중기부도 개인정보 유출 책임 질까…‘모두의 창업’ 관리 소홀 도마 위

중소벤처기업부가 지난해 보안감사에서 무더기 감점을 받은 창업진흥원(창진원)에 국가 창업 프로젝트 ‘모두의 창업’ 개인정보 관리를 맡겼다가 정보 유출 사고가 발생한 것으로 드러났다. 위탁기관의 관리‧감독 부실이 확인될 경우, 창진원은 물론 중기부도 처분 대상이 될 가능성이 제기된다.

노용석 중기부 제1차관은 22일 정부서울청사에서 브리핑을 열고 “많은 국민들께서 관심을 표하고 정부를 믿고 소중한 창업 아이디어를 제출했음에도 그 신뢰를 지키지 못한 점 다시 한 번 사과드린다”며 고개를 숙였다.

앞서 중기부의 창업 프로젝트 ‘모두의 창업’의 합격자 5000명의 개인정보가 털린 것으로 확인됐다. 지난 15일 오전 9시, 허가되지 않은 경로로 비공개 정보에 대한 접근 시도가 발생한 뒤 이메일 주소와 창업 아이디어 요약 정보, 심사평이 유출됐다. 창진원의 개인정보 유출신고서에 따르면 외부 공격이 아닌 참가자들을 지원하는 업체가 특정 인터페이스(API) 호출을 통해 비공개된 이메일 주소를 확보, 홍보 메일을 발송한 것으로 드러났다.

문제는 합격자들의 개인정보를 위탁받아 관리하고 있던 창진원의 보안 수준이다. 지난해 중기부 정보보안 감사에서 창진원은 15개 항목에 대해 감점을 받았다. 접근통제 미흡, 중요 파일 암호 미설정, 사용하지 않은 보안 솔루션 계정 관리 미흡, 워드나 엑셀 등 다른 응용 프로그램의 데이터를 현재 문서에 연결해 공유하는 기능인 ‘OLE 객체 삽입’ 취약, 각종 계정 사용 이력 확인 미흡 등 15개 항목에 대해 지적 받았다. 창진원이 지난달 제출한 개선 계획을 보면, 감점 항목 가운데 7개는 여전히 개선 조치가 이뤄지지 않은 상태다.

보안감사에서 허점이 드러났음에도 창진원에 개인정보 관리를 맡긴 중기부에 대해서도 비판의 목소리가 나온다. 이에 대해 노 차관은 “결과론적으로 정보 유출이 있었기 때문에 (개인정보 수집‧관리 위탁 책임의) 적절성 여부에 대해 책임을 회피하기 어렵다고 보고 있다”고 밝혔다.

개인정보 보안에 취약할 수 있다는 점을 인지하고도 창진원에 프로젝트 참가자들의 개인정보 운용을 맡긴 중기부 역시 개인정보보호법 위반으로 처분 받을 가능성이 제기된다. 실제 수탁자에 대한 관리‧감독을 소홀히 한 위탁자를 처분한 사례가 있기 때문이다. 개보위는 지난해 10월22일 골프장 회원 개인정보 유출 피해에 대해 위탁자인 서울CC에도 수탁자 관리·감독 소홀 등을 이유로 과징금과 과태료를 부과한 바 있다.

개인정보위 관계자는 22일 “위‧수탁 관계라면 관리‧감독을 해야 할 의무가 있다”며 “관리‧감독을 제대로 하지 못해 개인정보 유출 피해가 발생했다면 위탁기관도 처분하도록 되어있다”고 설명했다.

다만 “모두의 창업 건에 대해서는 아직 사실관계를 조사 중이라, 위‧수탁 관계를 들여다봐야 할 것 같다”고 덧붙였다.

김은빈 기자 eunbeen1123@kukinews.com