주민번호·연계정보 같이 털린 롯데카드 사태에...분리 보관 4개월 앞당긴다

주민등록번호와 온라인 개인 식별에 사용되는 연계정보(CI)를 따로 보관하는 제도가 당초 계획보다 4개월 앞당겨 시행된다. 롯데카드 해킹으로 두 정보가 함께 유출된 사실이 드러난 뒤 국회에서 제도 공백에 대한 지적이 나온 데 따른 후속 조치다.

방송미디어통신위원회는 18일 서면회의를 열어 주민번호와 CI 분리 보관 시행일을 내년 5월 1일에서 4개월 앞당겨 1월 1일로 변경하는 '연계정보 생성·처리 등에 관한 기준' 고시 개정안을 의결했다.

CI는 온라인에서 특정 개인을 식별하기 위해 주민번호를 암호화한 전자정보다. 주민번호를 직접 사용하지 않고도 이용자를 식별할 수 있지만, 주민번호와 CI가 함께 유출될 경우 개인 식별 가능성이 커지고 추가 피해로 이어질 위험이 있다.

연계 정보 생성 과정, 사진_국회 입법조사처

제도 개선에 속도가 붙은 계기는 롯데카드 정보유출 사고다.

방미통위 조사 결과 롯데카드에서 약 129만 명의 CI가 유출됐고 이 가운데 45만 명은 주민번호까지 함께 빠져나간 것으로 확인됐다. 온라인 결제 서버에 연계정보와 주민번호 등이 포함된 로그가 암호화되지 않은 상태로 노출됐고 해커가 이를 악용했다.

국회에서도 제도 시행이 지나치게 늦다는 지적이 나왔다. 국회는 2023년 12월 정보통신망법을 개정해 본인확인기관과 연계정보 이용기관이 주민번호와 연계정보를 분리해 저장·관리하도록 했지만, 관련 시행령과 고시는 지난해 5월에야 마련됐다. 분리 보관 의무 시행일도 2027년 5월로 유예됐다.

이에 지난해 9월 조국혁신당 이해민 전 의원은 롯데카드 사고 이후 법 시행에 맞춰 후속 제도가 마련되지 않아 사실상 약 3년간 공백이 생겼다고 지적했다. 특히 사업자들이 법적 기준이 마련되지 않았다는 이유로 보안 조치를 미룰 수 있었다며 옛 방송통신위원회에 분리 보관 시행 시점을 앞당길 대책을 요구했다.

당시 방통위는 위원회 운영이 어려웠던 기간과 사업자의 소프트웨어 개발 등 준비기간을 고려해 유예기간을 설정했다고 설명했다. 이후 방미통위는 롯데카드에 과태료 1,125만 원을 부과하면서 아직 법적 의무가 시작되지 않은 주민번호 연계정보 분리 보관 등에 대해서도 개선을 권고하고 유예기간 단축을 추진하기로 했다.

결국 방미통위는 지난 6월 시행 시기를 4개월 단축하는 고시 개정안을 마련한 데 이어 이날 이를 최종 의결했다. 이에 따라 관련 사업자는 내년 1월 1일부터 주민번호와 연계정보를 분리해 보관해야 한다.