[단독] 외교관 개인정보 최대 1만건 털렸는데…7개월째 책임자 '무조치'

사고 인지 7개월 넘도록 훈계·전보 포함 인사·감찰 조치 전무

손해배상 책임도 결론 못내…외교부 "조사 결과 따라 구체 검토"

안철수 "사고 원인 등 조속히 규명해야…배상 방안도 명확히"

안철수 국민의힘 의원 ⓒ데일리안 홍금표 기자

외교관을 비롯한 국가 외교업무 인력의 개인정보가 최대 1만건 유출된 해킹 사고가 발생했지만, 외교부가 사고를 인지한 지 7개월이 넘도록 책임자에 대한 징계는 물론 경고·주의 등 후속조치조차 하지 않은 것으로 드러났다. 방화벽 개방 경위와 보안관제 대상에서 제외된 과정도 여전히 조사 중이어서 책임 규명이 지나치게 늦어지고 있다는 비판이 나온다.

6일 안철수 국민의힘 의원이 외교부로부터 제출받은 자료에 따르면, 국립외교원 온라인교육시스템 해킹 사고와 관련해 외교부가 사고를 인지한 지 7개월이 넘도록 관계자에 대한 징계는 물론 경고·주의·훈계·전보 등 인사·감찰 조치를 단 한 건도 하지 않은 것으로 확인됐다.

국립외교원 온라인교육시스템은 미상의 공격자가 지난해 4~5월 서버를 장악한 뒤 올해 2월까지 약 10개월간 접속한 것으로 파악됐다. 이 과정에서 한국 외교관을 포함한 전·현직 외교부 본부 및 재외공관 근무 직원 등의 이름과 아이디, 이메일, 암호화된 비밀번호 등 최대 1만건의 개인정보가 유출된 것으로 추정됐다. 외교부는 관계기관의 통보를 받고 올해 2월 초 비정상적인 접근 사실을 인지해 시스템을 차단했다.

그러나 사고 발생 이후 책임자에 대한 인사·감찰 조치는 현재까지 전무한 것으로 나타났다. 의원실은 외교부에 이번 사고와 관련한 감사·감찰·징계뿐 아니라 경고·주의·훈계·보직해임·직위해제·전보 등 조치 현황과 조치가 없는 경우 그 사유까지 제출하도록 요구했다. 외교부는 이에 대해 "소관부서별 업무 처리가 적정했는지 여부에 대해 현재 내부 조사 진행 중"이라고 답했다.

책임소재 규명도 아직 마무리되지 않았다. 의원실은 시스템 구축부터 시범운용, 정식개통, 운영·관리까지 연도별 책임부서와 결재라인, 시스템 관리책임자 등의 현황을 요구했지만, 외교부가 제출한 답변에는 국립외교원 직무연수과와 본부 정보화담당관실이 협조해 사업을 추진했다는 설명과 개인정보보호·정보보안 책임자 직위 등이 제시됐다. 구체적인 연도별 결재라인과 책임자별 책임범위는 확인되지 않았다.

특히 해킹 사고의 보안상 핵심 쟁점인 방화벽 설정 변경 경위도 여전히 조사 단계다. 의원실이 2022년 하반기 시범운용 당시 외곽 방화벽 개방과 관련한 설정 변경·승인·점검·보고 문서 일체를 요구하자 외교부는 지난달 7일 "2022년 9월 당시 방화벽 설정 변경과 관련한 상세 경위에 대해서는 조사 중"이라고 답했다. 사고를 인지한 지 7개월 이상이 지났지만 누가 어떤 과정에서 방화벽 설정을 변경했는지에 대한 상세한 책임규명이 아직 끝나지 않은 것이다.

더구나 해킹된 온라인교육시스템은 외교부 사이버 보안관제 체계에도 연동돼 있지 않았던 것으로 나타났다. 외교부는 해당 시스템이 관제 대상에서 빠진 경위에 대해서도 현재 조사 중이라고 답했다.

피해자에 대한 손해배상 책임 역시 결론을 내리지 못했다. 외교부는 '국가배상법'과 '개인정보보호법'에 따른 손해배상책임 요건을 검토하고 있다고 밝혔지만, 구체적인 책임 성립 여부에 대해서는 개인정보보호위원회 등 관계기관 조사 결과를 통해 사실관계를 확인한 뒤 추가 검토하겠다는 입장이다.

안철수 의원은 "외교관을 비롯해 국가 외교업무를 수행하는 인력의 개인정보가 대규모로 유출된 중대한 보안사고인데, 사고를 인지한 지 7개월이 넘도록 징계는커녕 경고나 주의조차 단 한 건도 없었다"며 "조사가 진행 중이라는 이유로 책임규명과 최소한의 후속조치까지 계속 미뤄져서는 안 된다"고 비판했다.

이어 "방화벽이 어떤 과정에서 열렸는지조차 아직 조사 중이고, 손해배상 책임도 관계기관 조사 이후로 미루고 있다"며 "외교부는 사고 원인과 관리·감독 책임을 조속히 규명하고 책임자에 대한 합당한 조치와 피해자 보호·배상 방안을 명확하게 밝혀야 한다"고 강조했다.