.jpg)
주민등록번호 등 개인정보 유출과 안전조치 미흡
과징금 2억 700만원, 과태료 600만원 부과
[보안뉴스 박은주 기자] 개인정보보호위원회(위원장 고학수)는 개인정보보호 법규 위반 ‘법원행정처’에 총 2억 700만원 과징금과 600만원 과태료를 각각 부과하고 개선 권고키로 의결했다.
개인정보위는 8일 제1회 전체회의를 열고, 이같은 처분을 최종 의결했다. 개인정보 유출 신고에 따라 조사한 구체적인 위반 내용과 처분 결과에 따르면, 법원행정처는 이용상 편의를 위해 내부망-외부망 간 상호 접속이 가능토록 네트워크 통시 통로(포트)를 개방해 운영했다. 포트를 통해 침입한 해커에 의해 내부망 전자소송 서버(스토리지)에 저장된 다량의 소송 관련 문서(자필 진술서, 혼인관계증명서, 진단서 등)가 포함된 1,014GB(기가바이트) 분량의 데이터가 유출됐다.
이 중 경찰 수사결과 복원이 이루어진 4.7GB의 파일을 분석한 결과, 해당 데이터 내 주민등록번호를 포함한 1만 7,998명의 개인정보(이름, 주민등록번호, 생년월일, 연락처, 주소, 나이, 성별 등)가 확인됐다.
법원행정처는 소송 관련 문서(PDF 파일)를 전자소송 서버(스토리지)에 저장·보관하면서, 주민등록번호가 포함된 소송문서를 암호화하지 않았다. 인터넷가상화시스템 계정을 관리하는 인터넷AD서버 관리자 계정과 업무용 PC 그대로 인터넷 환경만 가상화로 전환해 사용하는 인터넷가상화PC 취급자 계정의 비밀번호 역시, 유추하기 쉬운 해당 계정의 초기 비밀번호를 그대로 사용했다. 심지어 내부망 ‘인터넷가상화웹서버’에 백신 소프트웨어 등 보안프로그램을 설치하지 않고 운영하는 등 기본적인 안전조치마저 미흡했던 것으로 드러났다.
법원행정처는 2023년 2월 악성 파일을 탐지한 뒤 침해사고 자체조사를 진행, 두 달 뒤 4월 법원에서 개인정보가 유출된 정황을 인지했음에도, 8개월여 뒤에야 개인정보 유출을 신고를 하고 홈페이지에 관련 안내문도 늦장 게재했다.
이에, 개인정보위는 법원행정처을 상대로 과징금∙과태료 부과와 관련 내용 공표를 완료했다. 개인정보처리시스템 운영체계 및 조직·인력, 관련 규정 등 보호체계 전반에 걸친 안전조치 실태 점검과 개인정보 보호조치 수준 향상 방안 마련도 개선 권고했다.
개인정보위 관계자는 "대량의 개인정보를 처리하고 있는 공공기관은 보안프로그램 설치·운영이나 각종 운영체제 등에 대한 보안 업데이트 등 안전조치와 관련된 의무 사항을 반드시 이행해야 한다"며 "외부 불법접근 시도에 대해서도 상시 모니터링하는 등 각별한 주의가 필요하다"고 말했다.
[박은주 기자(boan5@boannews.com)]
과징금 2억 700만원, 과태료 600만원 부과
[보안뉴스 박은주 기자] 개인정보보호위원회(위원장 고학수)는 개인정보보호 법규 위반 ‘법원행정처’에 총 2억 700만원 과징금과 600만원 과태료를 각각 부과하고 개선 권고키로 의결했다.
▲개인정보위가 개인정보 보호법을 위반한 법원행정처에 과징금·과태료를 부과했다[사진=개인정보위]
개인정보위는 8일 제1회 전체회의를 열고, 이같은 처분을 최종 의결했다. 개인정보 유출 신고에 따라 조사한 구체적인 위반 내용과 처분 결과에 따르면, 법원행정처는 이용상 편의를 위해 내부망-외부망 간 상호 접속이 가능토록 네트워크 통시 통로(포트)를 개방해 운영했다. 포트를 통해 침입한 해커에 의해 내부망 전자소송 서버(스토리지)에 저장된 다량의 소송 관련 문서(자필 진술서, 혼인관계증명서, 진단서 등)가 포함된 1,014GB(기가바이트) 분량의 데이터가 유출됐다.
이 중 경찰 수사결과 복원이 이루어진 4.7GB의 파일을 분석한 결과, 해당 데이터 내 주민등록번호를 포함한 1만 7,998명의 개인정보(이름, 주민등록번호, 생년월일, 연락처, 주소, 나이, 성별 등)가 확인됐다.
법원행정처는 소송 관련 문서(PDF 파일)를 전자소송 서버(스토리지)에 저장·보관하면서, 주민등록번호가 포함된 소송문서를 암호화하지 않았다. 인터넷가상화시스템 계정을 관리하는 인터넷AD서버 관리자 계정과 업무용 PC 그대로 인터넷 환경만 가상화로 전환해 사용하는 인터넷가상화PC 취급자 계정의 비밀번호 역시, 유추하기 쉬운 해당 계정의 초기 비밀번호를 그대로 사용했다. 심지어 내부망 ‘인터넷가상화웹서버’에 백신 소프트웨어 등 보안프로그램을 설치하지 않고 운영하는 등 기본적인 안전조치마저 미흡했던 것으로 드러났다.
법원행정처는 2023년 2월 악성 파일을 탐지한 뒤 침해사고 자체조사를 진행, 두 달 뒤 4월 법원에서 개인정보가 유출된 정황을 인지했음에도, 8개월여 뒤에야 개인정보 유출을 신고를 하고 홈페이지에 관련 안내문도 늦장 게재했다.
이에, 개인정보위는 법원행정처을 상대로 과징금∙과태료 부과와 관련 내용 공표를 완료했다. 개인정보처리시스템 운영체계 및 조직·인력, 관련 규정 등 보호체계 전반에 걸친 안전조치 실태 점검과 개인정보 보호조치 수준 향상 방안 마련도 개선 권고했다.
개인정보위 관계자는 "대량의 개인정보를 처리하고 있는 공공기관은 보안프로그램 설치·운영이나 각종 운영체제 등에 대한 보안 업데이트 등 안전조치와 관련된 의무 사항을 반드시 이행해야 한다"며 "외부 불법접근 시도에 대해서도 상시 모니터링하는 등 각별한 주의가 필요하다"고 말했다.
[박은주 기자(boan5@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
박은주기자 기사보기
[2025-01-08] 
.jpg)
