 이유

검찰 수사 결과 KB국민카드, 롯데카드, NH농협카드 3개사에서 1억건 이상의 개인정보가 유출된 것으로 알려졌다. 대략적으로 추정되는 피해 인구는 법인과 사망자, 탈퇴자, 일부 중복자 포함 약 1700만명이다. 검찰은 카드 위·변조 및 복제에 의한 부정사용 여지는 없다고 밝혔지만 소비자들의 불안은 사라지지 않았다.

물의를 일으킨 금융기관의 반응도 미온적이기는 마찬가지다. 거창한 기자회견에서 대표가 나와 고개를 숙이고 나서 발표한 피해보상책이 월 300원씩 하는 결제 알림서비스의 무료화다. 생색내기라고 하기에도 무색하다.

고대 함무라비 법전에서는 건물이 무너져 사람이 죽으면 건축자를 사형에 처했다. 로마인들은 다리를 지을 때 완공 전까지 건축자를 다리 밑에서 자게 했고, 영국인들은 한술 더 떠 건축자의 가족까지 모두 자게 했다. 자기가 한 일에 대해서는 스스로 책임을 지게 해, 도덕적 해이를 방지하고 사회적 리스크를 관리한 것이다.

게다가 국민 다수를 분노케 하는 건 이게 처음 일어난 일이 아니란 것이다. 개인정보 대량 유출은 잊을 만하면 나타나는 악몽이었다. 따라서 이번 문제의 책임은 해당 금융기관에만 있지 않다. 이들이 이렇게 무성의하게 금융보안을 하고, 무책임하게 사건 대응을 할 수 있는 인센티브를 만들어낸 정부 당국에도 책임이 있다.

손경익 NH농협카드 분사장, 박상훈 롯데카드 사장, 심재오 KB국민카드 사장(왼쪽부터)이 대규모 개인정보 유출 사태에 관해 공동기자회견을 열어 사과를 하고 있다. | 정지윤기자

이러한 문제 인식은 한국 금융보안의 핵심인 공인인증서 의무 사용을 짚고 넘어가지 않을 수 없게 만든다. 사소한 결제 하나만 해도 막대한 정신적 스트레스를 안겨주는 이 금융보안 시스템의 대전제는 ‘안전’이다. 그런데 이 안전하다는 시스템이 자꾸 개인정보 대량 유출을 방조한다는 것은 이론적으로 따질 필요도 없이 경험적으로도 시스템의 취약성을 보여준다.

이유는 명확하다. 공인인증서 의무 사용은 고객보다는 금융기관을 위한 것이기 때문이다. 금융기관은 공인인증서 설치만 강제하면, 전자금융거래법·전자서명법 등이 정한 보안 요건을 만족한다. 따라서 추가적인 보안 투자를 할 인센티브가 없다. 나아가 공인인증서는 설치한 사람, 즉 고객이 보안 책임을 갖는다.

구글·아마존 등 해외에서 사용하는 표준 보안방식은 웹사이트와 인증기관이 공조해 보안정책을 마련한다. 따라서 보안 책임은 개인정보를 수집한 사이트 및 기관에 있다. 그러나 전자인감의 한 종류인 공인인증서는 개인이 사용하는 컴퓨터를 통해 보안이 이뤄져 금융기관이 보안 책임을 갖지 않는 빌미를 마련해 준다.

금융기관은 공인인증서 의무 사용이란 기존의 룰만 따르면 보안 투자를 하지 않아도 되고 문제가 생겨도 책임을 지지 않아도 되는 셈이다. 따라서 이번에도 사과하는 척만 하고 넘어갈 가능성이 크다. 법과 제도가 자신들에게 유리하니 집단소송에서 붙어도 크게 걱정되지 않는다.

2008년 옥션, 2011년 네이트·싸이월드 개인정보 대량 유출에 대해서도 법원은 기업에 책임이 없다고 했다. 금융감독원이 압력을 넣어 관련자 문책을 할 수도 있겠지만, 그건 언론 플레이지 근본적 대책과는 관계가 없다.

IT 칼럼 구독

함무라비의 법전과는 정반대로, 건물을 대충 짓고 설사 건물이 무너져도 책임을 지지 않도록 법과 제도를 만들어놓고는 의식 각성을 촉구해 봤자 무효하다. 제도적으로 도덕적 해이를 방조하는 문제의 원인, 공인인증서 ‘의무’ 사용이 바뀌지 않는 한, 개인정보 대량 유출 사태는 또 다시 반복될 것이다.

<김재연 ‘누가 한국의 스티브 잡스를 죽이나’ 저자>