일요주간 - 무신사, ISMS 인증 두 달만에 개인정보 유출 사고

[일요주간 = 강현정 기자] 패션그룹 무신사가 정보보호 관리체계(ISMS) 인증을 받은 지 84일 만에 대규모 개인정보 유출 사고가 발생했다.

14일 한국인터넷진흥원(KISA)에 따르면 무신사의 ISMS 인증은 지난 6월 부터 효력이 발생했다. 인증 대상은 무신사와 회사가 운영하는 29CM, 솔드아웃, 엠프티의 온라인 서비스 운영 부문이다. 유효기간은 2029년 6월 3일까지다.

ISMS는 기업이 정보자산을 안전하게 관리할 수 있는 체계를 갖췄는지 평가하는 제도다.

위험 관리와 사고 예방·대응, 피해 복구 등을 아우르는 80개 인증기준을 충족해야 한다. 과학기술정보통신부와 개인정보보호위원회가 제도를 담당한다.

주요 정보통신서비스 제공자를 비롯해 정보통신서비스 부문 매출액이 100억원 이상이거나, 일평균 이용자가 100만명 이상인 사업자 등이 의무 인증 대상이다.

그러나 29CM에서는 인증 획득 약 두 달 뒤인 지난 8월 27일 주문정보 조회 연동 기능(API)에 외부의 비정상적인 접근이 발생했다. 고객 이름 13만8841건이 노출됐다. 이름과 이메일 주소, 휴대전화번호, 배송정보가 함께 담긴 자료도 2만1011건 유출됐다.

확인된 고객정보는 총 15만9852건이다. 조사 과정에서는 29CM 입점업체 담당자의 개인정보가 유출된 사실도 추가로 드러났다.

정부 자료를 보면 최근 3년간 ISMS 및 개인정보보화 관리체계(ISMS-P) 인증기업 1283곳 가운데 179곳에서 침해사고가 발생했다. 전체의 약 14%로 인증기업 7곳 중 1곳꼴이다. 정부는 지난 4월 현장 실증과 사고기업 특별 사후심사를 확대하는 개편안을 발표했다.

개인정보 유출에 대한 기업 책임도 강화됐다. 지난 11일부터 시행된 개정 개인정보 보호법은 반복적이거나 고의·중과실로 대규모 유출을 일으킨 기업에 전체 매출액의 10% 이내에서 징벌적 과징금을 부과할 수 있도록 했다. 최고경영자의 개인정보 보호 최종 책임도 명시했다.

[저작권자ⓒ 일요주간. 무단전재-재배포 금지]