[PEDIEN] 경기도의회 윤도희 의원이 정보화 사업 용역 종료 후에도 도민의 개인정보가 업체에 남아있을 가능성을 제기하며, 관련 자료의 파기와 시스템 접근 권한 회수 여부를 실제로 확인한 기록 제출을 경기도에 요구했다.
윤 의원은 9일 열린 제395회 제1차 미래과학협력위원회 AI국 행정사무감사 보충질의에서 이 같은 문제점을 지적했다. 앞선 질의에서 요구했던 PHP 취약점 재점검 결과와 위탁업체 개인정보 유출 사고 대응 결과에 대한 답변을 명확히 받지 못했다는 점을 짚으며, 국장 공석 상황에서 총괄 책임자를 물었다.
이어 AI인프라과장에게 종합감사 전까지 재점검 현황과 사고 대응 경과를 제출하고, 미조치 건에 대해서는 담당 기관과 완료 기한을 명시할 것을 주문했다.
윤 의원은 개인정보보호위원회가 올해 5월 발표한 사례를 근거로 들었다. 2025년 4월, 농촌진흥청 등의 시스템 유지관리를 맡은 업체가 외부에서 접근 가능한 자체 저장장치에 개인정보 57만 5천 건을 무단으로 보관하다 해킹으로 대량 유출된 사건이다. 당시 위탁기관은 용역 종료 시 업체로부터 자료가 남아있지 않다는 확약서는 받았지만, 실제 파기 여부는 확인하지 않았다고 윤 의원은 지적했다.
이에 윤 의원은 올해 감사일까지 종료된 도 본청 정보화 사업의 개인정보 처리 위탁 계약에서 업체 보관본과 백업의 파기, 시스템 접근 권한 회수를 실제로 확인한 기록이 있는지 질의했다. AI인프라과장은 부서에서 직접 확인한 자료가 있다고 답했으나, 윤 의원은 확약서 외에 저장장치 파기 시점과 방법, 확인자, 그리고 원격 접속 계정 회수 시점과 확인자가 담긴 기록 제출을 요구했다.
업무보고 성과에 대한 실체도 도마 위에 올랐다. 경기도는 2026년 주요 성과로 용역업체 보안 관리 등 정보화 사업 보안 대책 이행 강화를 보고했다. 윤 의원이 이 99건에 계약 종료 시 파기와 권한 회수 확인 실적이 포함됐는지 묻자, 과장은 “확인해 봐야 할 것 같다”고 답해 허점을 드러냈다.
윤 의원은 세부 집계와 올해 종료된 개인정보 처리 위탁 계약 목록을 서면으로 제출하라고 요구하며, 사업 종료 확인에 대한 책임 부서를 정하고 확인 기록이 없는 계약은 개인정보 보유 규모와 접근 권한 범위를 기준으로 우선순위를 정해 재점검할 것을 주문했다. 기존 인력과 기록으로 확인이 어렵다면, 기술 검증이나 표준 점검이 필요한 대상과 비용을 본예산 심사 전에 협의해 그 결과를 제출하라고 덧붙였다.
마지막으로 윤 의원은 “지금은 AI인프라과의 역할이 그 어느 때보다 중요하다”며 “보안을 더 강화하고 현재 일어나는 사건들에 적극 대응해 달라”고 당부했다.
저작권자 © PEDIEN 무단전재 및 재배포 금지
