CI(연계정보) 유출 시 변경 불가 문제점, 유효기간 도입 필요성 제기

핵심 요약

- 주민등록번호 기반으로 생성되는 연계정보(CI)는 유출되더라도 변경이 사실상 불가능한 구조적 취약점 존재 - 최형두 의원은 CI에 유효기간을 도입하여 주기적 갱신이 가능하도록 제도 개선 필요성 제기 - 현행 CI 체계는 '변경 불가능한 고유식별정보'로서 한 번 유출 시 영구적 개인정보 침해 위험 상존

주요 내용

연계정보(CI, Connecting Information)는 2014년 주민등록번호 수집 제한 이후 온라인에서 동일인을 확인하기 위해 도입된 88자리 암호화된 식별정보다. 주민등록번호를 일방향 해시함수로 변환하여 생성되며, 서비스 간 본인 확인과 중복가입 방지 목적으로 활용되고 있다. 2026년 현재 대부분의 온라인 서비스가 CI를 통해 이용자를 식별하고 있어 사실상 '제2의 주민번호'로 기능하고 있다.

문제는 CI가 유출될 경우 이를 변경할 수 있는 제도적 장치가 전무하다는 점이다. 주민등록번호를 기반으로 생성되는 특성상 동일인의 CI는 항상 같은 값을 가지며, 주민번호 자체를 변경하지 않는 한 CI 변경이 불가능하다. 이는 개인정보 유출 사고 발생 시 비밀번호처럼 즉시 변경하여 2차 피해를 막을 수 있는 일반 인증정보와 근본적으로 다른 구조다.

최형두 의원은 이러한 구조적 문제를 지적하며 CI에 유효기간을 도입해야 한다고 주장했다. 현재 CI는 생성 후 영구적으로 사용되는데, 유효기간을 설정하여 주기적으로 갱신하도록 하면 유출 피해를 최소화할 수 있다는 것이다. 또한 유출 사고 발생 시 즉시 재발급할 수 있는 긴급 변경 절차도 마련되어야 한다고 강조했다.

실제로 2024년부터 2026년까지 최근 3년간 주요 개인정보 유출 사고에서 CI가 포함된 사례가 지속적으로 발생하고 있다. CI는 여러 서비스에 걸쳐 동일인을 추적할 수 있는 정보이므로, 한 곳에서 유출되면 다른 서비스에서도 해당 이용자를 특정할 수 있는 심각한 프라이버시 침해가 발생한다. 변경 불가능한 고유식별정보의 특성상 피해는 평생 지속될 수 있다.

전문가 시각

ISMS-P 심사 현장에서 CI 관리 실태를 점검하면 대부분의 기업이 CI를 일반 개인정보와 동일한 수준으로 취급하고 있어 우려스럽다. CI는 법적으로는 '가명정보'로 분류되지만, 실질적으로는 고유식별정보에 준하는 민감도를 가진다. 특히 여러 서비스에 걸쳐 동일인 식별이 가능하므로 프로파일링 위험이 크며, 암호화 저장, 접근통제, 전송구간 보호 등에서 최상위 수준의 보안대책이 적용되어야 한다. 그러나 현실에서는 CI를 평문으로 로그에 기록하거나, 암호화 없이 데이터베이스에 저장하는 사례가 여전히 발견된다.

제도 개선 측면에서는 CI 유효기간 도입과 함께 'CI 유출 신고 및 재발급 체계' 구축이 시급하다. 현재 개인정보보호법은 주민번호 유출 시 과징금 부과 등 제재 규정은 있으나, CI 유출에 대한 명확한 기준과 피해자 구제 절차가 부재하다. 개인정보보호위원회는 CI를 고유식별정보에 준하는 '준고유식별정보' 범주로 신설하고, 유출 시 즉시 재발급 의무, 유효기간 설정 의무 등을 법제화해야 한다. 아울러 기업은 CI 보유 최소화 원칙을 적용하여 불필요한 CI 수집·보관을 지양하고, 보유 기간을 명확히 설정하는 것이 필요하다.

ISMS-P 심사원 체크포인트

1. 2.8.2 개인정보 암호화 (필수)
- CI는 「개인정보의 안전성 확보조치 기준」 제7조에 따른 고유식별정보는 아니나, 동일인 식별 가능성으로 인해 암호화 저장 대상으로 봐야 함
- 심사 시 CI 저장 테이블의 암호화 적용 여부, 암호 알고리즘 안전성(AES-256 등), 키 관리 체계 점검 필수
- CI를 포함한 로그파일, 백업 데이터의 암호화 적용 여부도 확인 필요

2. 2.8.6 개인정보 파기 (필수)
- 개인정보보호법 제21조(개인정보의 파기)에 따라 보유기간 경과 또는 처리목적 달성 시 CI도 지체없이 파기해야 함
- 심사 시 CI 보유기간 설정 근거, 자동 파기 프로세스, 파기 이행 점검 대장 확인
- 탈퇴 회원의 CI 즉시 파기 여부, 법정 보관 사유가 있는 경우 별도 분리 보관 여부 검증

3. 2.9.2 접근권한 관리 (필수)
- CI는 여러 서비스 간 동일인 추적이 가능하므로 접근권한을 최소한으로 제한해야 함
- 심사 시 CI 접근 가능 계정 목록, 업무상 필요성 검토 내역, 접근 로그 모니터링 체계 점검
- 특히 개발·테스트 환경에서 실제 CI 사용 시 마스킹·가명처리 적용 여부 확인 필수

CPPG·ISMS-P 연계 포인트

연계정보(CI)와 중복가입확인정보(DI)의 차이
CI는 서비스 제공자가 다르더라도 동일한 값으로 생성되어 기관 간 본인 확인에 사용되며, DI는 서비스 제공자마다 다른 값으로 생성되어 해당 사이트 내 중복가입 확인 용도로만 사용된다. CPPG 시험에서는 두 정보의 생성 방식, 활용 목적, 법적 근거(정보통신망법 시행령 제9조)를 구분하여 출제되므로 명확한 이해 필요.

고유식별정보 vs 가명정보로서의 CI
CI는 주민번호를 일방향 암호화한 정보로 원본 복원이 불가능하나, 동일인 식별이 가능하여 개인정보에 해당한다. 법적으로는 고유식별정보가 아닌 일반 개인정보로 분류되나, 실무에서는 변경 불가능성과 식별력을 고려하여 고유식별정보에 준하는 보호조치 적용이 권장된다. ISMS-P 심사 시 이러한 특성을 반영한 암호화, 접근통제, 파기 절차가 수립되었는지 평가된다.