[세상읽기] 해킹사태, 다음은 의료·생체정보다

목경열 두원공과대 보건의료행정학과 교수

최근 SK텔레콤에서 발생한 대규모 해킹 사건은 우리 사회 디지털 인프라의 취약성을 적나라하게 드러냈다. 악성코드를 통한 침입으로 약 9.7GB에 이르는 유심(USIM) 정보가 유출됐으며 이 안에는 가입자식별번호(IMSI), 인증키(Ki), 유심 일련번호 등 핵심 데이터가 포함돼 있었다. 국회 청문회를 통해 해당 정보들이 암호화되지 않은 채 저장돼 있었던 사실이 밝혀지자 통신사의 보안 관리 체계에 대한 국민적 불신이 확산됐다. SK텔레콤은 전 가입자 대상 무상 유심 교체라는 초유의 조치에 나섰지만 이미 실추된 신뢰를 회복하기에는 역부족이었다.

이번 SKT 해킹은 단순한 ‘사고’가 아니라 신뢰 기반 사회에서 정보 인프라가 얼마나 쉽게 무너질 수 있는지를 보여주는 사례다. 많은 국민이 “내 정보도 이미 유출된 게 아닐까” 하는 불안 속에서 정작 해킹 사실을 늦게 알게 되거나 사후 대처 방안조차 알 수 없었던 상황은 문제의 심각성을 더했다. 이는 한 기업의 실책을 넘어 사회 전체의 정보 보호 시스템이 근본적인 점검과 정비를 요구받고 있음을 뜻한다.

정보통신기술(ICT) 강국의 위상을 무색하게 한 이번 사태는 단지 통신 영역의 문제로 그치지 않는다. 유사한 구조를 가진 보건의료 분야 데이터 시스템에도 중대한 경고를 보낸다. 의료정보에는 질병 이력, 진료 내용, 정신건강 상태, 유전자정보 등 고도의 민감한 생체정보가 포함돼 있다. 이로 인해 유출 시 사생활 침해는 물론이고 차별, 낙인, 보험 및 고용상의 피해로까지 이어질 수 있다. 특히 원격진료와 디지털 헬스케어 서비스가 확산되면서 개인 의료정보의 수집·활용 범위가 폭발적으로 증가한 지금 정보 보호의 필요성은 그 어느 때보다도 절실하다.

실제 일부 비대면 진료 플랫폼에서는 환자의 진료 기록을 활용한 건강식품 마케팅 시도가 알려지며 사회적 논란이 증대됐다. 진료기록 데이터가 어떤 경로로 수집·저장·이용되는지 환자 스스로 알기 어려운 데이터 프로세싱 구조가 일반적인 현실이다. 앱 설치 후 동의만 하면 의료정보가 해외 클라우드에 저장되고 타깃 광고에 활용될 수도 있다는 사실을 인지할 수는 있지만 그 과정이 얼마나 안전한지에 대해서는 많은 이용자가 알 수도 없고 또 그 동의 선택에 여지가 없기도 하다. 의료비 상담을 받기 위해 앱을 설치한 디지털 소외계층이 선택의 여지 없이 유전자 정보가 넘어가고 그 정보의 안정성이 오리무중이라면 그것은 발전된 기술의 주인이 되기보다는 기술의 노예가 되기 십상이다.

정부는 디지털 헬스케어 산업 육성을 위해 규제 완화와 데이터 활용 촉진에 나서고 있지만 SKT 해킹 사태는 분명한 교훈을 남긴다. 보호 없는 활용은 신뢰를 무너뜨린다. 의료데이터 활용을 위한 그 어떤 정책도 ‘정보 보호’라는 확고한 전제 위에서 논의돼야 한다. 보건복지부와 개인정보보호위원회는 ‘마이헬스웨이’ 같은 건강정보 통합 플랫폼을 운영하기 전에 암호화, 접근 권한 분리, 이용 내역 투명 공개 등 강력한 보안 기준을 제도화해야 한다.

의료기관 내부의 정보 관리 체계 역시 개선이 시급하다. 내부인의 접근 권한 남용이나 유출 가능성은 여전히 상존하며 이중 인증이나 실시간 로그 감시 없이 방대한 환자 정보가 저장되는 병원도 적지 않다. 단순히 보안 솔루션을 도입하는 수준을 넘어 정보 보호 교육과 정기 감사 체계 등 전방위적 개편이 필요하다.

플랫폼 기업의 책임성도 제고돼야 한다. 개인정보 유출 발생 시 일정 시간 내 신고 및 피해 고지 의무를 법제화하고 보안 인증 획득 여부를 서비스 정보에 의무적으로 표기하는 방안도 검토할 필요가 있다. 예컨대 비대면 진료 플랫폼에 ‘의료데이터 보안등급제’나 ‘환자 정보 활용 고지 의무제’를 도입하는 것은 실효성 있는 대안이 될 수 있다. 의료기관 역시 진료기록 저장 방식, 제3자 제공 현황 등을 환자에게 명확히 안내하도록 내부 지침을 정비해야 한다.

자본주의의 특성상 기술은 빠르게 진화하지만 제도와 윤리는 그 속도를 따라가지 못하는 경우가 많다. 중요한 것은 데이터를 누가 다루느냐가 아니라 누구를 위해 어떻게 사용하는가다. 보건의료정보는 개인의 자산이자 사회가 함께 지켜야 할 공공의 자산이다. 정부, 기업, 의료계 모두 이 기본 전제를 다시 확인하고 실천할 때 우리는 디지털 사회에서도 인간의 존엄을 지킬 수 있을 것이다.

SKT 해킹은 단순한 사건이 아니라 공공정보 보호 체계가 무너질 수 있다는 가능성을 보여준 경고다. 다음 피해가 생체정보와 의료 영역이 되지 않도록 지금 이 순간부터 강력한 제도 정비와 사회적 합의가 절실히 필요하다. 경고는 이미 울렸다. 이제는 응답할 차례다.