통신사·공공기관 '이중 법위반'…보안과 인허가 사각지대 노출

2026년 10월 적발된 트럼프 모바일 해킹 사건과 한국가스안전공사 전자결재시스템 침해 사고는 단순한 개별 사건을 넘어 한국 통신·공공 분야의 구조적 허점을 드러냈다. 기업의 법적 의무 회피와 기관의 신고 의무 불이행이 동시에 적발되면서, 개인정보보호 규제 체계의 실효성 문제가 본격 제기되고 있다.

---

트럼프 모바일: '무면허 운영' 속 고객정보 대량 유출

트럼프 모바일은 올해 10월 해킹 공격으로 이용자 개인정보 유출 위험에 직면했다. 문제는 보안 침해를 넘어선다. 적발 과정에서 FCC(미국 통신위원회) 정식 승인 없이 불법 운영 중이었다는 사실이 드러났다.

통신사업은 국가 핵심 인프라로, 대량의 개인정보 수집·처리를 전제로 한다. 인허가 심사 단계에서 정보보호 역량을 사전에 검증하는 것이 국제 표준 관행이다. 그런데 트럼프 모바일은 이 절차를 우회하고 영업했다는 의미다. 해킹 공격은 필연적 결과였을 가능성이 높다.

특히 부실 승인 구조 하에서는 사후 감시도 약했을 것으로 추정된다. 정보보호 조치 상태, 보안 감시 체계, 사건 보고 절차 등이 제대로 작동하지 않았을 가능성이 크다.

---

한국가스안전공사: 법정의무 회피의 '침묵'

한국가스안전공사 사건은 더욱 우려스럽다. 공기업이 개인정보보호법의 명시적 의무를 외면했기 때문이다.

사건 개요는 단순하다. 전자결재시스템에서 문서 30여 건이 유출됐다. 그러나 후속 대응은 아니다. 공사는 개인정보보호위원회 신고 의무, 피해자 통지 의무 이행 여부를 명확히 답변하지 않았다.

｢개인정보보호법｣ 제35조는 침해사고 발생 시 지체 없이 보호위에 신고하도록 규정했다. 제36조는 피해자 통지를 명령했다. 이는 선택이 아닌 의무다. 공기업이 '답변 회피'로 일관한다면, 개인정보보호 규제 체계의 신뢰성 자체가 붕괴된다.

더욱 심각한 점은 피해 규모의 불명확성이다. "문서 30여 건"이란 표현만으로는 그 속에 포함된 개인정보의 범위, 유출된 인원 수, 정보 민감도 등을 알 수 없다. 투명성 부재는 사실상 피해자 보호 의무 회피와 동의어다.

---

공통 패턴: '권력의 공백'

두 사건을 관통하는 패턴은 명확하다:

• 사전 규제 약화: 트럼프 모바일의 무면허 운영 방치는 인허가 심사 단계에서의 감시 공백을 의미한다.

• 사후 책임 회피: 한국가스안전공사의 신고 의무 불이행은 처분 권한 행사의 실패를 시사한다.

• 정보 불투명성: 양쪽 모두 피해 규모와 대응 상황을 명확히 공시하지 않았다.

이는 단순 기업의 컴플라이언스 부족이 아니라, 규제 체계 자체의 구조적 문제다. 인허가 기관과 감시 기관의 협력 부재, 처분 권한의 불명확성, 이용자 알 권리의 경시가 겹쳐있다.

---

기업·기관의 전향적 대응

1단계: 즉시 조치
- 침해사고 발생 시 법정기한 내(지체 없이) 보호위원회 신고
- 피해자 개별 통지 및 신용조회 동결 등 피해 최소화 조치
- 언론 공시를 통한 자발적 투명성 확보

2단계: 근본 개선
- 통신·공공기관은 인허가 신청 단계에서 ISMS-P 인증 획득
- 정기적 모의 침투 테스트(Penetration Test) 실시
- 사건 대응 팀(Incident Response Team) 미리 구성

3단계: 규제 협력
- 감시 기관과 협력체계 구축
- 사건 발생 시 신속한 정보 공유
- 처분 기관의 행정처분 권한 적극 행사 요청

---

핵심 이슈: 규제 공백의 악순환

결국 이 두 사건이 던지는 질문은 하나다: "누가 보는가?"

무면허 운영을 방치한 규제 기관, 신고 의무를 회피하는 공기업, 투명성 없는 정보 공시. 이들이 모두 작동하지 않으면 개인정보보호는 종이호랑이가 된다.

정부는 인허가 단계에서 정보보호 의무를 강화하고, 기업과 기관은 법정 의무 이행을 의무화하며, 감시 기관은 신속한 처분으로 실효성을 입증해야 한다. 그렇지 않으면 2026년 10월의 사건들은 앞으로도 반복될 것이다.

---

📌 CPPG·ISMS-P 시험 연계 포인트

항목	적용 내용
ISMS-P 인증기준	정보통신