“SKT, 반년 전 정부 정보보호 심사 잇달아 통과”…‘제도 실효성’ 논란

‘유심 해킹 사태’를 빚은 SK텔레콤이 불과 반년 전까지만 해도 정부의 정보보호 관리 체계 인증을 잇달아 통과한 것으로 나타나 제도의 실효성이 떨어진다는 지적이 나오고 있습니다.

더불어민주당 이훈기 의원이 과학기술정보통신부로부터 받은 자료를 보면, SKT가 보유한 정부의 정보보호 인증은 ISMS(정보보호 관리 체계 인증) 2개와 ISMS-P(정보보호 및 개인정보보호 관리 체계 인증) 1개, 모두 3개입니다.

SKT는 지난해 9월 23일부터 10월 1일까지 ‘이동전화 고객관리 서비스’에 대한 ISMS-P 최초 심사와 ‘T 전화·누구(NUGU) 서비스 운영’에 대한 ISMS 사후 심사를 받았습니다.

또, 지난해 7월에는 ‘이동통신서비스 인프라 운용’에 대한 ISMS 갱신심사를 거쳐, 세 인증의 유효 기간은 2027년까지로 연장됐습니다.

이처럼 정부의 각종 보안 인증 심사를 받은 지 6개월 후인 지난 4월 SKT 해킹 사태가 벌어진 것을 두고 관련 제도의 실효성이 떨어진다는 지적이 제기되고 있습니다.

실제로, ISMS 인증기업이 신고한 침해사고 건수는 2020년 0건에서 2021년 6건, 2022년 13건, 2023년 101건, 지난해 96건으로 크게 늘었습니다.

ISMS 인증은 정보 자산에 대한 위험 관리와 사고 예방 및 대응, 복구 등 80개 기준을 통과한 기업에, ISMS-P 인증은 ISMS 인증에 개인정보보호 요구사항 21개가 추가된 101개 기준을 통과한 기업에 부여합니다.

최초 심사를 통해 관련 인증을 취득하면 3년의 유효기간이 부여되고, 이후 사후 심사를 매년 1회 이상 거쳐야 하며, 유효기간을 연장하려면 갱신심사를 치러야 합니다.

두 인증 체계 모두 개인정보보호위원회와 과학기술정보통신부가 관리합니다.

[사진 출처 : 연합뉴스]