[한국Q뉴스] 경기도의회 윤도희 의원은 9일 열린 제395회 제1차 미래과학협력위원회 AI국 행정사무감사에서 위탁 서비스가 경기도 정보보안 관리 체계의 사각지대에 놓여 있다고 지적하고 위탁기관까지 포함한 사고 통보·점검 체계 마련을 촉구했다.

경기도자원봉사센터는 지난 9월 25일 ‘자원봉사다움’을 통해 위탁 운영사의 안내를 인용해, 9월 20일 교육 사이트 운영 서버 침입으로 개인정보가 유출됐다고 공지했다.

윤 의원이 공개한 ‘최근 5년간 개인정보 유출 현황’에 따르면 이 사고로 성명, 주소, 이메일 성별 등 회원정보 2만 1104건이 유출됐다.

원인은 시스템 보안 취약점 악용과 악성코드 설치였으며 공격 IP 차단과 백도어 삭제, 취약점 보완 조치가 이뤄졌다.

윤 의원은 “한 기관의 위탁업체에서 사고가 나면 같은 서비스를 쓰는 다른 기관도 영향을 받을 수 있다”며 “계약 기관은 위탁업체를 관리하고 경기도는 영향을 받은 기관에 위험을 알리고 점검을 진행할 수 있어야 한다”고 지적했다.

피해 규모 집계도 허술했다.

윤 의원이 2만 1104건이 센터 이용자만인지, 운영사 전체인지, 중복을 제외한 인원인지 확인했느냐고 묻자 과장은 “중복이 포함돼 있다”고 답했다.

윤 의원은 중복을 제외한 실제 피해 범위 자료를 요구하며 “직접적인 위탁기관은 아니지만 관리 감독이나 정보 파악은 필요하다”고 말했다.

윤 의원은 AI국이 이 사고를 언제·누구를 통해 처음 알았는지, 같은 업체나 플랫폼을 쓰는 다른 기관이 실제로 위험을 통보받았는지도 따졌다.

이와 함께 최초 접수 시각, 통보 기록, 긴급 점검과 기술 지원 내역을 서면으로 제출하되 조치 기록이 없으면 그 사유도 적으라고 요구했다.

정보자산 관리에서도 빈틈이 드러났다.

윤 의원이 6월 정보보안 관리실태 평가 당시 정보자산 전수조사에 자원봉사센터가 포함됐는지 묻자, 과장은 “확인해 봐야 할 것 같다”고 답했다.

윤 의원은 위탁 서비스의 담당 부서·연락처 확인 여부가 담긴 조사표 제출을 요구했다.

밤이나 휴일에 위탁 서비스 사고 통보가 들어오면 같은 서비스를 쓰는 다른 기관에 누가 알리느냐는 질의에, 과장은 24시간 사이버관제센터와 비상연락망을 운영하고 있다고 설명하면서도 “위탁까지 세부 명단은 확보가 안 돼 있다”고 인정했다.

이어 “현재 인력에 한계가 있어 위탁기관까지는 신경을 쓰지 못했지만, 위탁기관까지 관리할 수 있도록 최대한 노력하겠다”고 답했다.

윤 의원은 “협력업체나 위탁기관의 보안망이 공공기관보다 상대적으로 취약하다 보니 그쪽으로 공격이 들어오고 있다”며 “도민의 개인정보가 들어 있는 위탁 서비스라면 관리 대상에 반드시 포함해 보완해야 한다”고 강조했다.

아울러 위탁서비스 사고가 이용기관에 곧바로 전파되도록 야간·휴일 긴급 대응 훈련을 주문했다.