김승주 고려대 정보보호대학원 교수
![[디지털산책] 한국 `정보보호 의무` 괜찮은가](http://contents.dt.co.kr/images/201609/2016090602102251607001[1].jpg "[디지털산책] 한국 `정보보호 의무` 괜찮은가")
'상업적으로 합리적인(Commercially Reasonable)', 최근 미국 보안업계에서 주목받고 있는 용어다.
일반적으로 미국 법원은 보이스 피싱이나 파밍, 해킹 등으로 인한 금융 사기가 발생한 경우 '고의성'이 없는 한 소비자들의 편을 들어주는 경우가 많다. 이는 한국과 달리 배심원들이 재판을 하기 때문이기도 하지만, 근본적으로 기술이나 정보적인 면에서 우위에 있는 은행(이나 기업)이 보다 더 적극적으로 힘없는 소비자들을 보호해줘야 한다는 취지에서다. 그런데 2013년 미국 법원은 일반 개인이 아닌 기업고객이 해킹 피해를 입었을 경우에도 은행이 보상을 해야 한다는 판결을 내렸는데, 이것이 그 유명한 펫코(Patco) 소송 사건이다.
2009년 5월 정체불명의 해커가 '펫코'라는 건설업체의 전산망에 침입했다. 이들은 직원들의 ID와 패스워드를 훔쳐낸 후, 이를 이용해 오션(Ocean)은행에 개설된 펫코사의 계정으로부터 588,000달러를 인출해갔다. 1심에서 법원은 은행에 책임을 물을 수 없다는 판결을 내렸다. 그러나 이어진 항소심에서 법원은 UCC(Uniform Commercial Code) 4A 조항에 의거 오션은행이 '상업적으로 합리적인 노력'을 다하지 않았다며 1심 판결을 뒤집는다.
일반적으로 미국 법률에서는 '노력의 의무'를 규정하는데 있어 △Best Efforts(최선의 노력), △Reasonable Best Effort(합리적인 최선의 노력), △Reasonable Effort(최선의 노력), △Commercially Reasonable Effort(상업적으로 합리적인 노력), △Good Faith Efforts(선의의 노력) 등의 표현을 쓴다.
문어적 의미로만 본다면, '최선'은 그야말로 가장 최고 수준을 의미하는 것이고, '합리적'은 꼭 최선까지는 아니더라도 어느 정도 상당한 수준의 노력이라고 생각할 수 있다. 그러나 미국의 판례들을 보면 이러한 차이를 전혀 구분하지 않는 것에서부터 '최선'을 '합리적'보다 높은 수준이라고 인정하는 것까지 매우 다양하다. 펫코 소송 사건이 주목받는 것은 법원이 은행의 상업적으로 합리적인 노력의 수준을 고객의 편에서 꽤 높게 인정했기 때문이다.
최근 우리 법원은 KT가 "방송통신위원회의 과징금 부과 처분을 취소해 달라"며 낸 소송에서 KT 승소로 판결했다. 지난 2013∼2014년 고객센터 홈페이지 해킹으로 981만 명의 개인정보를 유출한 KT에 과징금 7000만원을 매긴 방통위의 처분이 위법하다고 판결한 것이다. 법원은 KT가 당한 '파라미터 변조' 수법이 널리 알려졌으나 다양한 패턴이 있기 때문에 공격에 대비하기 어렵다고 판단했다. 또, 고객 홈페이지에서 해커 접속은 1％ 미만이라 이상행위를 탐지하기 힘든 것으로 판단했으며, 해킹 발생 당시 방통위의 개인정보보호조치기준이 구체화하지 않았다는 점도 지적했다.
파라미터 변조는 해킹에서 많이 이용되는 수법으로 단순하지만 치명적이며, 다양한 패턴이 존재하는 것은 맞다. 그러나 그렇다고 해서 모든 파라미터 변조 해킹을 막을 수 없는 것은 아니다. 또한 이번 사건의 주요 원인은 기본적인 암호화나 적절한 인증 과정이 미흡해서 발생한 것이지 이상행위탐지 시스템의 탐지율과는 그다지 관계가 없다.
이번 판결로 인해 가뜩이나 기업 입장에서 보안을 위해 쏟는 금액보다 과징금을 내버리는 게 더 이득인 상황에서, 이젠 과징금조차 내지 않아도 되는 책임회피까지도 가능한 상황이 돼 버렸다. 이제는 우리나라 법정에서 매번 등장하는 '불가항력'이라는 단어를 그만 들었으면 좋겠다.
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
