감사원이 공공부문 개인정보 보호 실태를 점검한 결과, 다수의 공공시스템에서 외부 해킹에 취약한 구조와 접근권한 관리 미흡 등 문제점이 확인됐다. 감사원은 지난 26일 감사 결과를 공개하며, 정부가 집중관리시스템으로 지정한 7개 시스템을 대상으로 모의해킹을 실시한 결과 전부에서 보안 취약점이 발견됐다고 밝혔다.
감사원은 외부 해킹에 의한 개인정보 유출 우려가 계속되는 상황에서도 공공시스템의 보안 취약점 점검 체계가 충분히 갖춰지지 않았다고 지적했다. 2021년부터 2024년까지 공공부문 개인정보 유출 원인의 95.5%가 외부 해킹이었던 반면, 내부자 고의 유출은 0.1%에 불과했다. 감사원은 공공시스템에 주요정보통신기반시설이나 전자금융기반시설과 같은 강화된 보안 취약점 점검 요건이 적용되지 않고 있다고 설명했다.
보안 점검 과정에서 접근통제와 인증 관리의 부실도 여러 건 확인됐다. 권한이 없는 이용자가 타인의 개인정보를 조회할 수 있었고, 관리자 권한이 탈취되면 수만 명의 주민번호 등 민감 정보가 한꺼번에 유출될 수 있는 구조가 발견됐다. 입력값 검증이 미흡하거나 시스템 개선 사업이 끝나지 않은 상태에서 추가 보완이 이뤄지지 않은 사례도 있었다. 퇴직자나 보직 변경자의 접근권한이 적시에 말소되지 않은 경우도 확인됐으며, 일부 기관에서는 퇴직한 계약직 직원이 수개월간 시스템에 접속할 수 있었다.
개인정보 접속기록 관리도 미흡했다. 운영자가 데이터베이스에 직접 접속해 개인정보를 조회하더라도 관련 기록을 보관하거나 점검하지 않는 경우가 적지 않았다. 감사원은 개인정보보호위원회가 운영하는 ‘털린 내 정보 찾기’ 서비스가 다크웹에서 수집한 이메일 계정정보 중심으로 제공돼 실제 유출 경로인 웹사이트 계정정보를 충분히 반영하지 못한다고 지적했다. 감사원 관계자는 유출된 계정정보의 출처 확인과 2차 피해 차단을 위해 서비스 정보와 품질이 모두 한계에 있다고 말했다. 또한 천 명 이상의 개인정보가 노출된 정황이 확인돼도 실제 유출 여부를 확인하지 못한 채 방치된 사례가 있어 장기간 2차 피해 가능성이 남아 있다고 감사원은 전했다.
