2026 국정감사 CI 유출 쟁점 분석, 방통위 1~3년 주기 변경제 제시의 실효성은?

핵심 요약

- 2026년 국정감사 방송통신위원회 대상, 2025년 발생한 롯데카드·티빙·우리은행 CI(연계정보) 유출 사고 집중 질의 - 김종철 의원, CI에 1~3년 주기 유효기간 설정을 통한 유출 피해 최소화 방안 제시 - ISMS-P 인증기준상 고유식별정보 수준의 기술적·관리적 보호조치 적용 필요성 대두

주요 내용

2026년 10월 국회 과학기술정보방송통신위원회 국정감사에서 CI(Connecting Information, 연계정보) 유출 사고가 주요 쟁점으로 부각됐다. 2025년 발생한 롯데카드, 티빙, 우리은행 등 주요 기업의 CI 유출 사건에 대해 김종철 의원은 "개인정보가 유출되지 않았다는 설명만으로는 불충분하다"며 제도 개선을 촉구했다.

CI는 행정안전부와 과학기술정보통신부가 주민등록번호 대체 수단으로 도입한 고유 식별정보로, 개인의 이름, 생년월일, 성별 등을 암호화해 생성한다. 이론적으로는 역산이 불가능하지만, 여러 기관에서 유출된 CI를 결합할 경우 개인 식별 가능성이 높아진다는 점이 지속적으로 문제제기되어 왔다.

김종철 의원이 제시한 '1~3년 주기 유효기간제'는 일정 기간마다 CI를 재생성해 유출된 정보의 활용 가능 기간을 제한하는 방식이다. 이는 비밀번호 정기 변경 정책과 유사한 개념으로, 유출 사고 발생 시 피해 확산을 차단하는 효과를 기대할 수 있다. 다만 전국민 대상 CI 재발급에 따른 행정비용, 시스템 연계 부담 등 실무적 과제가 산적해 있다.

감사원은 CI 도입 과정에서 공공기관의 자율적 의사결정 침해와 잠재적 인수자의 입찰 참여 제한 등 절차적 문제점도 지적했다. 이는 보안 정책 도입 시 거버넌스와 투명성 확보가 기술적 안전성만큼 중요함을 시사한다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, CI는 법적으로 '개인정보'에 해당하지 않지만 실질적으로는 개인을 식별할 수 있는 정보로 기능한다. 특히 여러 기관의 CI가 결합될 경우 프로파일링이 가능해지므로, 주민등록번호에 준하는 보호조치가 필요하다. 현재 많은 기업이 CI를 일반 개인정보 수준으로 관리하고 있어, 암호화 저장, 접근권한 최소화, 전송 시 안전조치 등이 미흡한 실정이다.

김종철 의원이 제안한 유효기간제는 기술적으로 타당하나, 실무 적용 시 고려사항이 많다. CI 변경 시 기존 서비스 이력 연계, 고객 재인증 프로세스, 레거시 시스템 대응 등 전사적 영향도 분석이 선행되어야 한다. 단계적 접근으로 우선 고위험군(금융·의료 등)에 한정 적용 후 점진적 확대가 현실적이다.

ISMS-P 심사원 체크포인트

1. 인증기준 2.8.2 (고유식별정보 보호) 준수 여부
- CI를 주민등록번호에 준하는 정보로 간주, 암호화 저장(ARIA, AES-256 이상), 별도 DB 분리 저장, 접근 로그 기록 및 정기 검토 필요
- 개인정보보호법 제24조의2(고유식별정보의 처리 제한) 유추 적용 관점에서 CI 처리 목적의 명확성, 최소 수집 원칙 준수 여부 점검
- 심사 시 CI 생성·저장·파기 전 생명주기 관리 정책 문서화 상태 확인

2. 인증기준 2.10.1 (개인정보 유출 및 침해사고 대응) 체계 점검
- CI 유출 시나리오별 대응 절차 수립 여부(72시간 내 과기정통부 신고, 정보주체 통지 기준 마련)
- 개인정보보호법 제34조(개인정보 유출 통지·신고) 관련, CI 유출을 '개인정보 유출에 준하는 사고'로 분류한 내부 기준 존재 여부
- 모의훈련 시 CI 유출 시나리오 포함 여부 및 연 1회 이상 실시 증적 확인

3. 인증기준 2.5.3 (개인정보 암호화) 기술적 조치 적정성
- CI 전송 구간 암호화(TLS 1.2 이상), DB 컬럼 단위 암호화, 암호키 별도 관리(HSM 또는 KMS 활용) 여부
- 정보통신망법 시행령 제15조(개인정보의 기술적·관리적 보호조치 기준) 제3호에 따른 암호화 대상 정보로 CI 포함 여부

CPPG·ISMS-P 연계 포인트

연계정보(CI)와 중복가입확인정보(DI)의 차이
CI는 서로 다른 기관 간 동일인 식별을 위한 정보로 기관별로 동일한 값이 생성되며, DI는 동일 기관 내 중복가입 방지용으로 기관별로 다른 값이 생성된다. CPPG 시험에서는 두 정보의 생성 알고리즘, 법적 근거(전자정부법 제38조), 활용 제한 등을 구분해 출제되므로, 기술적 특성과 개인정보 해당 여부(대법원 판례: 단독으로는 개인정보 아님) 숙지 필요.

가명정보 결합과 CI 활용의 경계
개인정보보호법 제28조의2(가명정보의 처리 등) 제4항에 따른 결합 시 결합키로 CI를 사용할 수 있으나, 이 경우 결합 전문기관을 통해야 하며 원본 개인정보 복원 금지 원칙이 적용된다. ISMS-P 심사에서는 CI를 활용한 데이터 결합 시 법적 근거, 정보주체 동의, 목적 외 이용 제한 등 통제 체계를 중점 점검한다.