API 설계 미흡 원인…이메일 등 유출

8월 공공정보시스템급 보안체계 구축

정부가 대규모 예산을 들여 추진한 ‘모두의 창업’ 프로젝트에서 플랫폼 설계상 보안 허점이 드러났다. 중소벤처기업부는 합격자 5000명의 개인정보가 유출된 이번 사고가 응용프로그램 인터페이스(API) 설계 미흡에서 비롯된 것으로 보고 보안체계를 전면 개편하기로 했다.

노용석 중기부 제1차관은 31일 오전 서울정부청사에서 브리핑을 열고 국가정보원과 함께 실시한 ‘모두의 창업 플랫폼’ 정보유출 조사 결과와 후속 조치 계획을 발표했다.

‘모두의 창업’은 국민 누구나 창업에 도전할 수 있도록 정부와 민간이 함께 설계한 대국민 창업 프로젝트다. 아이디어 검증부터 사업화, 투자 연계까지 전 과정을 지원하는 사업으로 총 6만2944명이 지원하면서 정부처 공모전 가운데 역대 최대 규모의 참여인원을 기록했다. 정부 예산도 628억원이 투입됐다. 하지만 지난달 18일 개인정보 유출 사건이 발생해 논란이 일었고, 중기부는 공식 사과하고 경찰 수사를 의뢰했다.

중기부는 앞서 지난달 유출 경위에 대해 비정상적인 API 호출을 통해 암호화된 정보가 유출됐다고 설명했다. 이날 진행된 추가 브리핑에서는 일부 API 내 비공개 정보가 포함돼 있었으며, 웹 크롤링 등을 통해 API 수집 시 해당 정보가 유출됐다고 밝혔다. 노 차관은 “해당 비공개 정보는 암호화돼 있었지만 암호키도 함께 유출됐다”고 말했다.

이번에 개인정보 유출 대상은 1차 합격자 5000명이다. 중기부에 따르면 유출된 정보는 ▷이메일 주소 ▷심사평 ▷200자 이내 창업 아이디어 요약본이다. 비공개 정보 접근을 시도한 인터넷 프로토콜 주소(IP)는 국내 IP 39개로 확인됐다.

노 차관은 피해신고센터에는 지난달 18일 이후 총 87건의 신고가 접수됐다고 밝혔다. 또 아이디어 도용 의혹이 제기된 2건은 전문기관 조사 결과 모두 문제가 없는 것으로 확인됐다고 설명했다.

중기부는 사고 이후 플랫폼 전반의 보안체계를 전면 개편했다고 밝혔다. 우선 플랫폼 API를 점검해 포함 정보를 최소화하고 불필요한 기능을 삭제해 비공개 정보가 전송되지 않도록 개편했다. 데이터베이스 보호를 위한 신규 암호화 설루션도 도입해 개인정보 암호화 체계를 강화했다. 또 API에 대한 모든 접근을 시스템 로그로 기록하고 웹 크롤링 시도를 탐지·차단하는 기능도 고도화했다.

개인정보 관리체계도 개선했다. 기존에는 일반회원과 프로젝트 신청자 모두 회원 탈퇴 후 개인정보를 5년간 보관했지만, 앞으로는 일반회원 개인정보는 회원 탈퇴 즉시 파기하고 프로젝트 신청자는 신청일 기준으로 5년간 보관하는 방식으로 기준을 변경한다.

창업 아이디어 신청서도 개인정보 관리 범위에 포함해 개인정보에 준하는 중요 정보로 관리하기로 했다. 개인정보 등 민감정보에 대한 접근 권한 역시 재설계해 허가된 최소 인원만 열람할 수 있도록 했다.

노 차관은 “앞으로 공공 정보시스템 수준의 보안 절차를 구축하겠다”고 밝혔다. 중기부는 관계 부처와 협의를 거쳐 오는 8월 중순까지 공공 정보시스템 수준의 보안·행정 절차를 모두 이행할 계획이다. 부애리 기자


boo@heraldcorp.com