더존비즈온 가명정보 결합전문기관 지정 5년 실적 '0건', 이강수·지용구 해킹사고까지 신뢰성 시험대

[비즈니스포스트] 더존비즈온이 정부로부터 가명정보 결합전문기관으로 지정된 뒤 5년 동안 가명정보 결합·반출 실적을 단 1건도 기록하지 못한 것으로 나타났다.

게다가 최근 더존비즈온이 공급했던 구형 업무관리 솔루션의 취약점을 이용한 고객사 해킹 정황까지 드러나면서, 더존비즈온이 데이터와 의료, 인공지능(AI) 사업 확대의 기반으로 강조해온 안전한 데이터 처리 기술력이 시험대에 올랐다.

이강수 더존비즈온 공동대표 부회장과 지용구 공동대표 사장은 정부 지정 데이터 전문기관이라는 지위를 실질적 사업성과로 연결하는 한편 데이터 사업의 핵심 경쟁력인 보안 신뢰성을 높여야 하는 과제를 안게 됐다.

17일 국회 정무위원회 소속 김형연 조국혁신당 의원실 자료에 따르면 더존비즈온의 2021년부터 2025년까지 가명정보 결합완료와 반출 실적은 0건이다.

2026년 8월 말 기준 운영되는 가명정보 결합전문기관은 더존비즈온을 포함해 모두 18곳이다. 이 가운데 결합 처리실적이 없는 기관은 더존비즈온과 한국국토정보공사, 한국도로교통공단 등 3곳으로, 민간 기업 가운데에서는 더존비즈온이 유일했다.

더존비즈온은 과학기술정보통신부 소관 가명정보 결합전문기관으로 2021년 1월 처음 지정된 뒤 2024년 1월 재지정됐다.

가명정보는 개인정보의 일부를 삭제하거나 대체하는 등의 방법으로, 추가 정보 없이는 특정 개인을 알아볼 수 없도록 처리한 정보를 말한다.

AI와 데이터 산업이 성장하면서 가명정보 결합의 중요성도 커지고 있다. 의료와 금융, 공공기관, 기업 등이 보유한 개인정보를 개인을 직접 식별할 수 없도록 가명처리한 뒤 결합하면 데이터 분석과 AI 개발, 신규 서비스 개발 등에 활용할 수 있기 때문이다.

정부는 서로 다른 개인정보처리자가 보유한 가명정보를 안전하게 결합할 수 있도록 일정한 인력과 시설, 보안체계를 갖춘 기관을 결합전문기관으로 지정해 운영하고 있다.

더존비즈온은 이같은 결합전문기관 지위를 데이터 사업 경쟁력의 한 축으로 활용해 왔다. 다만 5년 동안 실제 결합·반출 실적이 전무했다는 점에서 정부 지정기관이라는 지위를 구체적 사업성과로 연결하는 데에는 한계를 보였다.

더존비즈온은 2024년 민간 가명정보 결합전문기관 가운데 처음으로 개인정보 안심구역 시범운영기관으로도 지정됐다.

당시 더존비즈온은 개인정보 안심구역을 '제로 트러스트' 보안 모델을 기반으로 외부와 차단된 강화된 보안 환경이라고 설명했다. 이어 2021년 처음 지정된 뒤 2024년 초 재지정된 가명정보 결합전문기관 지위와 개인정보 안심구역을 연계해 시너지를 내겠다는 계획을 밝혔다.

정밀의료 빅데이터 플랫폼과 중소·중견기업 빅데이터 플랫폼 등 다양한 데이터 사업과 연계도 확대하겠다고 했다.

당시 송호철 더존비즈온 플랫폼사업부문 대표는 “결합전문기관 제도의 활용도와 접근성을 높이고 정밀의료, 중소기업 플랫폼 등 다양한 플랫폼 사업과의 시너지를 극대화할 것”이라고 말했다.

더존비즈온은 가명정보 결합 실적이 없는 배경을 놓고 실제 수요가 없었던 것은 아니라고 해명했다.

더존비즈온 관계자는 비즈니스포스트에 “고객과 데이터 사업 네트워크를 중심으로 결합 수요를 발굴해 왔지만, 일부는 신용정보법 상 데이터전문기관을 이용해야 하는 등 당사의 수행 범위를 벗어났고, 정밀의료 분야에서도 의료정보의 민감성과 기관 내부 심의, 의뢰기관 사정 등으로 논의가 중단돼 최종 결합으로 이어지지 못했다”고 말했다.

더존비즈온은 이 과정에서 확인한 제도적 제약을 관계기관과 협의체에 건의해 왔으며, 앞으로 가명정보 결합 수요를 발굴해 실제 성과로 연결할 것이란 입장을 밝혔다.

이런 상황에서 최근 더존비즈온이 공급했던 구형 기업용 업무관리 솔루션의 취약점을 통한 해킹 정황까지 확인되면서 회사가 강조해 온 데이터 보안 신뢰성에 의문부호가 붙고 있다.

최근 더존비즈온은 구형 업무관리 솔루션의 취약점을 이용한 공격 정황이 확인돼 한국인터넷진흥원(KISA)에 신고했다.

더존비즈온은 이번 사고가 기업용 클라우드 서비스 자체의 침해로 발생한 것은 아니며, 기술지원이 종료된 구형 업무관리 솔루션의 취약점을 이용한 공격으로 파악하고 있다고 설명했다. 사안을 인지한 뒤 긴급 차단 조치를 마쳤으며, 현재까지 정보 유출 정황은 확인되지 않았다고 밝혔다.

회사는 기술지원 종료 전 고객사에 최신 버전 업그레이드를 여러 차례 안내했으며, 개별 서버의 보안 업데이트와 백신 설치 등은 고객사가 자체적으로 관리하는 영역이라고 덧붙였다.

더존비즈온은 기업의 회계·인사·업무 데이터를 다루는 전사적자원관리(ERP)와 클라우드 사업자인 데다 정부로부터 가명정보 결합전문기관으로 지정된 만큼 보안 취약점은 데이터 사업 전반의 신뢰도에 영향을 미칠 수 있다.

이런 과제는 올해 초 출범한 이강수 부회장과 지용구 사장의 공동대표 체제에서 풀어야 할 주요 경영 현안이다.

더존비즈온은 공동대표 체제 출범 배경을 놓고 기존 핵심사업의 시장 지배력을 공고히 하는 동시에 신규사업과 글로벌 확장을 가속화하는 투트랙 전략에 역량을 집중하기 위한 것이라고 설명했다.

가명정보 결합전문기관 지정 뒤 5년 동안 결합·반출 실적이 전무한 데다 구형 솔루션의 취약점을 통한 공격 정황까지 불거진 만큼 결합전문기관 지위를 실질적 사업성과로 연결하고 데이터 사업의 보안 신뢰성을 높이는 일이 공동대표 체제의 주요 과제가 될 것으로 보인다.

더존비즈온 관계자는 “현재 진행 중인 KISA 조사에 적극 협조하고 있으며, 세부적 사실관계는 추가 조사 결과에 따라 보다 명확해질 것”이라며 “24시간 365일 실시간 관제 서비스를 통해 외부 침입과 이상 징후를 상시 모니터링하고, 보안 인프라를 고도화해 통합 보안 관제 체계를 지속적으로 강화하고 있다”고 말했다. 조승리 기자