전 임직원 대상 보안 교육…데이터 생명주기 관리 강화
기획·개발 단계부터 ‘프라이버시 중심 설계’ 원칙 적용
보안 투자 4배·전담 인력 3배 확대…제로트러스트 체계 도입

지난 14일 임직원을 대상으로 ‘개인정보 유출 리스크 증대 및 규제 패러다임의 변화와 대응 전략’ 주제의 보안 교육을 진행했다. 사진은 강의를 진행 중인 윤종수 법무법인 광장 파트너 변호사. <출처=티빙>

대규모 개인정보 침해사고 이후 공식 사과와 보상책을 내놓았던 CJ ENM 계열 온라인동영상서비스(OTT) 티빙이 전사 임직원을 대상으로 개인정보 보호 교육을 실시하며 본격적인 내부 쇄신에 착수했다. 정부 민관합동조사단의 사고 원인 발표와, 이용자 보상 접수 등이 잇따르는 가운데, 시스템적 보완뿐 아니라 조직 전반의 인식과 개발 문화를 근본부터 뜯어고치겠다는 전략적 행보로 해석된다.

티빙은 지난 14일 임직원을 대상으로 ‘개인정보 유출 리스크 증대 및 규제 패러다임의 변화와 대응 전략’ 주제의 보안 교육을 진행했다고 밝혔다. 강의는 윤종수 법무법인 광장 파트너 변호사(개인정보전문가협회 이사 역임)가 맡아 △개인정보 보호 환경 변화와 선제적 예방체계 △AI 시대 개인정보 보호 방향 △임직원 실무 유의사항 등을 다뤘다.

교육의 핵심 메시지는 두 가지로 요약된다. 첫째, 개인정보가 생성·수집부터 이용·보관·파기까지 전 과정을 관리하는 데이터 생명주기(Life-Cycle) 강화다. 둘째, 서비스 기획·개발 단계부터 보호 원칙을 적용하는 프라이버시 프라이버시 중심 설계(Privacy by Design)의 내재화다. 티빙은 이번 교육을 시작으로 교육 정례화, 제도·프로세스 개선, 지속 점검을 병행해 개인정보 보호를 “특정 조직 업무”가 아닌 전 구성원의 기본 원칙으로 자리 잡게 한다는 방침이다.

고민석 티빙 인사담당 부사장은 “개인정보 보호는 특정 부서만의 업무가 아니라 전 구성원이 책임 있게 실천해야 하는 기본 원칙”이라며 “기준과 절차를 지속 점검하고 필요한 제도를 적극 보완해 나갈 것”이라고 말했다.

티빙이 이처럼 전사 차원의 의식 개혁을 앞세운 배경에는 앞서 드러난 구조적 취약점이 자리 잡고 있다. 과학기술정보통신부 민관합동조사단 조사 결과에 따르면, 지난 5월 발생한 사고로 티빙 내 활성 계정 2206개, 휴면·탈퇴 계정 1737만개, 테스트 계정 11만개 등 중복을 포함해 총 3954만개 계정의 정보가 유출됐다. 가입 유형별로는 SNS 간편가입(2247만개), CJ ONE 통합회원(863만개), 티빙 자체 가입(726만개) 순이었다. 성명, 생년월일, 연락처뿐 아니라 본인인증 식별값인 연계정보(CI)가 포함된 계정도 1904만개(중복 제외 1324만개)에 달했다.

공격자는 개발환경 접속키를 확보해 침투한 뒤 운영환경 접속키와 DB 정보까지 단계적으로 탈취한 것으로 드러났다. 조사단은 티빙이 2024년 모의해킹에서 접속키 하드코딩 취약점을 확인하고도 후속 조치를 취하지 않았고, 접근할 수 있는 접속키를 소스코드 안에 그대로 두는 등 접근 통제가 미흡했던 점을 짚었다. 또한 265명의 임직원(개발 149명) 규모에 비해 사내 정보보호 전담 인력이 4명 안팎에 불과해 실시간 비정상 행위 모니터링에 한계가 있었던 점도 확인됐다.

이에 티빙은 지난 3일 공식 설명회에서 최주희 대표의 사과와 함께 대대적인 쇄신안을 공표했다. 2030년까지 정보보호 투자를 직전 5년 대비 약 4배 늘리고 보안 전담 인력을 3배 확충하기로 했다. ‘제로 트러스트’ 기반 보안 아키텍처와 AI 기반 지능형 탐지, 실시간 자동 대응 체계를 도입하고, CEO 직속 정보보호혁신 자문위원회를 신설해 거버넌스를 전면 개편한다는 계획이다. 이번 전사 교육은 이 같은 제도적 투자가 현장 실무자들의 업무 표준으로 정착되도록 뒷받침하는 과정으로 보인다.

티빙은 지난 7일부터 오는 30일까지 유출 피해 회원을 대상으로 보상 접수를 진행 중이다. <사진=티빙 보상 신청 웹 페이지 갈무리>

이와 함께 티빙은 지난 7일부터 오는 30일까지 유출 피해 회원을 대상으로 보상 접수를 진행 중이다. 1인당 약 2만원 상당의 체감 가치를 책정한 보상안은 △금융사기 피해를 최대 300만 원까지 보장하는 DB손해보험 해킹·피싱 안심보험(1년) △4K 화질 및 최대 4대 동시 시청을 지원하는 3개월 프리미엄 시청 기능 △개별 구매용 티빙 포인트 50P(5000원 상당) △웨이브 1개월 이용권 또는 CGV 5000원 할인 쿠폰 중 택1 등으로 구성됐다. 유출 대조 및 본인 확인을 위해 탈퇴 회원도 재가입 후 신청할 수 있도록 경로를 열었다. 보상은 내달 6일부터 순차 지급된다.

사태 수습 과정에서 정부와 사회적 관심도 최고조에 달해 있다. 이재명 대통령은 지난 11일 수석·보좌관 회의에서 “보안 취약점을 사전에 확인하고도 조치하지 않았다”며 엄정한 법적 책임 규명과 2차 피해 방지, 범부처 차원의 강력한 제재 체계 마련을 주문했다.

업계에서는 일부 법무법인을 중심으로 집단 손해배상 소송 참여자가 9만명을 넘어서는 등 시장의 눈높이가 여전히 높은 상황에서, 결국 사후 수습과 전사 교육을 넘어 실질적인 제도 이행력이 향후 신뢰 회복의 관건이 될 것으로 보고 있다.

한 업계 관계자는 “대규모 유출 사고 이후 교육과 투자 계획을 내놓는 것은 수순이지만, 핵심은 개발 현장의 편의주의적 관행을 실제로 통제할 수 있는 시스템적 강제력”이라며 “과기정통부 시정명령과 개인정보보호위원회의 행정처분 과정에서 약속한 재발방지책이 얼마나 실효성 있게 이행되는지 지켜볼 필요가 있다”고 말했다.

[CEO스코어데일리 / 진채연 기자 / cyeon1019@ceoscore.co.kr]