서강대 개인정보 유출, 대학 정보보안 제도는 왜 늘 한발 늦었나

서강대에서 약 18만 건의 개인정보가 유출된 정황이 확인되면서, 학교 측은 신원미상의 외부 공격을 원인으로 지목했다. 이번 사건은 단발적 침해로 끝나지 않고, 대학 정보보안 체계가 걸어온 제도적 경로를 되짚게 만든다.

대학의 개인정보 관리 문제는 이번이 처음 제기된 것이 아니다. 국내 대학은 입학, 학적, 졸업 이후 동문 관리에 이르기까지 수십 년치 개인정보를 누적 보유하는 기관이다. 그러나 이 정보를 보호할 법적 의무와 실제 이행 능력 사이에는 오랫동안 간극이 있었다.

개인정보보호법은 2011년 제정 이후 공공기관과 민간기업 전반에 안전조치 의무를 부과해왔지만, 대학은 '교육기관'과 '개인정보처리자'라는 두 지위 사이에서 규제 적용의 우선순위가 상대적으로 낮게 다뤄진 측면이 있다. 금융권이나 통신사처럼 정기 보안감사와 대규모 투자가 관행화된 업종과 달리, 대학의 정보보안 예산과 인력은 각 학교의 자체 판단에 맡겨진 부분이 컸다.

이런 구조는 2014년 이후 여러 대학에서 반복적으로 드러난 크고 작은 유출 사고들과 무관하지 않다. 당시에도 외부 해킹 시도나 관리 소홀이 원인으로 지목됐지만, 사고 이후 개별 대학의 시스템 개선에 그치고 대학 부문 전반의 제도 정비로 이어지는 경우는 많지 않았다. 교육부와 개인정보보호위원회가 대학 대상 보안 점검을 주기적으로 실시해왔음에도, 점검과 실제 침투 대응 능력 사이의 격차는 꾸준히 지적됐다.

이번 서강대 사건에서 박근혜 전 대통령을 포함한 졸업생 정보까지 유출 대상에 포함된 것으로 알려지면서, 대학이 보유한 개인정보의 범위와 보관 기간에 대한 질문도 다시 떠오르고 있다. 졸업 후 수십 년이 지난 동문 정보까지 어떤 근거로, 얼마나 오래 보관해야 하는지에 대한 명확한 기준이 그동안 충분히 정립되지 않았다는 점은 이번 사고가 새삼 드러낸 지점이다.

조사 중인 사안인 만큼 유출 경위나 침해 경로에 대한 단정은 이르다. 다만 이번 사건을 개별 대학의 관리 실패로만 좁혀 보기보다는, 대학이라는 기관이 오랫동안 축적해온 개인정보와 이를 보호할 제도적 장치 사이의 시차가 어떻게 형성되어 왔는지를 함께 살펴볼 필요가 있다. 피해 규모와 원인이 확정된 이후에는, 이번 사고가 대학 부문 전반의 정보보안 기준을 다시 점검하는 계기가 될지 지켜볼 대목이다.