[단독]따릉이 462만명 유출 겪은 서울시…'해킹 미신고' 징계

(서울=뉴스1) 구진욱 기자 = 서울시가 해킹 사고를 인지하고도 신고하지 않은 내부 업무담당자를 경징계할 수 있도록 구체적인 처리 기준을 자치법규에 명문화한다.

서울 공공자전거 '따릉이' 개인정보 유출 당시 서울시설공단이 해킹에 따른 개인정보 유출 사실을 파악하고도 상급기관인 서울시에 보고하지 않은 사실이 뒤늦게 드러난 데 따른 후속 조치다. 외부 해킹 자체뿐 아니라 사고를 파악한 내부 담당자의 보고·신고 책임까지 명확하게 규정하는 데 초점이 맞춰졌다.

20일 서울시에 따르면 시는 지난 13일 이 같은 내용을 담은 '서울특별시 사이버보안에 관한 조례 시행규칙안'을 입법예고했다. 의견수렴 기간은 다음 달 2일까지다.

서울시는 이번 규칙을 통해 기존 '서울특별시 정보통신 보안업무 처리규칙'을 폐지하고 사이버보안 관리와 침해사고 대응, 위규자 처리기준 등을 하나의 체계로 정비한다.

먼저 서울시는 '해킹사고 인지 후 미신고'를 경징계 기준으로 명시했다. 비공개자료를 유출하거나 비인가 정보통신시스템을 반입·사용한 경우도 경징계 기준이 적용된다. 업무자료 유출 등은 훈계 대상으로 구분하는 등 위반 유형에 따라 처분 수위를 세분화했다.

이 같은 기준은 올해 초 불거진 따릉이 개인정보 유출 사태에서 드러난 내부 보고체계 문제와 맞닿아 있다.

따릉이는 2024년 6월 사이버 공격을 받았고, 서울시설공단은 이후 보안업체의 분석을 통해 개인정보가 유출된 사실을 파악했다. 하지만 공단은 이 내용을 서울시에 보고하지 않았다.

서울시는 올해 초 경찰로부터 따릉이 회원정보 유출 의심 정황을 통보받은 뒤 내부 조사에 들어갔고, 이 과정에서 공단이 이미 2024년 개인정보 유출 사실을 알고 있었다는 사실을 확인했다. 이후 관계기관 조사 등을 거쳐 개인정보 유출 대상은 약 462만명으로 파악됐다.

따릉이 서버에 침입한 외부 해커는 수사기관이 형사책임을 묻는 대상이다. 반면 개인정보 유출 사실을 파악하고도 이를 상급기관 등에 제때 알리지 않은 내부 업무담당자의 책임은 서울시와 산하기관의 감사·징계 체계에서 별도로 다뤄진다.

이번 규칙안의 '해킹사고 인지 후 미신고' 기준은 이처럼 사이버 공격을 직접 한 사람이 아니더라도 사고를 인지한 내부 관계자가 필요한 보고·신고 조치를 하지 않을 경우 책임을 물을 수 있도록 기준을 명확히 한 것이다.

정보보안 위반자에 대한 처리 근거가 이번에 처음 생기는 것은 아니다. 기존에도 각 기관이 관련 지침 등을 참고해 자체적인 위규자 처리기준을 운영할 수 있었지만, 이번에는 서울시가 위반행위의 종류와 중징계·경징계·훈계·주의 등 처리수위를 시행규칙 별표에 직접 담는 방식으로 구체화했다.

고의적인 내부 보안 침해에 대해서는 처분 수위가 더 높다. 서울시 보안규정 적용 대상자가 국가 정보통신시스템이나 전산망을 고의로 해킹하거나 악성코드를 유포하면 중징계 기준이 적용된다. PC·서버 등을 해킹해 비밀을 유출한 경우도 중징계 대상이다.

여기서 징계 대상은 서울시 시스템에 침입한 외부 해커가 아니라 서울시와 각급기관에서 관련 규정을 적용받는 내부 위규자다.

외부업체 직원의 전산망 임의 접속이나 자료 열람, 악성코드 유포 등을 초래한 경우에도 해당 업체 직원을 서울시가 징계하는 것이 아니라 관리 책임이 있는 내부 업무담당자에게 책임을 묻도록 했다.

비위 정도와 고의·과실 여부, 평소 행실과 반성 정도 등을 고려해 실제 조치 수준을 가중하거나 감경할 수도 있다.

사고 발생 이후 보고체계도 강화한다. 규칙안에 따른 대응훈련에서는 사고 인지 후 서울시사이버안전센터, 시 사이버보안관리관, 유관기관으로 이어지는 보고 절차와 단계별 보고 소요시간 등을 점검한다.

국가 사이버위기경보가 '경계' 이상으로 발령되거나 대규모 사이버 침해사고가 발생할 경우에는 사이버보안 비상대책반을 구성·운영할 수 있도록 했다.

비상대책반은 사고 심각도와 대응 방향, 복구 우선순위를 결정하고 피해 현황 파악과 시스템 복구, 디지털 포렌식, 악성코드 제거 등을 수행한다. 국가정보원과 한국인터넷진흥원(KISA) 등 관계기관과 기술 협력과 위협정보 공유도 담당한다.

서울시는 다음 달 2일까지 입법예고 의견을 받은 뒤 관련 심의 절차를 거쳐 시행규칙을 확정할 예정이다. 시행규칙은 서울시의회 의결 대상은 아니다.

kjwowen@news1.kr