통신사, 카드사, 포털 등 주요 민간 기업에 대한 연쇄적인 해킹 사태가 이어지면서, 한국이 자랑해온 ‘ICT(정보통신기술) 강국’의 명성이 보안 부문에서는 허상으로 드러나고 있다는 지적이 커지고 있다. 정부는 뒤늦게 범부처 합동 대응에 나섰지만, 분산된 조직 구조와 미흡한 제재 시스템으로는 근본적인 문제 해결이 어렵다는 목소리가 높다.

과학기술정보통신부와 금융위원회는 지난 9월 19일 해킹 피해에 대응하기 위한 긴급 합동 브리핑을 통해 각 부처와 국가안보실 주도로 대응 체계를 강화하겠다고 밝혔다. 그러나 이번 롯데카드와 KT 등에서 드러난 개인정보 대량 유출 사태는 기업 자체의 보안 역량 부족뿐만 아니라, 사고 발생 후에도 신고가 지연되거나 축소되었던 점에서 시스템상의 구조적 허점이 다시금 드러난 사례로 평가된다.

현행 체제에서는 금융 관련 해킹은 금융위원회 산하 금융보안원이, 공공기관과 안보 관련 사안은 국가정보원이, 민간 일반 보안 사고는 한국인터넷진흥원이 각각 대응하고 있다. 그러나 이처럼 영역별로 대응 주체가 분산돼 있는 구조는 전체적인 사이버 보안 역량을 떨어뜨릴 수 있다는 점에서, 미국·영국 등 주요국처럼 통합된 보안 컨트롤 타워의 필요성이 꾸준히 제기돼왔다. 미국은 국토안보부 산하에 사이버·인프라 보안국(CISA)을 운영하고 있으며, 영국도 정보기관에 소속된 사이버 보안 센터를 바탕으로 국가 차원의 대응 체계를 유지하고 있다.

또한 현재 한국 내 기업들이 해킹 사고 후 이를 은폐하거나 늑장 신고했을 경우에도 받는 처벌은 실효성이 거의 없다는 비판도 나온다. 정보통신망법상 해킹 발생 24시간 이내 당국에 신고해야 하지만 이를 어겨도 최대 과태료는 3천만 원 수준에 불과하다. 실제로 지난 1년간 규정 위반 사례가 66건에 이르렀으며, KT는 서버 해킹 사실을 인지한 지 3일 뒤, 롯데카드는 무려 6일이 지나서야 신고한 것으로 밝혀졌다. 이 과정에서 유출된 고객 정보 규모를 축소 발표하거나 은폐했다는 의혹도 제기됐다.

반면 미국, 유럽 등 선진국에서는 기업의 개인정보 유출에 대해 징벌적 손해배상을 포함한 강력한 행정 제재를 가하고 있다. 미국 연방거래위원회는 2019년 페이스북(현 메타)에 약 6조 원 규모의 과징금을 부과했고, 유럽연합도 별도로 과징금을 부과한 바 있다. 북미 통신사 T-모바일은 개인정보 유출 사태와 관련해 약 4천억 원의 소비자 보상금 지급 외에도 보안 강화에 약 2천억 원의 투자를 약속하는 등 후속 조처를 취했다.

이러한 흐름은 한국 기업과 정부도 기존의 ‘사후약방문’식 대응에서 탈피해 보다 강력한 사전 대응 체계와 구조적 통제 시스템 구축에 나서야 함을 보여준다. 중장기적으로는 민간과 공공 전 영역을 아우를 수 있는 사이버 보안 컨트롤 타워 마련이 필요하며, 이에 대한 정치권과 정부의 실질적인 논의가 촉진될 것으로 예상된다.