CI 재발급 불가능 설계 결함, 개인정보 유출 피해 확대 우려…제도 개선 시급

핵심 요약

- 2026년 국정감사에서 연계정보(CI) 제도의 근본적 설계 결함이 지적됨 - CI는 주민등록번호 기반 생성 후 변경 불가능하여 유출 시 영구적 피해 우려 - 온라인 동일인 식별에 활용되는 CI의 보안 강화 및 재발급 체계 마련 필요성 대두

주요 내용

2026년 국정감사에서 연계정보(CI, Connecting Information) 제도의 구조적 보안 취약점이 집중 조명됐다. CI는 본인확인기관이 주민등록번호를 기반으로 생성하는 88자리 암호화된 식별정보로, 온라인 서비스에서 동일인 여부를 확인하는 핵심 수단으로 활용되고 있다.

문제는 CI가 한번 생성되면 사실상 변경이 불가능하다는 점이다. 주민등록번호와 달리 재발급 절차가 제도적으로 마련되어 있지 않아, 유출 시 이용자가 취할 수 있는 대응 수단이 극히 제한적이다. 이는 주민등록번호 대체 수단으로 도입된 CI가 오히려 더 위험한 식별정보가 될 수 있다는 역설적 상황을 만들어낸다.

특히 통신사 등 대형 서비스 사업자의 개인정보 유출 사고가 빈발하는 상황에서, CI 유출은 다중 서비스에 걸친 연쇄적 보안 위협으로 이어질 수 있다. 하나의 CI로 여러 서비스의 동일인 여부를 확인할 수 있기 때문에, 유출된 CI를 활용한 교차 대조 공격(Cross-referencing Attack)이 가능해진다.

국회에서는 CI 재발급 체계 도입, 유출 시 즉각 무효화 절차 마련, 본인확인기관의 보안 책임 강화 등을 골자로 한 제도 개선 방안이 논의되고 있다. 개인정보보호위원회도 CI 생성 알고리즘의 다변화 및 주기적 갱신 체계 도입을 검토 중인 것으로 알려졌다.

전문가 시각

ISMS-P 심사 현장에서 CI 관리 실태를 점검해보면, 대다수 기업이 CI를 '단순 식별자'로만 인식하고 민감정보에 준하는 보호조치를 적용하지 않는 경우가 많다. 그러나 CI는 주민등록번호를 일방향 해시한 값으로, 본질적으로 개인을 특정할 수 있는 고유식별정보의 성격을 지닌다. 특히 여러 서비스에서 동일 CI가 사용되기 때문에, 단일 유출 사고가 다중 서비스의 개인정보 침해로 확산될 수 있는 구조적 위험을 내포한다.

기업 실무 관점에서는 CI를 DB에 저장 시 추가 암호화(암호화된 CI의 재암호화), 접근통제 강화, 유출 탐지 모니터링 체계 구축이 시급하다. 또한 본인확인기관과의 계약 시 유출 책임 범위, 사고 대응 절차, CI 갱신 프로토콜을 명확히 규정해야 한다. 현행 제도 하에서도 사업자가 자체적으로 CI에 솔트(Salt) 값을 추가하여 서비스별 고유 식별자로 변환하는 등 2차 보호조치를 적용할 수 있다.

ISMS-P 심사원 체크포인트

1. 인증기준 2.8.2 (개인정보 보호) 및 2.8.3 (개인정보 암호화)
- CI를 포함한 개인식별정보의 저장 시 암호화 적용 여부 확인
- DB 암호화 적용 대상에 CI 포함 여부, 암호화 알고리즘 적정성 검토
- 개인정보보호법 제24조의2(고유식별정보의 안전성 확보조치) 준수 여부
- CI 처리 시스템의 접근권한 관리 및 로그 기록 적정성

2. 인증기준 2.10.4 (개인정보 유출사고 대응)
- CI 유출 시 영향도 평가 절차 수립 여부
- 본인확인기관과의 유출 통지 및 공동 대응 체계 구축 여부
- 개인정보보호법 제34조(개인정보 유출 통지) 적용 시 CI 유출의 심각성 평가 기준
- 유출 시 이용자 보호조치 방안(서비스 재인증, 모니터링 등) 마련 여부

3. 인증기준 2.8.1 (개인정보 수집·이용·제공)
- 본인확인기관으로부터 CI 제공받는 법적 근거 및 동의 절차 적정성
- CI 이용 목적 명확성 및 목적 외 이용 통제 방안
- 정보통신망법 제23조의3(본인확인기관의 지정 등) 관련 준수사항 이행 여부

CPPG·ISMS-P 연계 포인트

연계정보(CI)와 중복가입확인정보(DI)의 차이
CI는 서로 다른 웹사이트 간 동일인 여부 확인을 위한 식별정보로, 모든 사이트에서 동일한 값이 생성된다. 반면 DI는 동일 사이트 내 중복가입 방지 목적으로 사이트마다 다른 값이 생성된다. CPPG 시험에서는 이 두 정보의 생성 원리(주민등록번호 기반 일방향 암호화), 법적 근거(정보통신망법 제23조의3), 보호조치 요구사항을 구분하여 출제된다.

본인확인기관의 법적 책임과 안전조치 의무
본인확인기관은 과학기술정보통신부 장관이 지정하며, CI/DI 생성·관리 시 개인정보보호법과 정보통신망법상 개인정보처리자로서의 모든 의무를 부담한다. 특히 기술적·관리적 안전조치 기준(개인정보의 안전성 확보조치 기준 고시) 준수, 유출 시 통지 의무, 손해배상 책임이 적용된다. ISMS-P 심사 시 본인확인기관 선정의 적정성, 계약상 책임 분담 조항, 정기 보안점검 이행 여부를 중점 확인한다.