“공공기관, 개인정보 관리 사각지대…외부 설문·API 보안 허점”

박상혁 더불어민주당 의원 다수의 공공기관이 보안 인증 여부가 확인되지 않은 외부 도구로 개인정보를 수집하고 있어 보완이 필요하다는 지적이 나왔다. 공공부문에서의 인공지능(AI) 기반 시스템 개발 과정에서도 정보 유출이 우려됐다. 박상혁 더불어민주당 의원은 13일 국회 정무위원회 개인정보보호위원회 국정감사에서 민간업체 자료를 인용해 조사 대상 공공기관 189곳 중 184곳에서 보안 미인증 외부 도구로 개인정보를 수집하고 있다고 밝혔다. 박 의원은 “구글폼이나 네이버폼 등을 통해 단순한 설문조사부터 복잡한 정보까지 수집하고 있다”며 “건강정보, 주민등록번호, 계좌번호 등 유출 시 고위험 정보 묻는 경우도 있다”고 강조했다. 이어 “중앙정부 기관뿐만 아니라 지방자치단체와 산하기관까지 포함하면 이러한 외부 설문 도구로 개인정보를 수집하는 곳을 더 많은 것”이라며 “보안이 확인되지 않은 방식으로 개인정보를 수집하는 것에 대한 관리가 필요하다”고 덧붙였다. 공공기관은 행사 참가 신청이나 설문조사 등을 위해 외부 서비스를 활용했다. 하지만 클라우드서비스 보안인증(CSAP)을 받은 솔루션을 사용하지 않는 사례가 대다수였다. CSAP는 민간 클라우드 서비스가 정보보호 기준을 충족하는지 평가·인증하는 제도로 공공기관은 이를 받은 서비스를 이용해야 한다. 또 일부 설문에서는 건강 관련 응답과 경품 지급을 위한 연락처가 함께 수집되거나 직원 사번이 그대로 남아 있는 사례도 확인됐다. 수집 목적에 비해 과도한 개인정보를 요구하는 것이다. 수집한 개인정보를 제대로 관리하지 않는 문제도 제기됐다. 담당자가 인사이동을 하면 개인정보 관리 주체가 불분명해지고, 계정 탈취나 다른 개인정보와의 결합에 따른 유출 위험도 발생할 수 있다는 설명이다. 이같은 문제는 공공기관들이 외부 업체에 개인정보 수집·관리를 맡겨 진행할 때 참고할 명확한 지침이 없어 발생하고 있다. 개인정보위는 공공부문에서의 수탁기관 관리를 위한 추가 지침을 마련하겠다고 밝혔다. 송경희 개인정보위 위원장은 “공공부문에서 수탁기관에 대한 관리·감독 때문에 문제가 많이 발생하고 있다”며 “사고가 발생하면 위탁 기관과 해당 기관장에게도 책임을 묻도록 규정하고 있다”고 말했다. 이어 “수탁기관 관리에 필요한 지침을 마련해 기관들이 준수할 수 잇도록 조치할 것”이라고 덧붙였다. AI를 활용한 소프트웨어 개발 과정에서 발생할 수 있는 응용프로그램인터페이스(API) 보안 취약점 언급됐다. 박...