[서울=뉴시스]김상윤 기자 = 커피전문점 할리스에서 과거 멤버십 가입 고객의 개인정보가 유출되는 사고가 발생하면서 식품·외식업계의 회원 정보 관리 실태가 다시 주목받고 있다.

20일 업계에 따르면 자체 앱과 멤버십을 통해 대규모 개인정보를 보유하는 기업이 늘어나는 가운데 정보의 보관·파기뿐 아니라 침해사고를 조기에 탐지하고 대응할 수 있는 보안 역량도 주요 과제로 떠오르고 있다.

앞서 할리스는 16일 멤버십 정보를 사용하는 클라우드 서비스에서 고객 개인정보가 유출된 사실을 확인했다. 한국인터넷진흥원(KISA)에 신고한 유출 규모는 중복 회원을 포함해 약 276만건으로 2020년 2월11일 이전 가입 고객의 정보가 대상이다.

특히 유출된 자료는 현재 운영 중인 고객 데이터베이스(DB)가 아닌 과거 멤버십 서비스 개편을 위해 제공한 임시 데이터 파일로 파악됐다. 이에 따라 과거 수집한 회원 정보의 보관과 파기 등 사후 관리의 중요성도 부각되고 있다.

개인정보보호위원회는 지난 2월 식음료 분야 10개 업체의 개인정보보호법 위반 행위에 대해 총 15억6600만원의 과징금과 1억1130만원의 과태료를 부과하고 시정명령 및 공표명령을 의결했다.

당시 조사에서는 상당수 업체가 보유기간이 지나거나 처리 목적이 달성된 개인정보를 파기하지 않고 보관하거나 접근권한 관리와 접근통제, 접속 기록 보관 등의 안전조치를 소홀히 한 것으로 나타났다.

이에 투썸플레이스는 지난 2월 개인정보위가 지적한 매장 주문 시 휴대전화 번호 필수 입력 문제와 관련해 주문 시스템과 운영 절차를 개선했다. 현재는 휴대전화 번호를 입력하지 않아도 비회원 주문과 결제가 가능하다.

투썸플레이스는 "수집한 개인정보는 이용 목적과 항목에 따라 보유기간을 구분해 관리하고 회원 탈퇴나 보유기간 경과 등 처리 목적이 달성되면 파기하고 있다"고 설명했다.

보안 측면에서는 침입 차단 시스템을 통해 외부의 무단 접근을 통제하고 있으며 정기적인 내부 점검과 실시간 모니터링을 통해 확인된 취약 사항을 개선하고 있다.

이디야도 당시 지적받은 개인정보 미파기와 접근권한 관리 문제에 대한 개선 조치를 완료했다고 밝혔다.

보유기간이 지난 개인정보가 적절하게 파기되도록 관리 체계를 정비하고 개인정보처리시스템의 접근권한 관리를 강화했다. 관련 조치 결과는 개인정보위에 보고했다는 설명이다.

시정 조치 이후에는 개인정보 처리 전반에 대한 자체 재점검을 실시했다. 개인정보 처리 업무 수탁사에 대한 점검도 병행하고 있으며 외부 전문 기관을 활용한 정보보호 점검도 검토 중이다.

메가MGC커피는 마케팅 수신에 동의하지 않은 회원에게 광고성 메시지를 발송한 문제를 개선했다.

개인정보위는 지난 2월 회원의 개인정보를 동의 없이 목적 외로 이용한 메가MGC커피 운영사 엠지씨글로벌에 과징금 6억4200만원을 부과했다.

이후 메가MGC커피는 회원가입 과정에서 마케팅 수신 동의 항목을 직접 선택한 회원에게만 앱 푸시 등 광고성 메시지가 발송되도록 기준을 변경했다. 앱 전면 개편을 통해 개인정보 보호와 내부 정보 관리 체계도 강화했다.

최근 할리스 사고와 관련해서도 보안 프로세스와 접근통제 체계 전반에 대한 점검을 진행하고 있다고 밝혔다.

지난 2023년 9월 개인정보 보호법 개정으로 1년 이상 서비스를 이용하지 않은 회원의 개인정보를 의무적으로 파기하거나 분리 보관하도록 한 '개인정보 유효기간제'는 폐지됐다.

다만 개인정보 처리 목적이 달성되거나 보유기간이 끝난 정보는 지체 없이 파기해야 한다는 원칙은 유지되고 있다.

메가MGC커피는 "해당 제도 개편에 따라 회원 정보를 서비스 이용 기간인 회원 탈퇴 시까지 보유하고 있으며 회원 탈퇴나 동의 철회 등 처리 목적이 달성되면 파기하고 있다"고 설명했다.

이처럼 개인정보의 보유기간과 파기 기준을 마련하는 것과 함께 외부 침입을 조기에 발견하고 차단할 수 있는 보안 체계를 갖추는 것도 중요한 과제로 꼽힌다.

앞서 스타벅스는 최근 금융권 해킹 사태 이후 공격 인터넷주소(IP)를 긴급 차단하고 공격 패턴 모니터링 정책을 적용했다. 내부 시스템의 침입 흔적도 조사했으나 특이 사항은 발견되지 않았다고 밝혔다.

약 2400만명의 회원을 보유한 해피포인트 운영사 상미당홀딩스 역시 침해사고 대비 IT보안 자체점검을 실시했다. 주요 시스템에 다중인증(MFA)과 접근통제를 적용하고 있으며 추가적인 취약점 진단과 모의해킹도 추진하고 있다.

CJ제일제당도 공식 온라인몰 CJ더마켓에서 비정상적인 접속 패턴과 반복 요청을 탐지·차단하는 기능을 강화하고 봇 기반 로그인 공격 차단 기능을 운영하고 있다.

다만 상대적으로 규모가 작은 식품·외식업체들은 보안 전담 인력과 예산 확보에 어려움을 겪으면서 침해사고를 조기에 발견하고 대응하는 데 한계가 있을 수 있다는 지적도 나온다.

특히 자체 앱 개발과 시스템 유지보수 등을 외부 업체에 위탁하는 경우 침해사고 발생 여부를 파악하거나 대응하는 과정에서도 외주업체에 의존해야 해 초기 대응이 늦어질 수 있다는 분석이다.

곽진 아주대 사이버보안학과 교수는 "중소 외식업체나 프랜차이즈 업체들은 침입탐지 시스템이나 보안관제 시스템을 구축하기가 쉽지 않다"며 "전담 인력이 없고 외주 업체에 의존하다 보면 피해 발생 사실도 외주 업체를 통해 알 수밖에 없어 대응이나 신고 과정에서 골든 타임을 놓칠 수 있다"고 말했다.

이에 따라 단순히 보안 시스템을 도입하는 데 그치지 않고 개인정보를 직접 관리·감독할 수 있는 기본적인 체계를 갖추는 것이 중요하다는 설명이다. 불필요한 장기 미이용 고객정보를 주기적으로 점검하고 개인정보 암호화와 관리자 접근통제 등 기본적인 보호조치도 마련해야 한다는 지적이다.

곽 교수는 "기본적인 인력과 관리할 수 있는 시스템, 체계부터 갖춰야 한다"며 "(기업은) 고객을 대상으로 수익을 창출하는 곳인 만큼 고객정보를 안전하게 지킬 수 있는 자체적인 체계가 있어야 한다"고 강조했다.

◎공감언론 뉴시스 [email protected]

Copyright © NEWSIS.COM, 무단 전재 및 재배포 금지