[FETV=신동현 기자] KT는 과거 두차례 해킹 사건으로 인해 2000만명의 주요 정보가 유출당하는 피해를 입었다. 이 사건 이후 KT는 정보보호 체계 강화에 나섰고 최근에도 꾸준히 정보보안 투자 금액을 늘리며 관리 체계를 정비하고 있다.

KT는 2012년과 2014년 두차례 대형 해킹 사고를 겪었다. 2012년 7월 KT 전산망이 해킹당해 약 870만명의 휴대전화 가입자의 이름, 주민등록번호, 휴대전화번호, 모델명, 요금제 등 핵심 정보들이 유출됐다. 당시 KT는 5개월간 해킹 사실을 인지하지 못했고 이후 경찰 수사로 사건이 밝혀졌다.

이어 2014년에도 해커들이 1년 동안 신종 해킹 툴을 이용해 KT 홈페이지에서 고객정보를 탈취하는 사건이 발생했다. 이때 약 1200만명의 개인정보가 유출됐는데 당시 이름, 주민등록번호, 휴대전화번호, 주소, 직업, 은행계좌 등 정보까지 포함되며 일부는 휴대전화 판매와 개통 영업에 악용됐다.

KT는 이에 정보보호 체계를 재정비했다. 우선 KT는 전 임직원을 대상으로 개인정보 보호 서약을 실시하고 정보보호 온라인 교육을 의무화하며 대리점과 협력사 역시 개인정보 보호 점검과 현장 교육을 통해 관리 체계를 강화했다.

기술 분야에서는 방화벽, 침입탐지시스템(IDS), 접근제어시스템 등 외부 침입 방지 시스템 구축과 개인정보 저장과 전송 과정의 암호화를 진행하며 기존에 수집한 주민등록번호 데이터는 폐기하고 신규 수집 시에는 주민등록번호 대신 I-PIN이나 휴대폰 본인 인증을 사용하는 방식으로 전환했다

데이터 복제·유출을 막기 위한 권한 통제 시스템인 '디지털 저작권 관리 시스템(DRM)'과 내부 데이터가 외부로 유출되는 것을 막는 시스템인' 데이터 유출 방지 시스템(DLP)' 솔루션도 도입했다.

또 주기적인 취약점 점검과 정부 기관과의 침해사고 대응 모의훈련을 도입해 보안 대응 역량 강화를 추진했다.

이와 같은 조치를 통해 KT는 2013년 국가 공인 정보보호관리체계(ISMS) 인증을 인터넷 서비스 사업자(ISP), IDC(인터넷데이터센터), 정보통신서비스 부문에서 받을 수 있었다.

2015년에는 해킹 의심 비정상 행위 모니터링을 위한 통합 보안관제 체계를 구축하고 지능형 지속 위협(APT) 공격 대응 체계도 마련했다. 신규 서비스 출시 전 보안성 검토 절차 필수화와 소프트웨어 개발 과정에서의 보안코딩 의무화하는 등 보안 수준을 강화했다.

또 주민등록번호 수집 중단과 대체 인증 수단 도입, 장기 미이용 고객 개인정보 파기 등 개인정보 관리 체계도 지속적으로 강화했다.

정보보호 강화 기조는 이어지고 있다. 2023년에 정보보호에 1218억원을 투자했는데 이는 2021~2022년 대비 약 18% 증가한 수치다. IT투자예산 대비 비율도 지난 5.2%, 5.4%서 6.4%로 증가했고 전담 인력도 336명에서 304명, 그리고 337명으로 증원했다.

기술적으로는 AI(인공지능) 기반 보이스피싱 탐지 체계를 구축해 이상 징후 발생 시 통신 차단 및 고객 알림 등의 선제 대응과 함께 악성코드 탐지 및 대응 체계를 구축하며 개인정보 영향평가를 통해 서비스별 개인정보 처리 위험성을 사전에 점검하고 있다. 고객 스스로 개인정보 이용 이력을 조회할 수 있는 시스템도 운영 중이다.

CEO 직속 정보보호최고책임자(CISO) 중심 관리 체계를 구축하고 고객정보를 취급하는 시스템 및 협력사를 대상으로 정기 보안 실태 점검을 진행하며 신규 서비스 출시에 앞서 보안성 검토를 의무화했다.

KT 관계자는 “비정상적인 기기변경 및 로밍에 대해 실시간 모니터링해 차단하는 시스템을 지속 고도화해 운영 중”이라며 “유심 정보 암호화, 방화벽 강화 등 고객 정보 보안에 최선을 다하고 있다”고 말했다.