[비즈니스포스트] KT가 지난해 펨토셀 해킹을 통한 개인정보 유출과 무단 소액결제 사고 이후 보안조직 개편과 투자·인력 확대에 나선 가운데 올해 국정감사에서 정보보호 쇄신책의 실효성을 본격 검증받을 것으로 예상된다.

올해 국감은 사고 책임을 다시 묻는 데 그치지 않고, 이동통신망 보안 취약점 개선과 개인정보보호위원회 권고 이행 여부를 점검하는 성격이 강할 것으로 보인다.

이러한 조치의 이행 성과는 KT의 재발 방지 역량과 고객 신뢰 회복 가능성을 가늠하는 기준이 될 것으로 전망된다.

1일 통신 업계 취재를 종합하면 국회 과학기술정보방송통신위원회는 오는 6일 과학기술정보통신부 국정감사에 이상운 KT 정보보안실장(CISO) 전무를 증인으로 부른다.

KT는 통일TV 송출 중단 보상 문제로 박현진 미디어커머스 총괄 부사장과 김병진 미디어사업본부장도 국감 증인으로 출석 요구를 받았다. 두 사람은 10월12일 방송미디어통신위원회 국정감사에서 관련 질의를 받는다.

다만 지난해 개인정보 유출과 무단 소액결제 피해로 이어진 보안 사고의 중대성을 고려하면 올해 KT 국감에서는 사고 이후 보안 쇄신이 실제 재발 방지 체계로 이어졌는지가 더 중요한 검증 대상이 될 것으로 보인다.

의원들은 이 실장을 상대로 침해사고 이후 정보보호 체계와 보안 투자·인력 운영, 통신망 침해사고 예방과 이용자 보호 대책 등을 집중 점검할 것으로 예상된다.

지난해 사고에서 KT 내부망의 기본적 접근통제 허점이 드러났다.

개인정보보호위원회 조사 결과 KT는 인가된 펨토셀 여부를 확인하는 셀 ID와 내부망 접속 IP를 제대로 통제하지 못했다.

이로 인해 비인가 펨토셀의 우회 접속을 탐지하지 못하면서 1만6647명의 개인정보가 유출됐고, 368명에게 약 2억4천만 원의 무단 소액결제 피해가 발생했다.

개인정보위는 KT에 과징금 539억7900만 원을 부과하고, 무선통신망 장비의 취약점 점검과 접근통로 강화를 명령했다. 

또 개인정보보호 관리체계(ISMS-P) 인증 범위를 이동통신 네트워크 시스템까지 확대하도록 권고하기도 했다.

KT는 사고 이후 기존 IT·네트워크·미디어 등으로 분산돼 있던 보안 기능을 CISO 중심으로 통합하고, 정보보호 투자와 전문인력을 확대했다.

사고 발생 뒤 수습하는 방식에서 벗어나 이상 징후를 사전에 탐지하고, 취약점을 상시 점검하는 예방 중심 보안체계 구축에도 나섰다.

이에 이번 국감에서는 투자 규모나 조직개편 자체보다 지난해 사고에서 드러난 취약점이 실제로 해소됐는지가 핵심 검증 대상이 될 것으로 보인다.

셀 ID와 펨토셀 인증체계, 내부망 접속 통제와 이상접속 탐지 기능을 얼마나 개선했는지가 주요 점검 사항이다. 

개인정보위가 권고한 이동통신 네트워크까지 ISMS-P 인증 범위를 확대하는 작업의 진행 상황도 확인할 것으로 예상된다. 악성코드 침해사고에 대한 신고·대응 체계도 쟁점이 될 것으로 전망된다.

개인정보위는 조사 과정에서 2024년 3월 KT 서버 38대가 악성코드에 감염되고 일부 임직원과 협력사 직원의 개인정보가 유출된 정황을 확인했다.

개인정보위는 KT가 감염 사실을 인지하고도 정부에 신고하지 않았고, 침해 서버 일부의 로그를 삭제한 데다 조사 과정에서 거짓 자료 제출과 진술 번복 등 조사 방해 정황이 있었다고 보고 경찰 고발 조치했다.

이에 따라 국감에서는 기술적 보안 조치뿐 아니라 사고 인지 이후 내부 보고와 정부 신고, 로그·자료 보존 체계의 개선 여부도 점검될 것으로 보인다.

익명을 요구한 통신업계 한 관계자는 비즈니스포스트에 “KT는 침해사고 이후 현재의 CISO가 선임된 만큼 이번 국감에서는 사고 당시 책임보다 이후 보안체계 개편과 재발방지 대책의 이행 여부에 질의가 집중될 것”이라고 말했다. 조승리 기자