[ET톡] 보안 인증 뒤에 남은 사각지대

“책임을 통감하고 재발 방지에 모든 노력을 쏟겠습니다”

최근 몇개월 사이 수차례 본 문구에 피로감이 든다. 쿠팡을 비롯해 29CM, 강남언니 등 소비자 일상과 맞닿아 있는 플랫폼에서 사고가 반복된다. 쇼핑을 하고, 병원을 찾고, 물건을 주문하는 평범한 일상이 개인정보 유출 경로가 됐다.

유통 플랫폼 개인정보 유출이 더 무거운 이유는 단순히 정보의 '양' 때문만은 아니다. 플랫폼에는 이름과 전화번호를 넘어 주소와 배송지, 주문내역, 구매 기록 등 한 사람의 생활이 고스란히 쌓인다. 상품 구매나 서비스 이용 내력 같은 정보가 축적되면서 개인정보 하나하나가 서로 연결된다. 실제 최근 사고에서도 단순 연락처를 넘어 배송정보와 이용·시술 상담 관련 정보까지 유출되는 사례가 확인됐다.

기업이 손을 놓고 있었던 것도 아니다. 정보보호 관리체계를 갖추고 각종 보안 인증을 취득하는 등 나름의 안전장치를 마련했다. 문제는 그다음이다. 인증서 발급으로 보안 관리가 끝난 것처럼 여겨지는 사이, 인증서가 담아내지 못하는 빈틈에서 사고가 발생했다.

보안은 한 번의 심사로 완성되는 영역이 아니다. 서비스가 바뀌고 시스템이 추가될 때마다 새로운 접근 경로가 생긴다. 협력사와 외부 솔루션이 연결되고, 수많은 계정과 권한이 오가는 과정에서 또 다른 취약점이 만들어진다. 인증 당시에는 문제가 없었던 시스템도 시간이 지나면 전혀 다른 모습이 될 수 있다.

더 뼈아픈 지점은 사고 이후다. 유출된 개인정보가 정확히 무엇인지 확인하고, 피해 범위를 파악하고, 피해자 보상까지 이어지는 과정에서 기업의 실제 대응력이 드러난다.

인증을 받았다는 사실은 분명 의미가 있다. 그러나 소비자 입장에서 중요한 것은 인증서가 아니라 자신의 개인정보가 실제로 안전하게 관리되고 있는지다. 보안 인증 뒤에도 사각지대는 남는다. 이제 기업이 증명해야 할 것은 '인증을 받았다'는 것이 아니라, 그 인증 이후에도 개인정보를 제대로 지키고 있다는 것이다.