보안에 1349억 쓴 쿠팡…국감서 사고 후 개선책 검증

정보보호 투자 전년比 51.6%↑…전담인력 75% 증가
사고 후 외부 자문위 출범…권고·이행 구조 도마

쿠팡 본사/연합뉴스

쿠팡이 다음달 국정감사에서 개인정보 유출 사고 이후 보안 체계를 얼마나 개선했는지 검증받을 전망이다. 지난해 쿠팡의 정보보호 투자액은 약 1349억원으로 전년보다 51.6% 늘었지만 개인정보 유출 사고를 막지는 못했다. 사고 이후에는 외부 전문가로 구성된 정보보호 자문위원회를 출범시킨 만큼, 올해 국감에서는 기존 보안 체계의 한계와 사고 이후 내놓은 재발 방지 대책의 실효성이 주요 쟁점으로 떠오를 것으로 보인다.

29일 업계에 따르면 국회 과학기술정보방송통신위원회가 브렛 매티스 쿠팡 최고정보보호책임자(CISO)를 국정감사 증인으로 채택하면서, 쿠팡의 보안 체계와 사고 이후 개선 조치에 대한 점검이 이뤄질 전망이다. 매티스 CISO가 예정대로 출석하면 지난해 12월 청문회에 이어 다시 국회 증인석에 서게 된다.

우선 기존 보안투자가 실제 보안 역량 강화로 이어졌는지가 관전 포인트다. 한국인터넷진흥원(KISA)에 따르면 쿠팡 한국법인의 지난해 정보보호 투자액은 1349억3672만원으로 집계됐다. 전년보다 51.6% 증가한 수치다. 이마트(81억원), GS리테일(92억원) 등과 비교하면 절대적으로 높은 투자액이다. 정보보호 전담인력도 크게 늘었다. 지난해 쿠팡의 정보보호 전담인력은 370.1명으로 전년(211.6명)보다 약 75% 증가했다.

인력 증가의 상당 부분을 외주 인력이 차지했다는 점도 눈에 띈다. 내부 인력은 162.7명에서 204.8명으로 42.1명 늘어난 반면 외주 인력은 48.9명에서 165.3명으로 116.4명 증가했다. 전체 전담인력 증가분의 약 73%가 외주 인력이었던 셈이다. 이에 따라 국감에서는 개인정보 접근권한과 이상행위 탐지 등 핵심 통제역량을 내부에 충분히 갖췄는지도 다뤄질 것으로 보인다.

개인정보 유출 사고 이후 쿠팡이 내놓은 재발 방지책의 실효성도 검증 대상이다. 쿠팡은 지난 15일 외부 전문가 7명으로 구성된 '정보보호 자문위원회'를 출범시켰다. 허성욱 한국CPO포럼 회장과 매티스 CISO가 공동위원장을 맡았다. 쿠팡은 자문 결과를 사내 보안정책과 업무 과정에 반영해 업계 최고 수준의 보안 시스템을 확립하겠다는 방침이다.

관건은 자문위의 권고가 실제 보안 체계 개선으로 이어질 수 있는 구조인지다. 국감에서는 자문위가 지금까지 어떤 권고를 내렸는지, 권고 내용이 쿠팡 경영진과 쿠팡Inc. 이사회에 보고되는지, 회사가 이를 이행할 의무가 있는지 등이 점검 대상이 될 것으로 보인다. 자문위 권고와 이행 결과를 외부에 공개할지도 관전 포인트다.

피해구제 문제도 함께 거론될 가능성이 있다. 앞서 개인정보보호위원회는 개인정보 유출과 이용자 활동기록 무단 수집 등 법 위반을 이유로 쿠팡에 총 6246억8100만원의 과징금을 부과했다. 이 가운데 개인정보 유출 관련 과징금은 4235억7500만원이다. 소비자분쟁조정위원회도 집단분쟁조정 신청인에게 1인당 현금 또는 쿠팡캐시 10만원을 지급하도록 권고했지만 쿠팡은 이를 거부했다.

쿠팡이 제재와 피해구제 요구에 법적·절차적으로 대응하는 한편 자체적인 재발 방지책을 추진하고 있는 만큼, 국감에서는 피해구제와 보안 시스템 개선 두 측면에서 후속 조치가 집중적으로 다뤄질 전망이다.

쿠팡은 자문위 활동 결과를 사내 보안 정책과 업무 절차에 반영한다는 입장이다. 이달 열린 첫 회의에서는 그동안 추진한 고객 데이터 보호 활동을 위원들에게 공유했다. 쿠팡 관계자는 "전문가들의 경험과 지식을 적극적으로 수용해 보안 체계 개선 활동을 이어갈 것"이라며 "글로벌 기준을 뛰어넘는 수준의 노력을 기울이겠다"고 말했다.