심평원 3300명 개인정보 ‘구글에 둥둥’

이의신청자 주민번호 등 6개월 동안 노출
경북대병원도 1700여명 개인정보 뚫려
전문가 “누리집 보안·관리 허술 드러나”

건강보험심사평가원(심평원)이 건강보험금 납부에 이의신청을 한 3300여명의 개인정보를 6개월여 동안 무방비로 노출해 온 사실이 뒤늦게 드러났다.

8일 심평원과 정보보안업체의 말을 종합하면, 지난 2월부터 심평원 누리집을 통해 건강보험 부담금 내역에 이의신청을 한 민원인 3300여명의 주민등록번호와 요양기관, 본인부담금 액수 등이 지난 8월12일까지 6개월여 동안 노출됐다. 이들의 개인정보는 검색엔진 ‘구글’을 통해 노출됐는데, 심평원은 지난 8월 한 정보보안업체의 신고를 받고 나서야 이런 사실을 파악해 구글 쪽에 관련 정보 삭제를 요청하고 보안 조처를 강화했다. 신아무개(51)씨의 경우, 주민번호와 함께 연세대학교 세브란스병원에서 진료를 받은 기록과 본인 부담금이 537만원이라는 내용 등이 드러났다.

심평원은 지난 2월 온라인 이의신청 서비스를 시작하면서 민원인이 이름과 주민번호를 입력해 본인 확인을 거치도록 누리집을 구성했는데, 이 과정에서 구글 검색엔진에 정보가 노출된 것으로 전문가들은 보고 있다. 한 정보보안업체 관계자는 “이 서비스의 경우 주민번호를 프라이머리 키(본인 인증을 위한 수단)로 사용했는데 정보보안에 취약할 수밖에 없는 방식”이라고 지적했다. 심평원 쪽은 “새로운 서비스를 도입하면서 보안관리가 부실했던 것이 사실”이라며 “이번 정보 노출 이후 매달 사후 감시 활동을 벌이고 있다”고 해명했다.

또 경북대병원의 직원 전용 누리집에 올려진 건강검진 대상자와 직원 등 1700여명의 개인정보도 구글 검색엔진을 통해 노출된 사실이 확인됐다. 이 대학 본부에서 근무하는 강아무개(45)씨의 경우, 주민번호와 입사 연도는 물론 사원증 번호까지 드러났다.

경북대병원 쪽은 “내부자 전용망인 인트라넷에 첨부파일을 올리는 경우가 별로 없어 보안을 걸지 못했다”며 “직원들의 보안 교육을 통해 개인정보가 담긴 파일을 올리는 일이 없도록 하겠다”고 밝혔다.

안철수연구소 관계자는 “일개 검색 엔진에 개인정보가 노출된다는 것은 보안 서버 운용상의 기본적인 관리 부실 외에는 설명할 길이 없다”고 말했다.

이에 따라 환자의 질병과 진료 기록 등 민감한 개인정보를 관리하는 보건복지가족부의 개인정보보호 정책의 실효성에도 의문이 제기되고 있다.

복지부는 지난 1월부터 산하기관에 대한 개인정보보호 관리실태를 점검했으며, 지난 9일 심평원에 ‘비교적 우수’ 판정을 내린 바 있다. 복지부 관계자는 “관리하는 개인정보의 양이 워낙 방대해 시스템을 최대한 보완하고 있다”며 “산하 기관의 관리 실태를 수시로 점검하는 등 개인정보 보호 대책을 강화하겠다”고 밝혔다.

노현웅 기자 [e-mail]