SR, 홈페이지 회원 750만명, 일일 평균 열차 이용객 5만명, 누적 이용객 1억명
개인정보 관리수준 진단을 개인정보 관리 수준 업그레이드 기회로!

[보안뉴스 원병철 기자] 대한민국 철도산업 발전과 국민안전 및 편익 제고라는 소임을 다하기 위해 2013년 12월에 설립되어 2016년 12월에 SRT 고속열차를 개통한 에스알(이하 SR)은 국토교통부 산하의 공공기관이다. SR은 SRT수서역, 동탄역, 평택지제역을 기점으로, 수서에서 부산까지 운행하는 경부고속선과 수서에서 목포까지 운행하는 호남고속선을 운행하고 있다. 또한, SRT 홈페이지 회원은 약 750만명이고, 일일 평균 열차 이용객은 5만명이 넘으며, 지금까지 누적 이용객은 1억명을 돌파했다.


▲SR이 운영중인 SRT[사진=SR]

SR은 수많은 국민들이 이용하는 철도라는 특성상 개인정보 보호 분야에서도 끊임없는 노력을 통해, 공공기관 최초 ‘정보보호 및 개인정보보호 국내외 인증 7종 획득’, 3년 연속 ‘정보보호 투자 우수기업 지정’, 2년 연속 ‘공공기관 정보보호 실태평가 종합 우수 획득’의 성과를 거뒀다. 이에 지난 2021년에 ‘제20회 K-ICT 정보보호 대상 우수상 수상’, ‘시큐리티어워드코리아 2021 공공부문 대상 수상’, ‘2022 국가산업대상 정보보안 대상 수상’의 쾌거를 달성했다.

또한 SR은 공공기관에 지정(2018년 2월)된 이후 매년 ’공공기관 개인정보 관리수준 진단‘ 평가를 받아, 2018년 74.7점, 2019년 82.55점, 2020년 89.43점으로 ‘보통’ 등급을 받았고, 2021년에는 92.9점으로 ’양호‘ 등급을 받았다. 특히, 2021년도 개인정보 관리수준 진단에서는 그간의 미비사항을 보완하기 위해 개인정보의 수집, 이용, 보관, 파기 등 절차 점검, 제3자 제공 및 목적 외 이용 제공 절차와 기준 명확화 등에 집중해 총 13개 평가지표 중 10개 지표에서 만점을 받았다.

이와 관련 SR은 “단순히 공공기관 개인정보 관리수준진단에서 좋은 평가를 받기 노력하지 않았다”면서, “SRT를 이용하는 국민의 개인정보를 안전하게 관리하고, 안전한 개인정보보호 문화가 정착될 수 있도록 ‘어떠한 부분이 부족하고, 어떻게 개선해야 될지’에 대한 ‘과정’에 초점을 맞추어 부족한 부분을 보완하기 위해 노력했다”고 밝히고 있다. 특히 SR은 개인정보 관리수준 진단을 공공기관 평가제도가 아닌, 개인정보 관리 수준을 한 차원 업그레이드할 수 있는 기회로 여긴 것이 주효했다는 설명이다.

경영진의 아낌없는 지원아래 보안 시스템 구축
SR은 회원정보, 거래정보, 민원정보, 상담정보 등 고객 개인정보를 관리하기 때문에 보다 철저한 정보보호 체계를 구축하고 있다. 특히 개인정보 보호에 대한 SR 경영진의 관심도가 높아 개인정보의 안전한 관리를 위한 보안 솔루션 도입을 적극 지원해주어 시스템 구축에 만전을 기했다. 우선, 침입방지시스템(DDoS 공격방어 시스템, 방화벽, IPS, 웹방화벽 등)과 접근통제시스템(서버접근제어, DB접근제어)을 통해 인가되지 않은 접근을 철저하게 차단하고 있으며, 개인정보가 안전하게 저장 및 관리될 수 있도록 개인정보 검출 솔루션을 운영하고, 월1회 개인정보 처리시스템 접속기록 점검을 실시하고 있다.

한편 정기적으로 업무PC 내 개인정보 보유현황을 점검하고, 개인정보 과다 보유 직원을 대상으로 별도 교육을 실시하고 있다. 또한, 매월 셋째 주 수요일을 ‘사이버보안 진단의 날’로 지정해 임직원 스스로 보안 취약점 및 업데이트 여부를 진단하도록 하고 있으며, 점검율과 점검점수를 부서 성과 평가에 반영해 개인정보보호를 위한 강제성을 부여하고 있다.

아울러 올해부터는 ‘개인정보 보호 우수자 포상’과 같은 정보보호 준수 독려제도를 새롭게 도입함으로써 임직원의 자발적인 정보보호 실천을 유도할 계획이다. 또한, 보안 포스터 및 홍보물품 제작·배포, 맞춤형 개인정보보호 교육, 정보보호 퀴즈대회, 정보보호 소식지 발간 등 다양한 활동을 지속해 개인정보보호 문화가 확산·정착될 수 있도록 할 계획이다.

다만, SRT를 이용하는 시민의 숫자가 워낙 많은 만큼 정보보호 인력 부족은 어쩔 수 없는 현실이라고 SR 개인정보보호 담당 김인영 정보보안부 주임은 말했다. “공공기관은 인력 증원을 하려면 기획재정부의 승인이 있어야 하나, 최근 인력증원이 수용되지 않아 적은 인력으로 운영을 하고 있습니다. SR은 최근 대국민 서비스에 대한 보안 강화를 위해 사이버안전센터 신설 등 많은 노력을 하고 있으나, 항상 인력이 부족해 운영에 한계가 있습니다. 아무쪼록 공공기관에서 정보보호 같은 중요한 업무를 수행하는 인력은 증원이 될 수 있도록 제도 개선이 조속히 이루어졌으면 합니다.”

이에 SR은 임직원의 인식 제고 함양에 많은 노력을 기울인다. 국민의 개인정보를 안전하게 보호하기 위해 매월 개인정보 처리 현황 점검 등을 통해 개인정보 유출사고 예방 활동을 지속적으로 이행하고 있으며, 임직원의 인식제고를 위해 직책, 업무별 맞춤형 개인정보 보호 교육, 개인정보보호 업무 법률 검토 지원, 개인정보 유출사고 대응 모의훈련, 정보보호 실천 퀴즈대회, 개인정보 보호 포스터 자체 제작, 개인정보 보호 문구가 각인된 마우스패드 제작 배포 등 다양한 활동을 수행하고 있다.


▲슬기로운 보안 생활[사진=SR]
또한 올해 3월부터는 알기 쉬운 내용으로 구성된 정보보안 소식지인 ‘슬기로운 보안 생활’을 매월 발간하고 있다. 최신 보안 동향과 사건 사고를 통해 개인정보 유출사고에 대한 경각심을 일깨우는 동시에, 매월 함께 실천하는 보안수칙이란 코너를 첫 페이지에 배치해 가볍게 읽더라도 스스로 잘 하고 있는지 확인할 수 있는 내용을 담고 있다.

아울러 재택근무의 일상화로 업무가 개인의 공간으로 옮겨지다 보니 개인정보 관리에 소홀해지는 일이 있어, 업무과정에서 외부에 유출될 수 있는 개인정보에 대한 안전한 관리를 위해 가장 먼저 ‘비대면 업무 보안관리 지침을 제정’하고, 가상화(VDI) 기반의 재택근무시스템을 조기 구축해 개인정보 보호에 집중했다.

또한 개인정보보호 강화로 직원 업무 불편이 우려되는 만큼 임직원 정보보호 유의사항 안내 공지를 시행했다. 다행히 우려한 바와 달리 SR 임직원 모두가 안내사항에 따라 개인정보를 철저하게 관리하고, 중요한 정보가 담긴 파일은 암호화하거나 SR 포털 내 자료공유 시스템을 적극 활용해 큰 어려움은 없었다.

이와 함께, SR은 공공기관의 책무인 사회적가치 기여와 동반성장을 위해 2021년부터 전국민이 함께하는 정보보호 활동과 중소기업을 대상으로 정보보호 컨설팅을 무상지원하고 있다.

전 국민이 함께하는 정보보호 활동으로, 2021년에는 홈페이지 취약점 포상대회인 ‘핵 더 챌린지 2021’를 한국인터넷진흥원과 공동 개최해 취약점 14건을 발굴한 바 있다. ‘22년에는 ‘핵 더 챌린지’ 대회뿐만 아니라, 홈페이지 취약점 포상제도를 도입해 상시 취약점을 발굴할 수 있도록 KISA와 협약을 체결했다. 또한 국민의 개인정보 피해 방지를 위해 홈페이지 보안 유의사항 게시, 보이스피싱 및 스미싱 퇴치 캠페인 등을 실시할 계획이다.

중소기업을 대상으로 정보보호 컨설팅 무상지원도 추진해 2021년에는 총 4개 중소기업에게 정보보호 컨설팅을 무상 지원했다. 2022년에는 10개 중소기업으로 컨설팅 지원을 확대하는 한편, 백신 SW도 무상으로 제공할 계획이다.
[원병철 기자(boanone@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>