297만명 CI 또 유출…"1년 주기 갱신제" 제도 개선 시급

롯데카드에서 297만명의 CI(연계정보)가 유출되면서 동일한 개인정보 침해사고가 반복되고 있다. 조경태 의원이 CI 갱신제 도입을 촉구하며 근본적인 제도 개선 필요성을 제기했다.

---

CI 유출의 반복되는 악순환

2025년 발생한 롯데카드 침해사고는 한국의 개인정보보호 체계가 얼마나 취약한지를 여실히 드러낸다. 297만명이라는 대규모 이용자의 CI가 유출된 이번 사건은 금융권에서 반복되어온 '대량 유출 사태'의 최신 사례다.

CI(Continuous Identification)는 개인을 고유하게 식별하기 위해 생성된 암호화된 연계정보로, 개인정보보호법 제2조에서 정의하는 개인정보에 해당한다. 특히 금융권에서는 본인확인과 중복가입 방지를 위해 필수적으로 사용되어왔으나, 한번 유출되면 재생성이 불가능한 구조적 문제를 가지고 있다.

기존 규제의 한계와 악순환의 고리

현행 개인정보보호법은 기업에 보안 조치의 의무를 부과하지만, CI에 대한 특별한 관리 제도는 미비하다. 금융결제원과 각 카드사들은 CI를 데이터베이스에 저장하고 있으나, 정기적 갱신 의무가 없어 유출된 CI가 반영구적으로 유효하다는 점이 핵심 문제다.

이는 다음과 같은 악순환을 야기한다:

• 첫 번째 유출: 기업 보안 미흡으로 CI 유출
• 지속적 위험: 유출된 CI가 계속 유효하며 악용 가능
• 재발 불가피: 새로운 기업 침해사고 발생 시 추가 유출 반복
• 누적 피해: 이용자의 CI가 여러 경로로 노출되면서 신원도용 위험 증가

조경태 의원이 제시한 "CI 1년 주기 갱신제"는 이러한 악순환을 끊기 위한 근본적 해결책이다. 정기적으로 CI를 재생성함으로써 구정보는 효력을 상실하게 되는 방식이다.

기업과 정부의 대응 방안

기업 차원의 선제적 조치

롯데카드와 같은 금융기업들은 다음과 같은 조치를 시행해야 한다:

• CI 관리 강화: 별도의 암호화 저장소 도입 및 접근권한 최소화
• 침해사고 신속 대응: 유출 확인 후 즉시 피해자에게 통보 및 무료 신용모니터링 제공
• 대체 인증 도입: 생체인증, OTP 등 CI 의존도 감소

정부 차원의 제도 개선

- **CI 갱신제 입법화**: 매년 또는 특정 시점에 CI 재생성을 의무화 - **유출 피해자 지원**: CI 재발급에 따른 비용을 기업 책임으로 명시 - **처분 강화**: CI 대량 유출 시 과징금·영업정지 등 처벌 상향

이용자 보호의 방향성

개인정보를 이용하는 모든 이용자는 다음과 같이 자신을 보호해야 한다:

• 정기적인 신용조회로 신원도용 여부 확인
• 수상한 금융거래 시 즉시 신고
• 금융기관의 침해 공지 시 적극적 대응 (비밀번호 변경 등)

다만 이는 개인의 노력만으로는 한계가 있으며, 결국 기업의 보안 책임과 정부의 법제 개선이 근본 해결책이다.

---

📌 CPPG·ISMS-P 시험 연계 포인트

항목	내용
관련 지침	ISMS-P 5.2 접근제어(Access Control) - 개인정보 접근권한 최소화 원칙 적용 필요
CPPG 연관성	개인정보 암호화(4.4절) + 정기적 보안 감사(5.1절)로 CI 같은 민감정보에 대한 강화된 보호 조치 필수
시험 출제 포인트	"유출 개인정보의 재생성 불가 구조에 대한 제도적 보완 방안"은 개인정보보호 정책 수립 단계에서 출제 가능

---

글쓴이: 백남정 개인정보보호 전문 기자