[더팩트ㅣ문화영 기자] 서울시 공공자전거 '따릉이'에서 약 462만 명의 개인정보가 유출된 사실이 뒤늦게 알려지면서 공공서비스 전반의 개인정보 보호 체계가 도마 위에 올랐다. 특히 서울시가 최근 '개인 맞춤형' 정책을 추진하며 시민 데이터를 활용한 공공서비스를 잇달아 확대하고 있는 만큼 이번 사고를 계기로 공공 플랫폼 전반의 보안 수준을 재점검해야 한다는 목소리가 나온다.
26일 서울시에 따르면 서울시설공단은 따릉이 개인정보 유출 피해 이용자 약 462만 명에게 5000원 상당의 따릉이 30일 정기권을 지급한다. 서울시는 최근 민간기업 개인정보 유출 사고에서 5000~2만 원 상당의 쿠폰이나 구독권을 지급한 사례를 참고해 보상 수준을 결정했다고 설명했다.
앞서 2024년 6월 따릉이 서버를 대상으로 분산서비스거부(디도스·DDoS) 공격이 발생했으며 같은 해 7월 KT클라우드 서버 관리 용역업체는 개인정보 유출 정황이 담긴 보고서를 공단에 전달했다. 그러나 공단은 서울시에 보고하지 않았고 시는 올해 1월 서울경찰청이 관련 정황을 통보한 뒤에야 사실관계 확인에 나섰다. 이에 단순 해킹 사고를 넘어 대응 체계와 관리·감독에 허점이 드러났다는 지적이 제기됐다.
공단은 현재 웹 취약점 보완과 이상 접속 모니터링 강화, 정기 보안 진단, 모의 침투 테스트를 진행하고 있다. 외부 전문 보안업체의 컨설팅도 병행 중이다. 서울시 관계자는 "정보보안 담당 부서의 컨설팅을 통해 취약점에 대해 개선 작업 중"이라며 "디도스 대응 장비 보강과 불필요한 개인정보 삭제, 민감 데이터 관리 강화 등을 오는 8월 말까지 완료할 계획"이라고 말했다.
이번 사고는 따릉이만의 문제가 아니라 서울시가 추진하는 공공서비스 전반의 개인정보 보호 체계를 다시 점검해야 한다는 과제를 남겼다. 최근 시민 맞춤형 서비스를 확대하고 AI(인공지능) 기술을 활용해 막대한 양의 시민 데이터를 수합·관리하는 만큼 개인정보 보호 중요성도 커졌기 때문이다.
대표적으로 '손목닥터9988'은 시민의 건강 정보와 활동량 등을 기반으로 맞춤형 건강관리 서비스를 제공한다. 지난달 기준 누적 참여자는 290만 명을 넘어섰으며 연속혈당측정기를 활용한 건강관리 서비스와 '내 손안의 건강주치의', '체중관리 모드' 등을 도입해 질병 위험 예측은 물론 운동·식단 등 추천하는 기능까지 확대될 예정이다.
서울시는 따릉이 개인정보 유출 사고가 알려진 직후인 지난 2월 '손목닥터9988' 운영 부서와 운영업체, 외부 보안 전문가 등이 참여한 자체 보안 점검 회의를 열고 시스템 전반의 보안 수준과 잠재적 위험 요인을 점검했다.
접근통제와 개인정보 암호화, 접속기록 관리, 취약점 점검 등 개인정보 보호법에 따른 기술적·관리적 보호조치를 적용하며 서울시 개인정보 내부관리계획과 개인정보 보호 지침에 따라 관련 업무를 수행하고 있다고 설명했다.
온라인 교육 플랫폼 '서울런'은 학생별 학습 이력과 회원 정보를 기반으로 온라인 학습 콘텐츠와 1대1 멘토링 등을 제공하는 대표적인 맞춤형 서비스다. 올해 지원 대상 확대됨에 따라 이용자가 17만명으로 늘어나면서 학습정보와 회원정보를 안전하게 관리하는 것 역시 중요한 과제로 떠오르고 있다.
서울시 관계자는 "정보보안과 개인정보보호팀이 관련 업무를 총괄하고 사업별 개인정보 보호 담당자를 별도로 지정해 운영하고 있다"며 "관련 법령과 내부 기준에 따라 개인정보 보호 체계를 지속적으로 점검·관리하고 있다"고 말했다.
시민 개개인의 특성에 맞는 서비스를 제공하기 위해 활용되는 개인정보의 범위도 점차 넓어지는 가운데 전문가들은 건강정보와 학습정보, 향후 결제정보 등 다양한 데이터가 공공서비스에 축적될수록 개인정보 보호 체계 역시 강화돼야 한다고 지적한다.
염흥열 순천향대학교 정보보호학과 명예교수는 "공공기관이 가진 공신력과 서비스 신뢰도를 고려한다면 이에 걸맞는 개인정보보호 안전 조치를 취해야 하고 관련 거버넌스를 구축해야 할 필요가 있다"며 "정보시스템 위험평가와 기술적·관리적 통제를 개선 및 운영해야 한다"고 말했다.
AI 기반 행정이 확대될수록 새로운 보안 위협 대비도 필요하다고 강조했다. 염 교수는 "AI가 과도하게 정보를 수집하거나 해당 정보가 AI에 의해 다른 곳으로 전파 및 유출될 가능성이 있으니 상쇄할 수 있는 안전장치를 구축해야 한다"고 덧붙였다.