국민 데이터 대규모 처리기관 95%, 안전조치 미흡 시정권고

개인정보보호위원회가 국민 데이터를 대규모로 처리하는 집중관리시스템 운영기관에 대한 안전조치 의무이행 정도를 점검한 결과 대부분 기관이 시정 권고 조치를 받았습니다.

개인정보위는 21일 이런 내용을 담은 공공분야 집중관리시스템 전수점검 결과를 공개했습니다.

점검대상은 국민신문고, 홈택스 등 57개 집중관리시스템을 운영하는 38개 기관으로, 이 중 36개(94.7%) 기관이 강화된 안전조치 의무이행이 미흡해 시정 권고를 받았습니다.

강화된 안전조치 의무는 시스템 관리체계, 접근권한 관리, 접속기록 점검, 인력 및 시스템 등 4개 분야 10대 과제로 구성돼 있습니다.

개인정보위는 2024년 9월 이런 안전조치 의무 이행을 담은 조치에 나섰습니다.

2023년부터는 매년 의무 이행실태를 집중 점검해 왔습니다.

국세청과 한국부동산원 등 2곳은 강화된 안전조치를 모두 이행한 것으로 평가됐습니다.

주택소유확인시스템을 운영하는 국토부는 내부관리계획상 이상 행위 기준을 구체적으로 설정하고, 시스템 특성을 반영해 수탁기관, 이용기관 등 협의회 참여기관을 명시했습니다.

세정업무포털을 관리하는 국세청은 부적정으로 판단된 접속기록에 대해 1차 소명을 요구하되, 형식적 입력을 방지하기 위해 최종 부적정으로 판명된 경우 징계·고발 등과 연계하는 등 실효적으로 운영한 점이 좋은 평가를 받았습니다.

최근 3년간 공공분야의 안전조치 의무 이행률은 전반적으로 향상된 것으로 평가됐습니다.

이 기간 '개인정보보호 협의회 설치·운영' 과제 이행은 34%에서 91%로, '안전조치 방안 수립'도 48%에서 95%로 개선됐습니다.

'비공무원 계정발급 절차 도입'(68→90%), '인사정보 연계'(34→72%) 과제 이행도 각각 올랐습니다.

다만, '이용기관 접속기록 점검'(45→58%), '이상행위 탐지'(52→70%) 과제 이행은 개선되고 있으나, 기능 도입에 필요한 예산확보 어려움 등으로 다른 분야에 비해 점진적인 개선 추세를 보였다고 개인정보위는 전했습니다.

개인정보위는 3년간 전수점검 결과를 바탕으로 내년부터 '공공기관 보호수준 평가'를 통해 상시 점검할 방침입니다.

아울러 최근 발생한 국가정보자원관리원 대전센터 화재 이후 관련 기관에 '개인정보 안전관리 특별컨설팅 지원계획'을 안내하고 자가 진단 체크리스트를 배포해 컨설팅 신청을 받고 있습니다.

개인정보위는 현재 한국장례문화진흥원(e하늘장사정보시스템)과 한국사회보장정보원(디지털돌봄시스템 등 3개 시스템) 등 2개 기관으로부터 신청받아 시스템 백업 및 복구 계획, 외부 불법 접근 등에 대한 컨설팅을 진행하고 있습니다.

(사진=개인정보보호위원회 제공, 연합뉴스)