[사설]‘유심해킹’ SKT, 6~9개월 전 정보보호 3차례나 합격점 준 정부

SK텔레콤에서 초유의 유심 해킹 사고가 발생하기 6∼9개월 전에 정부가 SKT의 정보보호 관리에 대해 세 차례나 합격점을 준 것으로 나타났다. 정부 심사를 세 번 통과했는데도 해킹 사고를 막지 못하면서, 그동안의 정부 점검이 형식적 수준에 그쳤다는 비판을 피할 수 없게 됐다. 이번 사건을 계기로 정보보호 인증체계에 허점은 없는지 되짚어볼 필요가 있다.

과학기술정보통신부와 개인정보보호위원회에 따르면 SK텔레콤은 지난해 7∼10월 정부로부터 3개의 정보보호 관리체계 인증을 최초 취득하거나 갱신했다. 인증 유효기간은 2027년까지다. 정부 설명에 따르면 위험 관리, 사고 예방 및 대응, 복구 등 최대 101개의 까다로운 기준을 통과해야 인증을 받을 수 있는데, 심사 6개월 만에 구멍이 뚫렸다. 그동안 정부의 정보보호 관리제도의 실효성이 떨어진다는 지적이 끊이지 않았다. 인증을 취득한 기업이 신고한 침해사고 건수는 2020년 0건, 2021년 6건에 불과했지만 지난해엔 96건으로 늘었다.

현행 인증심사는 문서 평가 위주여서 기업의 보안 역량을 평가하고 관리하는 데 부족하다. 기업의 규모나 특성, 보안 위험도에 관계없이 일률적으로 평가하는 것도 문제다. 미국처럼 모의 해킹 등을 통해 실전대응 역량 중심으로 평가하고, 통신 금융 등 핵심 사업자에겐 더 엄격한 기준을 적용해야 한다고 전문가들은 주문한다. 인증 이후에도 허점이 발견되면 적극적으로 개선조치에 나설 수 있도록 사후관리도 철저히 이뤄져야 한다.

유심 해킹 사고가 발생한 지 2주 이상 지났지만 휴대전화 복제나 금융사고 등에 대한 불안은 가시지 않고 있다. 유심 교체와 보호서비스 가입 등의 대응도 필요하지만 무엇보다 다시는 이런 일이 발생하지 않도록 완벽한 방어막을 구축하는 것이 급선무다. 인증체계를 재점검하고 이번 해킹에 사용된 악성코드를 정밀 분석해 대응책을 마련해야 한다. 일상을 모바일에 의존하고 있는 사회에서 모바일 해킹은 개인은 물론 국가 안보에도 치명상을 입힐 수 있다는 점을 명심해야 할 것이다.