국민의힘 김상훈 의원(대구 서구)이 SK텔레콤(이하 SKT) 등 이동통신사의 해킹 예방을 위해 정보보호 인증제도의 실효성을 높이는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하 정보통신망법) 개정안을 발의했다.

지난 4월 SKT의 홈가입자서버(HSS)가 해킹당하는 사건이 발생했다. 이번 SKT 해킹 사고는 유심 복제에 활용될 수 있는 주요 정보를 관리하는 중앙서버가 해킹됐다는 점에서 국내 이동통신사 역사상 최악의 보안 사고로 평가된다. 앞서 KT와 LG유플러스(LGU+)도 해킹으로 대규모 개인정보 유출 사고가 일어난 바 있다.

이동통신사들이 정부가 부여하는 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증을 받았음에도 심각한 해킹 사고가 계속해서 발생하고 있어 해당 제도의 실효성에 대한 의문이 제기되고 있다.

이미 2014년 KT 해킹 사고 당시 KT가 인증을 받고도 해킹을 막지 못해 인증제도가 유명무실하다는 비판이 일었고, 2023년 LGU+ 해킹 사고 당시에는 개인정보 유출에도 불구하고 해당 기업의 인증이 취소되지 않고 유지되는 것에 대한 문제가 지적됐다.

이번 SKT 해킹 사태에서도 인증 기준상 요구되는 절차가 실제 현장에서는 제대로 작동하지 않았으며, 큰 비용과 시간을 들여 유지한 인증체계가 정작 해킹 방어와 초기 대응에 실패한 것으로 드러났다.

향후 유사 사고의 재발을 방지하기 위해선 인증제도의 개선과 인증에 대한 관리·감독 체계 강화를 더는 미룰 수 없는 상황이다.

이에 개정안은 이동통신사 등 보안 관련 고위험 산업군에 대해서는 보다 엄격한 인증 기준을 적용할 수 있도록 하고, 정보보호 관련 법령의 중대한 위반 시에 인증을 취소할 수 있도록 했다.

아울러 서류심사 중심이었던 인증 사후관리에 현장심사를 병행하게 하고, 인증 미이행 시 과징금을 부과할 수 있게 함으로써 제도의 실효성을 높였다.

김상훈 의원은 “이동통신사 해킹 발생 시 대규모 개인정보 유출로 이어질 수 있을 뿐 아니라, 특정 세력이 통신망을 장악하거나 마비시킬 경우 국가적 안보 위협으로 확대될 수 있다”며 “이러한 위협으로부터 국민을 보호하고, 사이버 안보를 굳건히 하기 위해서도 법 개정이 시급하다”고 강조했다.