온라인에 넘쳐나는 정보 속에서 우리는 끊임없이 보안 침해 사고를 걱정합니다. 하지만 미국에서는 이러한 유출 사고가 특정 조건 하에 비밀로 부쳐질 수도 있는 입법 논의가 진행 중입니다.
기업이 침묵할 때
제안된 법안에 따르면, 기업은 해커가 시스템에 침투했더라도 해당 유출이 고객에게 "심각한 영향을 미칠 합리적인 가능성이 없다"고 판단될 경우 이를 공개하지 않을 수 있습니다. 통상적으로 해킹 피해를 입은 기업은 연방거래위원회(FTC)에 세부 사항을 보고해야 하지만, 이 법안이 통과되면 유출 공개를 의무화하는 기존의 주별 법안들은 효력을 잃게 됩니다.
요약하자면, 민감하거나 피해를 줄 만한 정보가 유출되지 않았다면 기업은 해킹 사실을 고객에게 알릴 의무가 없습니다.
해킹당한 기업은 유출된 데이터가 고객이 우려할 만한 사항인지, 즉 신원 도용이나 금융 정보 유출로 이어질 수 있는지를 평가해야 합니다. 다음과 같은 경우에는 여전히 통보 의무가 발생합니다.
"보안 침해가 다음에 해당할 경우: (1) 1만 명 이상의 개인정보가 관련되거나, (2) 100만 명 이상의 개인정보를 담은 데이터베이스, (3) 연방 정부 데이터베이스, (4) 국가 안보 또는 법 집행과 관련된 연방 직원 및 계약자의 개인정보."
유출 사고 발생 시 기업에 자문하는 개인정보 보호 전문 변호사 제럴드 퍼거슨(Gerald Ferguson)은 월스트리트 저널과의 인터뷰에서 다음과 같이 말했습니다.
"이 법안은 알림 의무를 줄이는 결과를 낳을 것입니다. 기업이 '재정적 피해의 합리적 위험' 여부를 다시 분석할 수 있도록 허용하기 때문입니다. 피해 위험 분석을 시작하면 재량권이 크게 생기게 됩니다."
2015년 데이터 보안 및 유출 통보 법안(Data Security and Breach Notification Act of 2015)은 두 차례 낭독된 후 상원 상무·과학·교통위원회로 회부되었습니다.
기업에 유리한 이유
이 모든 논의의 핵심은 아이러니하게도 애슐리 매디슨이 내세웠던 '신중함(discretion)'입니다.
평판은 기업의 생존과 직결됩니다. 예를 들어, 카폰 웨어하우스(Carphone Warehouse)는 영국에서 240만 명에게 영향을 미쳤을 수 있는 유출 사고를 최대한 오랫동안 숨겼습니다. 누구도 해킹에 취약한 기업을 믿고 싶어 하지 않기 때문입니다. 오라클(Oracle)은 고객에게 자사 코드를 리버스 엔지니어링해 보안 취약점을 찾지 말아달라고 요청해 자충수를 두었습니다. 이는 "우리에겐 수많은 보안 문제가 있다"고 자인하거나, "당신의 개인 정보를 우리에게 맡길 수 없다"는 거대한 간판을 내거는 것과 다름없습니다.
평판은 곧 돈입니다. 2014년 연구에 따르면 기업은 유출된 기록 하나당 평균 145달러를 지출했습니다. 2013년 타겟(Target)이 4천만 명의 고객 신용카드 정보 유출을 발표했을 때, 피해자들은 최대 1만 달러의 손해배상을 청구할 수 있었고(실제 지급액은 훨씬 적었음), 총액은 1천만 달러에 달했습니다.
주가는 유출 발표 후 일시적으로 하락했지만, 타겟이 법적 의무보다 앞서 자발적으로 공개한 것이 오히려 피해를 줄였다는 분석도 있습니다. 그럼에도 위험은 큽니다. 증권거래위원회(SEC) 변호사 더글라스 밀(Douglas Meal)은 2015년 3월 다음과 같이 지적했습니다.
"유출 사실을 전혀 공개하지 않으면 집단 소송에 휘말리지 않습니다. 유출 '공개' 자체가 소송의 폭풍을 몰고 오기 때문입니다. 기업은 공개가 옳은 일이라 생각하지만, 결국 문제의 주체로 인식되게 됩니다."
고객에게도 이득이 될 수 있는 이유
긍정적인 시각도 있습니다. 지나치게 잦은 알림은 고객에게 불필요한 공포와 혼란만 야기할 수 있습니다. 이는 해킹 피해 기업에게 분명히 유리하지만, 고객에게도 이득이 될 수 있습니다.
현재 미국 내 공개 제도의 큰 문제는 주별 법규가 제각각이라는 점입니다. 각기 다른 규정을 준수하느라 실제 알림이 늦어지는 경우가 많습니다. 연방 차원의 단일 기준(FTC 규정)을 따르면 기업은 여러 단계를 거치지 않고 신속하게 대응할 수 있습니다.
기준이 모호할 수 있다는 우려도 있지만, 2015년 법안 초안에는 판단 기준이 명확히 명시되어 있습니다. 국가 안보 관련 데이터 보호의 중요성을 강조하면서도, 1·2조 항목은 대규모 유출을 포괄적으로 다루고 있습니다.
알림은 신속해야 합니다. 본인의 금융 정보가 유출됐다면 (이론상으로는) 최대한 빨리 통보받아야 합니다. 그만큼 대응할 시간을 벌 수 있기 때문입니다. 빠르게 대처할수록 피해는 줄어듭니다. 반면교사로 삼을 만한 영국 사례가 있습니다. 카폰 웨어하우스는 "정교한 사이버 공격"을 당한 지 3일 만에 발표했습니다. 최대 9만 장의 신용카드 정보가 유출됐을 수 있으나, 데이터가 암호화돼 위험은 낮았습니다.
피해 고객에게 카폰 웨어하우스는 은행 거래 모니터링 요청, 신용 등급 확인, 해당 계정 및 동일 비밀번호 사용 계정의 비밀번호 변경(강력한 비밀번호 생성법 숙지), 사기 전화를 가장한 보이스피싱 주의(범죄자가 회선을 유지할 수 있으므로 직접 은행에 전화할 것) 등을 권고했습니다.
신용카드 사기 피해 시 대처 체크리스트를 숙지하고, 은행이 온라인이나 전화로 절대 묻지 않는 정보가 무엇인지 기억하세요.
알림 발송에도 비용이 듭니다. 모든 유출마다 모든 고객에게 알리는 것은 막대한 자원을 소모합니다. 이를 생략하면 기업은 보안 구멍을 막고 사고를 조사하는 데 집중할 수 있습니다. 기업은 평판 방어를 위해 보안 취약점 개선에 적극적인 모습을 보여야 합니다. 카폰 웨어하우스는 사과와 사이트 접근 차단 조치를 취했지만, 현재까지 사기 피해 고객에게 보상금을 지급하지는 않고 있습니다.
득인가 실인가?
아직 법으로 제정된 것은 아닙니다. 이 상황이 이상적이라고 말하는 것이 아닙니다. 동시에 생각만큼 나쁘지만은 않을 수도 있습니다.
고객이 공포에 떠는 것은 이해할 수 있는 반응입니다. 기업이 그런 우려와 평판·재정적 손실을 줄이려 하는 것을 비난할 수만은 없습니다.
하지만 기업이 이러한 사실을 숨긴다면, 어떻게 그들을 신뢰할 수 있을까요? 내 개인 정보를 맡기기에 안심할 수 있을까요? 그들은 우리의 신뢰를 받을 자격이 있을까요?