보안투자 부문 C레벨 경영진 없어
법 사각지대…'주요정보통신기반시설' 미지정
[먹튀 사이트=박대웅 기자]'600억 vs 6000억.'
먹튀 사이트텔레콤에 해킹 '쓰나미'가 들이치고 있다. 국내 1위 통신사업자이자 국가 기간통신사로 그동안 고객 정보 보호를 최우선 가치로 두겠다고 강조해왔지만 이번 해킹 사고에 따른 개인정보 유출의 여파로 그간의 노력이 공염불에 그치고 있다.
실제 SK텔레콤이 해킹 등 정보탈취를 막기 위해 쏟아 부은 정보보호 투자금과 인공지능(AI) 시장 선점을 위해 투입한 투자금 규모만 봐도 SK텔레콤이 정보 탈취 시도에 그동안 무감각했음을 알 수 있다.
28일 금융감독원 전자공시시스템에 공시된 2024년 사업보고서에 따르면 SK텔레콤은 AI 투자를 위해 지난해 연구개발(R&D) 비용으로만 3928억원을 쏟아 부었다. 여기에 더해 관계기업이 AI에 투자한 금액까지 더하면 누적 투자금은 6000억원을 넘어선다.
반면 과학기술정보통신부와 한국인터넷진흥원(KISA)의 정보보호 공시 포털에 공개된 지난해 먹튀 사이트텔레콤의 연간 정보보호 투자액은 지난 2023년 대비 9% 늘어난 약 600억원이다. 경쟁사인 KT(1218억원)의 절반 수준이며 LG유플러스(632억원)에도 뒤진다.
지난해 먹튀 사이트텔레콤의 영업이익은 1조8234억원으로 LG유플러스(8631억원)와 KT(8095억원)을 합친 것보다도 1508억원이 많았다.
사실상 본업인 통신보다 AI에 더 많은 재원 투입과 관심을 둔 것으로 보인다. 업계에서도 그동안 SK텔레콤이 AI에 열중한 반면 본업인 통신 영역에 소홀한 측면이 있다는 지적도 나온다.
정보보호 조직의 역할과 권한 역시 경쟁사 대비 약하다. 현재 먹튀 사이트텔레콤의 고객 정보보호 담당 조직은 정보보호실이다. AT·DT 산하에 있는 5개실 중 하나다. 정보보호실장이 정보보호최고책임자(CISO)를 맡고 있지만 책임과 권한이 집중되는 C레벨 경영진은 아니다.
단적으로 지난해 말 제출한 사업보고서 내 명시된 임원은 모두 113명으로 최고정보보호책임자를 맡고 있는 손영규 정보보보호실장의 이름은 임원 명단에 없다. 대외적으론 임원으로서 대우 받지만 공식 문서상엔 정식 임원이 아니라는 의미일 수도 있다. 이에 대해 먹튀 사이트텔레콤은 "기술직 임원은 공시에 포함되지 않는다"고 설명했다.
정보 탈취 시도에 대한 안일한 시각은 이번 '해킹 사고' 사태에서도 드러났다. 먹튀 사이트텔레콤은 사고 발생 24시간 이내 신고를 규정한 정보통신망법을 위반했다. 먹튀 사이트텔레콤이 한국인터넷진흥원에 보고한 시점은 지난 20일 오후 4시46분으로 해킹 공격을 인지한 18일 오후 11시20분을 기준으로 만 하루를 넘겼다.
먹튀 사이트텔레콤은 "사안의 중대성을 고려해 최소한의 발생 원인과 피해 내용을 좀 더 철저하게 파악하려다 신고가 늦어졌다"고 해명했지만 보안 사고와 관련해 내부 보고 및 대응 체계에 허점이 있었다는 지적은 면하기 어려워 보인다.
이번 해킹 사고를 계기로 먹튀 사이트텔레콤 내 조직개편의 필요성이 제기되고 있다. 실급 조직을 센터급으로 격상하고 전사 차원의 정보보호 리스크 관리를 총괄할 C레벨 경영진을 책임자로 선임하는 등 후속조치가 필요하다는 지적이다.
먹튀 사이트텔레콤은 "정보보호 관련 조직 강화의 필요성에 대해선 추후 논의가 있을 것"이라는 입장을 내놨다.
이번 해킹 사고는 현행법상 관리 사각지대에서 발생한 사고로 국가관리체계의 전면 점검이 필요하다는 주장도 나오고 있다.
최민희 국회 과학기술정보방송통신위원장(더불어민주당)은 28일 먹튀 사이트텔레콤이 해킹당한 홈가입자서버(HSS), 가입자 인증키 저장 시스템, 유심 관련 핵심 서버 등은 정보통신기반보호법상 국가적 보호가 필요한 '주요정보통신기반시설'이 아니라고 지적했다.
최 위원장은 "HSS 등 핵심 서버는 국민 정보와 통신 안전을 지키는 국가적 기반"이라면서 "현행 제도의 허점으로 주요정보통신기반시설 지정조차 받지 못하고 있었다"고 했다. 이어 "정부와 통신사는 지금 즉시 기반시설 지정 및 관리 체계를 전면 재점검하고 실질적인 보호대책을 마련해야 한다"고 강조했다.
정부는 정보통신기반보호법에 따라 통신 및 금융, 에너지 등 국가 핵심시설을 주요정보통신기반시설로 지정하고 사업자의 관리를 점검할 수 있다. 반면 SK텔레콤의 해당 서버는 최근 3년 간 해킹메일, 디도스 등 위기대응 훈련에만 참여했을 뿐 정부 주도의 기술 점검과 침투 테스트를 받은 이력은 없다.
저작권자 © 먹튀 사이트 무단전재 및 재배포 금지
