'모두의 창업' 정보유출 원인은 'API 관리 미흡'…"보안체계 전면 개편"

(서울=뉴스1) 정지윤 기자 = 중소벤처기업부는 '모두의 창업 플랫폼' 개인정보 유출 사고가 일부 API(응용 프로그램 인터페이스)에 비공개 정보와 암호키가 함께 노출되면서 발생한 것으로 조사됐다고 밝혔다.

중기부는 오는 8월 중순까지 유출 사고와 관련한 행정절차를 이행하고 국정원, 외부 보안 업체 등과 보안 협력 체계를 구축한다.

31일 중기부가 국가정보원과 함께 실시한 조사에 따르면 모두의 창업 플랫폼 내 일부 API에 포함된 비공개 정보가 웹 크롤링 등을 통해 수집되면서 정보가 유출된 것으로 확인됐다.

조사 결과 해당 정보는 암호화돼 있었지만 암호화에 사용된 암호키도 함께 노출돼 정보 접근이 가능했던 것으로 파악됐다.

유출된 정보는 △이메일 주소 △심사평 △200자 이내의 창업 아이디어 요약본이며, 피해 대상은 모두의 창업 프로젝트 합격자 5000명이다. 비공개 정보 접근을 시도한 IP는 모두 국내 IP 39개로 확인됐다.

중기부는 이번 사고를 계기로 플랫폼 보안성과 개인정보 관리체계를 전면 개선했다고 밝혔다.

우선 API를 전면 점검해 전송 정보를 최소화하고 불필요한 기능을 삭제하는 등 비공개 정보가 외부로 전달되지 않도록 개편했다. 또 신규 암호화 솔루션을 도입해 데이터베이스 암호화 체계를 강화하고, API 접근 기록을 모두 시스템 로그로 관리하는 한편 웹 크롤링 등 비정상 접근을 탐지·차단하는 기능도 고도화했다.

개인정보 관리체계 또한 손질했다. 기존에는 일반회원과 신청자 모두 회원 탈퇴 후 개인정보를 5년간 보관했지만 앞으로는 일반회원의 개인정보는 탈퇴 즉시 파기하고, 모두의 창업 신청자는 신청일 기준 5년간 보관하는 방식으로 기준을 세분화한다.

창업 아이디어 신청서도 개인정보에 준하는 중요 정보로 관리하고, 개인정보와 민감정보에 대한 접근 권한을 최소한의 담당자로 제한해 관리자의 무분별한 열람을 차단했다.

중기부는 지난 7월부터 창업 아이디어 보호 지원을 시작해 현재까지 약 1000명의 합격자를 대상으로 영업비밀 원본증명(785명)과 아이디어 임치(232명)를 지원했다. 올해 안에 신청하는 대상자에게도 동일한 지원을 계속 제공할 예정이다.

이와 함께 전국 17개 시·도에서 지식재산 전문가가 참여하는 '아이디어 컨설팅 데이'를 열어 약 600명이 상담을 받았으며, 추가 상담이 필요한 신청자는 스타트업 원스톱 지원센터와 연계해 후속 지원을 제공하고 있다.

지난 6월 18일부터 운영 중인 피해신고센터에는 △피해 제보 50건 △유출확인 요청 9건 △책임 요구 11건 △아이디어 보호 요청 8건 △기타 9건 등 총 87건의 신고가 접수됐다. 이 가운데 아이디어 도용 의혹이 제기된 2건은 모두의 창업 사업이 시작되기 이전부터 관련 사이트가 운영되고 있었던 것으로 확인됐다.

중기부는 앞으로 공공 정보시스템 수준의 보안 절차도 도입하기 위해 국정원 보안성 검토와 행정안전부 사전협의, 개인정보 영향평가, 소프트웨어 영향평가 등 관련 행정절차를 8월 중순까지 완료할 예정이다. 이외에도 국정원과 외부 보안 전문기업이 참여하는 상시 보안점검 체계를 구축할 계획이다.

stopyun@news1.kr