2013.06.20(목)
실시간속보
KISA, KT 개인정보보호관리체계(PIMS) 인증 취소
관련기사
- KT “망분리 가상화로 해킹 재발방지에 총력”
- 불법 텔레마케팅 신고 제도 실시…합법? 불법? 어떻게 구별할까
- 옥션에 이어 넥슨도 무혐의…KT도 무혐의 될까?
- 검찰, KT 해킹한 텔레마케팅 업체 대표 구속기소
- 방통위 “KT 과실여부 조사 중”
- KT “모든 데이터 암호화”…업계 “KT-협력업체 간 보안 약했나?”
- 경실련 “KT, 개인정보 유출 고객에게 즉각 보상해야”
- ‘KT, 고객정보 전량 회수’… 네티즌 “어느 정도 신뢰할 수 있나”
- KT 고객정보 해킹사건 개요
- 경찰 “KT 과실여부 수사할 것”
- KT, 해킹으로 개인정보 870만 건 유출…용의자는 검거
- 17일 인증위원회 의결…KISA, 21일 확정 통보
[디지털데일리 이유지기자] 870만명의 고객 개인정보를 유출한 KT가 취득한 개인정보보호관리체계(PIMS) 인증이 취소됐다.
인증기관인 한국인터넷진흥원(KISA)은 21일 오후 KT에 PIMS 인증이 취소됐다고 통보했다. KT에 PIMS 인증서를 발급한 지 한 달여 만으로, PIMS 제도가 시행된 이후 처음 발생한 사례다.
KISA는 지난달 27일 경찰 수사 발표로 KT 해킹 사실이 알려진 지 20여일만인 이달 17일 인증위원회를 열고 KT의 인증 취소 안건을 의결했다.
이번 KT 인증이 취소가 결정된 주요 사유는 ▲인증 취득 과정에서 침해사고를 인지하고도 알리지 않은 점 ▲중요 정보자산 등의 인증범위의 일부 누락 및 보완조치 결과와 실제 운영 여부가 다른 점 ▲인증 유지에 필요한 인증기준 미 준수사항 발견 등이다. 인증위원회와 KISA는 이를 토대로 KT의 개인정보보호관리체계에 심각한 결함이 있다고 판단했다.
KT는 지난달 13일 해킹 사실을 처음 인지하고 경찰에 바로 신고했지만 방송통신위원회와 KISA에는 5일이 지난 18일에 알리면서, PIMS 인증이 무산되지 않도록 고의로 신고 시점을 늦췄다는 의혹을 샀다.
인증위원회와 KISA는 KT가 거짓이나 부정한 방법으로 PIMS 인증을 받았고, 인증 유지에 필요한 지속적인 개인정보보호관리체계가 미흡하다고 판단한 것으로 풀이된다.
개인정보유출 사고 직후 방통위는 KISA와 실태조사반을 꾸렸다. 현재 방통위의 실태조사는 완료된 상태로, 조만간 KT의 과실이나 관련법 위반 여부를 판단해 위원회를 거쳐 행정처분 여부도 결정할 예정이다.
하지만 KT측은 “이미 작년 12월에 심사를 받기 시작해 3월에 모두 마쳤다”며 PIMS 인증은 별개라는 입장이다.
KT 정보보안·개인정보보호 책임자인 이상용 상무는 “인증범위 일부 누락, 보완조치 결과와 실제 운영 여부와 다른 점, 인증기준 미 준수사항 등 인증 취소 사유가 모두 납득되지 않는다”며, “구체적인 답변을 KISA에 요구했다. 하지만 현재 KISA에서는 구체적으로 알려줄 수 없다고 말하고 있다”고 밝혔다.
이 상무는 “지난해 1월 PIMS 인증 신청서를 제출, 12월에 심사를 받아 결함 보완조치 확인 심사까지 작년 3월에 완료했다”며, “당시 열린 인증위원회에서 KT의 PIMS 인증이 ‘적합하다’는 결론이 내려졌다”고 설명했다.
이어 “다만 당시에 위치정보 유출 이슈가 제기돼 조건부 인증을 받았고, 유보돼 오다 방통위의 LBS 서비스 관련 행정처분 사전통보 후에 KISA에 추후심사시 PIMS 인증 범위에 포함하겠다고 전달해 7월에 최종 발급받은 것”이라고 덧붙였다.
PIMS 인증은 일정 수준 이상의 개인정보보호조치 체계를 구축한 기업에 부여한다. 인증을 획득한 기업은 개인정보유출 사고 발생시 과징금이 감면되고, 개인정보보호조치 노력을 일정부분 인정받을 수 있다.
관련업계과 전문가들은 KT의 이번 PIMS 인증 취소가 “해킹 사실을 숨기고 인증을 받았으니 당연하다”는 반응과 “PIMS 인증 신뢰성을 갉아먹는 일이 될 것”이라는 엇갈린 반응을 나타내고 있다.
<이유지 기자> yjlee@ddaily.co.kr
[디지털데일리 이유지기자] 870만명의 고객 개인정보를 유출한 KT가 취득한 개인정보보호관리체계(PIMS) 인증이 취소됐다.
인증기관인 한국인터넷진흥원(KISA)은 21일 오후 KT에 PIMS 인증이 취소됐다고 통보했다. KT에 PIMS 인증서를 발급한 지 한 달여 만으로, PIMS 제도가 시행된 이후 처음 발생한 사례다.
KISA는 지난달 27일 경찰 수사 발표로 KT 해킹 사실이 알려진 지 20여일만인 이달 17일 인증위원회를 열고 KT의 인증 취소 안건을 의결했다.
이번 KT 인증이 취소가 결정된 주요 사유는 ▲인증 취득 과정에서 침해사고를 인지하고도 알리지 않은 점 ▲중요 정보자산 등의 인증범위의 일부 누락 및 보완조치 결과와 실제 운영 여부가 다른 점 ▲인증 유지에 필요한 인증기준 미 준수사항 발견 등이다. 인증위원회와 KISA는 이를 토대로 KT의 개인정보보호관리체계에 심각한 결함이 있다고 판단했다.
KT는 지난달 13일 해킹 사실을 처음 인지하고 경찰에 바로 신고했지만 방송통신위원회와 KISA에는 5일이 지난 18일에 알리면서, PIMS 인증이 무산되지 않도록 고의로 신고 시점을 늦췄다는 의혹을 샀다.
인증위원회와 KISA는 KT가 거짓이나 부정한 방법으로 PIMS 인증을 받았고, 인증 유지에 필요한 지속적인 개인정보보호관리체계가 미흡하다고 판단한 것으로 풀이된다.
개인정보유출 사고 직후 방통위는 KISA와 실태조사반을 꾸렸다. 현재 방통위의 실태조사는 완료된 상태로, 조만간 KT의 과실이나 관련법 위반 여부를 판단해 위원회를 거쳐 행정처분 여부도 결정할 예정이다.
하지만 KT측은 “이미 작년 12월에 심사를 받기 시작해 3월에 모두 마쳤다”며 PIMS 인증은 별개라는 입장이다.
KT 정보보안·개인정보보호 책임자인 이상용 상무는 “인증범위 일부 누락, 보완조치 결과와 실제 운영 여부와 다른 점, 인증기준 미 준수사항 등 인증 취소 사유가 모두 납득되지 않는다”며, “구체적인 답변을 KISA에 요구했다. 하지만 현재 KISA에서는 구체적으로 알려줄 수 없다고 말하고 있다”고 밝혔다.
이 상무는 “지난해 1월 PIMS 인증 신청서를 제출, 12월에 심사를 받아 결함 보완조치 확인 심사까지 작년 3월에 완료했다”며, “당시 열린 인증위원회에서 KT의 PIMS 인증이 ‘적합하다’는 결론이 내려졌다”고 설명했다.
이어 “다만 당시에 위치정보 유출 이슈가 제기돼 조건부 인증을 받았고, 유보돼 오다 방통위의 LBS 서비스 관련 행정처분 사전통보 후에 KISA에 추후심사시 PIMS 인증 범위에 포함하겠다고 전달해 7월에 최종 발급받은 것”이라고 덧붙였다.
PIMS 인증은 일정 수준 이상의 개인정보보호조치 체계를 구축한 기업에 부여한다. 인증을 획득한 기업은 개인정보유출 사고 발생시 과징금이 감면되고, 개인정보보호조치 노력을 일정부분 인정받을 수 있다.
관련업계과 전문가들은 KT의 이번 PIMS 인증 취소가 “해킹 사실을 숨기고 인증을 받았으니 당연하다”는 반응과 “PIMS 인증 신뢰성을 갉아먹는 일이 될 것”이라는 엇갈린 반응을 나타내고 있다.
<이유지 기자> yjlee@ddaily.co.kr
-
IT언론의 새로운 대안-디지털데일리
Copyright ⓒ 디지털데일리. 무단전재 및 재배포 금지
리홈쿠첸, 전기밥솥 면세점 판매 쿠쿠전자 위협
