개인정보 포함된 일부 회계자료 누구나 열람 가능…직위해제자도 접속 '신당역 살인' 후에야 내부망 접속 권한 강화·개인정보 노출 차단
'신당역 스토킹 살인사건'을 계기로 서울교통공사의 허술한 개인정보 관리와 전산시스템 운영이 도마 위에 올랐다. 공사는 뒤늦게 내부망 접속 권한과 전산시스템 관리상 문제점을 개선했으나 '뒷북' 조치라는 지적이 나온다.
23일 서울교통공사에 따르면 피의자 전주환(31·구속)은 직위해제된 후에도 사내 전사자원관리(ERP) 시스템을 통해 피해자의 민감한 개인정보에 접근할 수 있었다.
ERP는 회사 업무 프로세스를 통합 관리하는 전산 체계다. 기업에서도 흔히 사용해 공사 직원이라면 누구나 시스템 접속이 가능하다.
전씨는 ERP 시스템의 회계 프로그램 허점을 범죄에 이용했다.
특정 직원을 검색하면 해당 직원과 관련된 회계업무 흔적을 누구나 열람할 수 있다는 사실을 알아낸 것이다. 김정만 서울교통공사 정보운영센터장은 이날 서울시청에서 열린 브리핑에서 "출장비 등 급여 이외의 경비를 직원에게 지급하면 원천징수 대상이 돼 지급 명세서를 작성해야 하는데, 여기에 주소 정보를 기재하게 돼 있다"며 "전주환이 이 명세서를 조회해서 피해자 주소를 확인한 것으로 안다"고 설명했다 문제는 이런 과정에서 특별한 접근 권한이 필요하지 않다는 점이다.
공사 관계자는 "일반 직원들은 거의 모르는 사실이었으나 전주환은 (회계 관련) 전문 지식이 있어 이런 방식으로 피해자 이름을 검색해 주소지를 파악한 것으로 보인다"고 했다.
전씨는 2016년 공인회계사 시험에 합격했지만 실무 수습 과정을 밟지 않아 자격을 얻지 못한 것으로 알려졌다. 공사 내부 규정상 인사상 개인정보를 열람할 경우 목적 등을 기록하게 돼 있다.
그러나 전주환이 활용한 ERP 검색 방식은 정식 '인사상 개인정보 열람'이 아니기 때문에 사유를 기록할 의무가 없었고, 공사는 검색 사실을 인지하지 못했다.
전씨는 직위해제 상태에서도 회사 내부망인 메트로넷에 자유롭게 접근할 수 있었다.
서울교통공사의 규정상 내부망 접속 권한은 범죄 혐의에 대한 재판이 모두 끝나고 그에 따른 징계 절차가 개시돼야 박탈되는 탓이다.
개인정보보호위원회는 이 같은 규정이 위법 소지가 있다고 보고 서울교통공사를 조사하고 있다.
공사 측은 "중범죄가 아닌 경범죄, 또는 도의적 책임으로 직위해제된 경우가 있기에 모든 직위해제자에게 정보 접근을 제한할 수 없었다"며 "다른 공공기관도 규정이 동일한 것으로 안다"고 해명했다.
공사는 유사 사건의 재발 방지를 위해 19일부터 ERP 시스템으로 검색했을 때 주소지 등 개인정보가 보이지 않도록 했고, 20일부터는 직위해제자의 내부망 접속 권한을 차단했다고 밝혔다. 공사 관계자는 "개인정보 보호와 관련해서는 한 번 더 세심히 살피고 필요한 조치를 하겠다"면서 "그 외 근무 환경 개선 등 종합적인 대책은 내부적으로 마련 중"이라고 말했다.