개인정보 보호법 개정으로 '사전 예방' 중심의 개인정보 보호 체계가 강조되면서 개인정보보호위원회가 기업과 기관의 사전 예방을 유도할 개인정보 보호 정책들을 내놨다. 기업도 달라진 정책 기조에 맞춰 정보 유출 사고를 예방하기 위해 AI 기반의 위험 관리와 경영진 중심의 책임 체계를 구축해야 한다는 제언이 나왔다.

개인정보위는 한국개인정보보호책임자협의회와 공동으로 9일 서울 서초구 엘타워에서 '신뢰·책임 기반으로 안심할 수 있는 개인정보 보호 체계 구현'을 주제로 정책 포럼을 열었다.

양청삼 개인정보위 사무처장은 개정된 개인정보 보호법이 반복적·중대한 침해사고에 징벌적 과징금 상한을 전체 매출액의 10%로 높이면서도 예방적 보호 투자에 대해서는 최고 40%의 필수 감경을 하도록 한 것을 두고 "사고 이후 수습과 대응 중심이었던 보호 체계를 사전 예방 중심으로 적용하고 있다"고 설명했다.

염흥열 한국개인정보보호책임자협의회장은 "인공지능(AI) 기반 사이버 공격이 더욱 정교해지고 광범위하게 이뤄지면서 개인정보 유출 위험이 커지고 있다"며 "개인정보 안전성 조치도 AI를 적극 활용해 기업이 미리 파악하고 줄이는 예방 중심의 관리 체계를 갖춰야 한다"고 말했다.


사전 예방 정책 본격화…기술분석센터 운영·중소기업 보안 컨설팅 계획
개인정보위는 사이버공격에 선제 대응할 수 있는 사전 예방 중심 정책을 추진하고 있다고 밝혔다.

고낙준 개인정보위 예방조정심의관은 각종 서비스의 개인정보 처리 경로를 명확히 파악하기 위해 '기술분석센터'를 운영할 계획이라고 설명했다.

그는 "로봇청소기나 AI 모델 등 여러 제품과 서비스가 정보 주체의 정보를 수집해서 어떻게 처리하는지 개인 차원에서는 알기 어렵다"며 기술분석센터를 통해 데이터 처리 흐름을 파악하고, 정보 주체에게 승인받은 내용으로 정보를 활용하는지 점검할 계획이라고 밝혔다.

개인정보보호 관리체계 인증(ISMS-P) 관리도 철저히 해 실효성을 강화할 예정이다. 고 심의관은 "ISMS-P를 받은 기업에서도 유출 사고가 일어난다는 비판이 많았다"고 말했다.

이에 국민 파급력이 큰 기업을 대상으로 보다 강화된 인증 기준을 적용하고, 현장 심사를 늘려갈 방침이다. 중대사고 발생 시 인증심사를 중단하거나 인증을 취소하는 절차도 추진한다.

보안 인력과 예산이 부족한 중소기업에 24억 원 정도 예산을 편성해 보안 컨설팅을 지원할 계획도 밝혔다.

개인정보위는 지난 9월부터 시행된 투자 감경 제도와 그 적용 조건도 밝혔다.

전창민 개인정보위 조사총괄과 사무관은 개인정보 보호와 관련해 예산 편성과 집행 정도, 정보보호에 대한 지속적 투자 여부 및 신규 투자 비중 등을 종합적으로 고려한다고 설명했다. 그는 "정보 보호 예산으로 분류되지 않았어도 개인정보 보호 투자라는 것이 입증되면 충분히 투자 감경에서 고려될 수 있다"고 설명했다.

정보 보호를 위한 전담 조직 구축이나 전문 인력 배치, 최고경영자(CEO)의 정보보호 활동 참여 정도 등도 투자 감경에 고려된다.

AI로 예방 활동 자동화·경영진 책임 키워야…기업 보안 체계 전환 필요
사전 예방 노력을 중시하는 정책 기조에 따라 기업에서는 AI 등을 활용해 예방 활동을 상시화하고, 개인정보 보호를 전담 조직에 맡기기보다 경영진이 함께 책임지는 구조로 전환해야 한다는 제언이 나왔다.

이창복 토스 개인정보보호책임자(CPO)는 AI를 통해 시스템 점검을 자동화해야 한다는 의견을 제시했다.

이 CPO는 자율 보안을 위한 인력 투자의 한계를 AI가 극복할 수 있다면서 AI가 개인정보 관련 문서 검수와 위험 요소 탐지 및 분석 등을 우선 수행하고, 인간 담당자가 AI의 결과를 최종 판단하는 방식으로 업무를 분담해야 한다고 부연했다. AI를 활용해 보안 업무의 효율성을 높여야 한다는 취지다.

또 개정 개인정보 보호법에 발맞춰 CEO와 CPO가 보다 책임성을 갖고 정보보호 인력과 예산을 확보해야 한다고 말했다.

이 CPO에 따르면, 토스는 CPO의 월간 활동과 현업의 개인정보 보호 업무를 기록·관리해 경영진과 이사회에 공유하는 등 대표와 임원이 개인정보 보호 활동의 이행 여부를 상시 확인할 수 있는 체계를 마련했다.

개인정보 보호 예방 활동이 중시되는 만큼 투자 활동과 개인정보 처리 과정, 보호 활동을 입증할 자료를 남겨야 한다는 제언도 했다.

실제 토스는 개인정보가 계약서와 동의서에 명시된 내용으로 시스템에서도 처리되는지 확인할 수 있는 관리 체계를 구축하고 있다. 계약서와 동의서를 데이터베이스와 실제 데이터가 오가는 API까지 연결해 데이터 경로를 점검하고 개인정보가 적절하게 처리되는지 확인하는 방식이다.

sumin02@news1.kr