“공인” 인증 강박의 추억 떠올리는 정보보호관리체계(ISMS) 인증

- ‘NH농협’, ‘아시아나 항공’ 등 개인정보유출기업 다수가 ISMS 인증 받아 실효성도 의문

2015년 12월 개정되어 올해 6월 2일부터 시행중인 “개정 정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 ‘정보통신망법’)”은 ISMS 인증 의무 대상을 의료기관, 학교 등 비영리기관으로 확대하고 과태료 규정을 강화했다. 하지만 ISMS 인증은 전자금융거래법 개정으로 폐지된 공인인증서 강제 사례처럼 정부가 인증한다는 “공인”이라는 꼬리표를 달고 있어 이른바 관치 보안의 폐해를 반복할 우려가 크다. 공인인증서 사용 강제의 폐해를 반면교사로 삼아 정부가 주도하여 인증 자체에 직접 관여하는 정책을 전면 수정해야 한다.

2001년 도입되어 2013년 의무화된 정보보호 관리체계(ISMS, Information Security Management System) 인증 제도는 기업(조직)이 각종 위협으로부터 주요 정보자산을 보호하기 위해 수립ㆍ관리ㆍ운영하는 종합적인 체계의 적합성에 대해 인증을 부여하는 제도로서 한국인터넷진흥원(KISA)이 관리하고 있다. 그동안은 정보통신망서비스 제공사업자(ISP), 집적정보통신시설 사업자(IDC), 그리고 정보통신서비스 제공자 등 주로ICT 기업 중에서 일정 규모(전년도 매출액 100억원 이상 또는 3개월간 일일평균 이용자 수 100만명 이상) 이상의 기업이 의무 대상이었는데, 작년 12월 정보통신망법 개정으로 세입이 1,500억 이상인 의료법상 상급종합병원 및 고등교육법상 재학생수 1만명 이상인 학교로 ISMS 인증 의무 대상이 확대된 것이다. 또한 의무 대상자 중 미인증 사업자에 대한 과태료도 현행 1000만원에서 3000만원으로 상향되었다.

관치 보안의 문제는 이미 오픈넷이 오랫동안 비판해 온 공인인증서 사례에서 여실히 드러났다. 즉, 정부가 “공인”한다는 정부 주도 인증 문제의 핵심은 민간 전문가들이 주도하는 기술이나 인증 제도의 발전을 저해한다는 점이고, 이는 실제 인증되는 내용이나 실질과 무관하게 국가가 인증한다는 취지의 “공인”이라는 어휘 자체에서 그대로 드러난다.

우선 정부가 고도의 전문성이 요구되는 ISMS 인증 제도를 제대로 운영할 수 있는지부터 의문이다. 실제로 2014년 국정감사에서 ISMS 인증을 받은 254개의 기업 중 정보유출 사고가 무려 30개 기업에서 발생하였다는 점이 드러난 바 있고, 여기에는 사회적 파장이 큰 NH농협이나 KT 등 개인정보나 개인신용정보가 다수 집적된 기업이 포함되어 있다. 불과 며칠 전에는 ISMS 인증을 받은 아시아나 항공의 웹사이트에서 이용자들의 개인정보가 무방비로 노출될 수 있는 시스템 오류가 발견되기도 했다. 날로 발전하는 정보통신 환경에서 정보보호체계 내지 보안시스템의 구축은 그 어느 때보다도 중요하지만, ISMS 인증처럼 정부가 최종 인증 권한 자체를 보유하고 운용하는 제도는 부작용이 훨씬 크다. 급변하는 보안 시장과 하루가 다르게 발전하는 기술을 정부와 보수적인 규제가 따라가거나 앞서가기를 바랄 수 없기 때문이다.

한편 금융사가 이용자에게 공인인증서 등의 사용을 강제한 경우 금융사고 발생시 금융사 면책을 용이하게 하는 문제가 있었다. 이와 같이 ISMS 인증을 받았음에도 보안 사고가 발생한 경우, 반대로 정부의 “공인”된 인증을 받았다는 사실만으로 쉽게 면책을 받게 된다면 그 피해가 고스란히 이용자에게 전가될 우려가 있다. 또한 공인인증서 커넥션 처럼 ISMS인증이 ”공인” 인증 체제를 유지하는 이상 담당 부처와 심사기관을 중심으로 하는 카르텔이 형성되어 제도를 더욱 공고히 할 우려도 지우기 어렵다.

이처럼 정부가 최종 인증 권한을 보유하고 내용 심사를 주도하는 이른바 “공인” 인증의 강제는 우리나라에만 존재하는 갈라파고스 규제로, 스타트업이나 중소기업에게는 진입장벽이 될 뿐만 아니라 국내 기업에게만 이중, 삼중의 부담을 안겨 역차별을 초래한다. 미국, 캐나다 등 IT 선진국 중에 국가가 주도하여 보안 인증을 강제하는 나라는 찾기 어려우며, 이들 국가에서는 민간 전문가들이 참여하여 국제적으로 공신력을 획득한 ISO 27001, PCI-DSS 등의 인증을 이용한다. 물론 현 정보통신망법에서 ‘국제표준 정보보호 인증’, 즉 ISO 27001을 받은 경우에는 인증 심사의 “일부”를 생략할 수 있다고 하여 부담을 덜어준 것 같아 보이나, ISMS 인증의 대체를 인정한 게 아니기 때문에 결과적으론 달라진 게 없다. 정부가 주도하는 ISMS 인증이 ISO 27001 보다 특별히 더 우수하다는 점도 밝혀진 바 없으며, 오히려 인증의 품질에 대해 지적하는 목소리도 있다.

더욱이 ISMS 인증은 통상 준비부터 인증까지 약 6개월 이상이 소요되고, 인증 신청을 위해서도 최소 2개월 이상의 운영 기간이 필요하다. 게다가 ISMS 인증 비용만으로도 최소 수천만원에서 수억원이 들어간다. 그런데 해외진출을 꿈꾸는 ICT 기업들은 국내에서만 인정되는 ISMS 인증 보다는 국제적인 보안 인증을 선호할 수밖에 없고, 결국 중복적으로 인증을 받아야 하는 것이 현실이다.

정부 주도의 “공인” 인증 강박의 추억은 공인인증서 사례에서 이미 충분히 경험하지 않았는가? 정부는 인증 권한을 민간 전문가에게 양보하고 사후적 관리자의 역할만 수행하는 민간 주도의 보안 인증 제도로의 개선을 촉구한다.

2016년 7월 19일

사단법인 오픈넷

 * 관련 논평: 개정 전자금융거래법 국회 본회의 통과를 환영하며 금융당국의 기술중립, 사후규제 원칙 구현을 촉구한다.

문의: 오픈넷 사무국 02-581-1643, master@opennet.or.kr

카카오가 페이스북보다 잘한 한 가지

카카오, 페이스북 보다 이용자 권리를 가장 잘 보호하는 기업으로 평가 받아

글 | 김가연(오픈넷 변호사)

지난 11월 3일 월요일, RDR(Ranking Digital Rights) 프로젝트는 2015 기업책임지수(Corporate Accountability Index)를 온라인에 공개했다. 이번에 처음으로 발표된 기업책임지수는 인터넷·통신 기업이 이용자의 표현의 자유와 프라이버시를 보호하기 위해 얼마나 노력하는지를 평가해 객관적인 수치로 보여주고 한 최초의 시도로서 의미가 크다.이번 지수 산정을 위해 전 세계 수십억 명의 디지털라이프에 큰 영향을 미치는 총 16개 기업에 대한 평가가 이루어졌다. 지리적 요소 및 다양성, 이용자 기반, 기업 규모, 시장 점유율 등을 포함한 다양한 요소들에 의해 인터넷 기업 8개사와 통신 기업 8개사가 선정되었다. 인터넷 기업 8개사 중 5개사가 미국 기업이었으며, 그 외의 지역에서는 한국의 카카오, 중국의 텐센트, 러시아의 Mail.ru가 선정되었는데, 카카오가 세계적인 인터넷 기업들과 어깨를 나란히 하게 된 것은 한국의 인터넷 환경에 대한 국제적 관심을 여실히 보여준다.

이렇게 선정된 16개 기업들은 헌신(Commitment), 표현의 자유(Freedom of expression), 프라이버시(Privacy) 세 개의 분야에 걸친 31개의 지표에 의해 평가되었다. 동 지표들은 국제인권법 체계와 프라이버시 및 표현의 자유에 관한 최신 국제 원칙들을 바탕으로 만들어졌으며, 각 지표는 다시 100여개의 세부 평가요소로 나뉘어 각 지표의 모든 세부 평가요소를 만족시켜야만 해당 지표에 대해 만점(full credit)을 주는 방식으로 매우 까다롭게 심사가 이루어졌다.

RDR에 의하면, 상당수의 기업이 이용자의 권리에 영향을 미치는 자사 정책에 대해 투명하게 공개하지 않았다. 또한 높은 순위를 차지한 기업들조차도 일부 지표에서는 아예 점수를 받지 못했으며, 이사급(board) 전반에서 이용자의 표현의 자유와 프라이버시의 보호에 대한 고려를 대외적으로 언급하는 경우가 거의 없는 것으로 나타났다. 총 득점 가능한 점수 중 최소 50% 이상을 득점한 기업은 6개사 밖에 없었고, 최고 점수는 겨우 65%로 우수하다고 하기 어려우며, 거의 반 이상의 기업이 25% 이하의 점수를 받아 이용자의 권리를 거의 고려하지 않고 있음이 드러났다.

인터넷 기업 중에서는 구글(65%), 통신사 중에서는 영국 회사인 보다폰(54%)이 가장 높은 점수를 받았다. 카카오는 47%를 받아 인터넷 기업 중에서는 트위터(50%) 다음으로 5위, 전체 16개사 중에서는 7위를 해, 미국(구글, 야후, 마이크로소프트, 트위터, AT&T)과 영국(보다폰) 기업을 제외하면 이용자 권리를 가장 잘 보호하는 기업으로 평가받았다. 카카오의 경우 다음 한메일, 다음 검색, 카카오톡 세 가지 서비스에 대해 평가가 이루어졌는데, 전반적으로 프라이버시(42%, 16개사 중 7위) 보다 표현의 자유(59%, 16개사 중 2위) 보호 점수가 월등하게 높았다. 또한 비서구권 기업 중에서 표현의 자유 및 프라이버시에 대한 헌신 정도와 정보 공개 수준이 눈에 띄게 높았고, 31개의 지표 중 8개의 지표(F2, F3, F4, F8, P2, P3, P4, P13)에서는 전체 1위를 차지했다.

이렇게 카카오가 전반적으로 선전할 수 있었던 이유는 올해 1월부터 발표한 투명성 보고서의 힘이 컸다고 보인다. RDR은 “한국의 인터넷은 지난 10월 발표된 프리덤하우스의 2015년 인터넷 자유 지수에서 ‘부분적 자유(partly free)’로 분류되었지만, 강한 시민사회와 활발한 언론, 그리고 경쟁적인 정치 체계로 인해 국민이 특히 감시 분야에 있어 정부와 기업의 보다 높은 투명성을 요구”하게 되었다고 평가했다.

RDR 프로젝트의 총괄책임자인 레베카 맥키넌(Rebecca McKinnon)은 “순위를 전반적으로 보면 승자는 없는 게 분명하다”면서, “우리의 희망은 이 지수가 기업 투명성을 높이는 계기가 되어 결과적으로 이용자들이 충분한 정보를 바탕으로 서비스를 선택할 수 있도록 힘을 실어주는 것”이라고 프로젝트의 취지를 설명했다. 또한 지난 11월 9일 있었던 IGF 2015 RDR 세션에서는 카카오에 대해 “매우 잘 하고 있다”고 언급하면서, 앞으로 카카오와 같이 국제적으로는 잘 알려지지 않지만 영향력 있는 기업들을 더 많이 포함시킬 계획이라고 밝혔다.

이번 연구에는 오픈넷의 김가연 변호사가 객원연구원으로 참여했다.

* 위 글은 씨넷코리아에 기고한 글입니다. (2015.11.25.)

윤석열과 박형철, 그리고 이시원과 이문성 검사

지난 6일 발표된 법무부 인사에서 국정원 대선개입사건 담당 검사와 간첩증거 조작사건 담당 검사의 운명이 엇갈렸다.

대선개입 사건 특별수사팀에서 팀장과 부팀장을 맡았던 윤석열 검사(23기)와 박형철 검사(25기)에 대해 각각 대구고검에서 대전고검으로, 대전고검에서 부산고검으로 인사 발령이 났다. 또다시 한직으로 여겨지는 고검으로 발령이 난 것이다.

반면 유우성 씨 간첩사건을 수사지휘하다 조작된 증거를 법정에 냈던 이시원 검사(28기)와 이문성 검사(29기)는 모두 1년 5개월만에 지방고검 탈출에 성공했다. 이시원 검사는 대구고검에서 법무연수원 기획과장으로, 이문성 검사는 광주고검에서 전주지검 부장검사로 인사발령이 났다.

대전고검 발령 2년 만에 다시 부산고검으로 인사 통보를 받은 박형철 검사는 다음날(7일) 사표를 제출했다.

윤석열 검사는 뉴스타파와의 통화에서 “박형철 검사는 서울에 있는 가족과 오랫동안 떨어져 있으면서 힘들어했다”면서 “그런데 현재보다 먼 부산으로 내려보냈기 때문에 가족과 논의 끝에 결정을 내린 것으로 안다”고 말했다.

▲ 왼쪽 위부터 시계방향으로 윤석열, 박형철, 이문성, 이시원 검사

유능했다…그러나 모두 정의롭지는 않았다.

이들 4명의 검사들에겐 공통점이 있다. 좌천성 인사를 받고 지방고검으로 내려가기 전에 징계를 받았다는 사실이다.

윤석열 검사와 박형철 검사는 검사장의 승인없이 국정원 직원에 대한 체포영장을 집행했다는 이유로 각각 정직 1개월과 감봉 1개월의 징계를 받았고, 이시원 검사와 이문성 검사는 유우성 씨 간첩사건에서 조작된 증거를 제대로 확인하지 않고 항소심 재판부에 냈다가 각각 정직 1개월의 징계 처분을 받았다.

또 한 가지 공통점은 이들이 모두 검찰 안팎에서 인정받는 유능한 검사였다는 점이다.

윤석열 검사는 대검 중수부 1.2과장과 서울지검 특수1부장을 지내며 현대차 비자금 사건, 론스타 헐값 매각 사건 등 대형사건을 처리했던 ‘특수통’이었고 박형철 검사는 선거법 분야에서 이시원 검사는 공안기획분야에서 검찰조직으로부터 능력을 인정받으며 기수 동기들 중에서도 에이스급으로 꼽히던, 속된 말로 ‘잘 나가는’ 검사였다.

그러나 이들이 맡았던 사건의 성격은 서로 달랐다.

대선개입 사건은 파고들수록 권력자를 불편하게 만들었고, 유우성 씨 간첩증거 조작사건은 어떻게든 검사의 잘못을 최소화해야 검찰이나 국정원의 체면을 살릴 수 있는 사건이었다.

또한 수사 검사의 의지도 판이했다. 윤석열 검사와 박형철 검사는 국정원이라는 권력기관의 불법 행위에 대해 좌고우면하지 않고 법대로 처리하려고 했다. 특별수사팀을 지원하는 대신 권력자의 눈치를 보며 오히려 국정원을 옹호하는 장관과 맞서 싸웠다.

그러나 이시원 검사와 이문성 검사는 국정원 직원의 증거 조작이라는 불법 행위를 처음부터 끝까지 애써 눈감아주려고 했다. 자신들이 수사를 지휘하고도 증거 조작을 부인했고, 증거 조작 사실이 확연히 드러나자 증거 조작에 가담했거나 방조했다는 의혹으로부터 빠져나가기 위해 무던히도 애를 씀으로써 검찰 조직을 보호했다.

그 결과 지방고검으로의 문책성 전보 이후, 이번 인사에서 이들의 운명은 갈렸다.

“찍히면 끝이라는 인식 검찰 내부에 팽배”

검찰 내부 사정에 밝은 검사 출신의 한 변호사는 “고검에서 고검으로 이동하는 경우가 전혀 없는 것은 아니지만 그런 경우는 보통 기수가 높아서 검찰에서 나가야 하는데 자진해서 안 나가는 검사들의 경우지 박형철 검사처럼 한창 일할 나이의 능력있는 검사가 2번씩이나 지방고검을 떠도는 것은 상식적으로 이해하기 힘들다”고 말했다.

또 “이시원, 이문성 검사의 경우 이번 인사가 혜택이라고 볼 수는 없으나 법무연수원은 한번은 들러야 되는 곳이고, 고검에서 지검 부장검사로 갔다는 것은 현장에서 일할 기회를 주었다는 점에서 어느 정도 배려는 해주었다고 봐야할 것”이라고 해석했다.

윤석열 검사는 “내 인사는 어차피 이렇게 날 것으로 예상했지만 박 검사의 경우는 최소한 서울고검이나, 아니면 지방 차장검사 정도는 갈 것이라는 의견이 검찰 내부에서도 많았고 박 검사 본인도 그렇게 예상했다. 무슨 비리가 있었던 것도 아니고 장관의 지시가 위법하다고 본 팀장의 지시에 부팀장으로서 따라온 것 뿐인데 너무 가혹할 뿐 아니라 납득하기 힘든 인사”라고 평가했다.

박형철 검사는 검찰 내부통신망인 ‘이프로스’에 사직의 변도 올리지 않았다. 오랫동안 검찰에 몸담았던 검사들은 조직을 떠나면서 쓴소리든 단소리든 내부통신망에 소회를 밝히는 것이 일반적이다. 윤 검사는 “글을 올리게 되면 동료, 후배 검사들이 그 글에 대해 댓글을 달아도 부담이고 안 달아도 부담이 되는 상황이 현재 검찰 분위기라며 그런 이유 때문에 박 검사가 아무런 글도 남기지 않은 것으로 안다”고 전했다.

이프로스에는 2013년 징계 때와는 달리 이번 인사에 대해 성토하는 글이 현재까지 단 1건도 올라와 있지 않다. 한 변호사는 “청와대에 파견됐던 검사들이 이번 인사를 통해 다시 승승장구하는 모습을 보면서 괜히 한마디 했다가 찍히면 끝장난다”는 인식이 검찰에 팽배해 있다고 말했다.