[시선] '잇단 개인정보 유출' 대한항공·아시아나, 보안투자 낮아...관리·감독 강화해야

항공사, 협력사 보안 취약→전체 시스템 리스크 확산 가능성
통합 과정, 내부통제 강화·협력사 포괄한 정보보호 투자 확대 필요
정부의 관리·감독 강화로 이어질 가능성 높아

[포인트경제] 대한항공과 아시아나항공이 통합 출범을 앞두고 연이어 임직원 개인정보 유출 사고를 겪으면서, 국내 양대 국적항공사의 보안 리스크 우려가 확산되고 있다. 메가 항공사 탄생이라는 기대감보다 내부통제와 정보보호 역량에 대한 의문이 제기되며, 향후 정부의 관리·감독 강화로 이어질 가능성이 나온다.

인천국제공항 전망대에서 바라본 공항 계류장 내 대한항공과 아시아나항공 모습. /사진=뉴시스

지난달 29일 대한항공은 기내식·기내 판매 납품업체인 ‘케이씨앤디서비스(KC&D)’가 외부 해킹 공격을 받아 임직원 약 3만 명의 개인정보가 유출됐다고 내부 공지를 통해 밝혔다. 유출 정보에는 성명과 계좌번호 등 민감도가 비교적 높은 정보가 포함된 것으로 알려졌다. 대한항공은 해당 사고가 외부 협력업체에서 발생했음에도 불구하고 사안을 엄중하게 인식해 긴급 보안 조치를 시행하고 관계기관에 신고했다고 설명했다.

다만 KC&D가 2020년 대한항공에서 분리 매각된 이후에도 과거 계열사로서 인적·시스템적 연결고리가 남아 있었던 점을 고려하면, 협력업체의 보안 수준과 데이터 관리 체계에 대한 사전 점검과 통제가 충분했는지를 둘러싼 관리 책임 논란은 피하기 어렵다. 외주 구조가 고착화된 항공 산업 특성상 협력사 보안은 곧 본사 보안의 연장선이기 때문이다.

이보다 앞선 같은 달 25일에는 아시아나항공에서도 정보 유출 사고가 공지됐다. 아시아나항공은 해외 서버의 비인가 접근으로 사내 인트라넷이 해킹됐으며, 협력사 직원 포함 임직원 1만여명의 이름·부서·직급·전화번호·사번·이메일 주소 등이 유출됐다고 밝혔다. 다만 유출에 고객정보는 포함되지 않았다고 강조했다.

항공 산업은 국가 안전과 직결되는 기간 산업으로, 사이버 공격과 데이터 침해의 주요 표적이 될 가능성이 높은 분야로 꼽힌다. 항공사는 여권·비자 정보, 탑승 이력, 결제 정보 등 민감한 개인정보를 대규모로 보유할 뿐 아니라, 운항 스케줄과 기체 정비 이력, 공항 슬롯 정보 등 외부로 유출될 경우 항공 안전 위협과 직결된다.

특히 임직원이나 협력사 계정 탈취는 내부 시스템 접근 권한으로 이어질 수 있어 위험성이 크다. 정비·기내식·IT 운영·콜센터 등 외주 비중이 높은 항공 산업 구조상, 협력사 한 곳만 뚫려도 그룹 전체 시스템으로 확산될 위험도 있다.

그러나 이 같은 구조적 위험에도 국내 항공사의 정보보호 투자 수준은 충분하다고 보기 어렵다. 한국인터넷진흥원(KISA) 정보보호 공시 종합 포털에 따르면 대한항공과 아시아나항공의 정보보호 투자 비율은 각각 5.4%, 2.8%로 산업계 평균인 6.8%에 비해 낮다. 통합을 앞두고 시스템과 데이터 규모가 확대되는 상황에서 보안 투자가 상대적으로 부족하다는 지적이 나오는 이유다.

업계에서는 이러한 보안 문제들이 양대 항공사의 통합 과정에서 중대한 리스크로 작용할 수 있다고 본다. 항공사 통합은 IT 시스템, 계정 체계, 데이터 관리 기준을 단계적으로 통합하는 복잡한 작업을 수반하는데, 이 과정에서 보안 정책의 불일치나 관리 공백이 발생하면 사고 위험이 커질 수밖에 없다는 것이다. 특히 통합 이후에는 단일 시스템 장애나 침해 사고가 곧바로 전체 항공사의 운영 차질로 이어질 수 있어 리스크의 파급력이 커진다.

연이은 정보 유출 사고는 정부와 감독 당국의 시선을 더욱 엄격하게 만들 가능성이 크다. 공정거래위원회의 기업결합 조건 이행 점검은 물론, 국토교통부의 안전·보안 관리 감독이 강화될 경우 통합 일정이나 운영 전략에도 일정한 부담으로 작용할 수 있다.

메가 캐리어 출범은 외형 확대가 아니라 그에 맞는 내부통제와 보안 역량이 전제돼야 한다. 대한항공과 아시아나항공이 경쟁력 강화와 시장 지위를 논하기에 앞서, 협력사까지 포함한 통합 정보보호 전략을 마련해야 한다는 목소리가 높아지고 있다.

대한항공 C&D 서비스 관계자는 "보안투자가 업계 수준대비 낮은 수준이 아니다"라면서도, 개인정보 유출 사고가 있었던 만큼 "정보보안 예산 확대와 보안 체계를 강화할 계획"이라고 밝혔다.