CI와 주민번호를 분리하면 개인정보 유출 피해가 왜 줄어드나 — 2027년 1월로 앞당겨진 시행일

무슨 일이 있었나 — 시행일이 4개월 앞당겨졌다

연계정보(CI)란 무엇인가 — '온라인 주민번호'로 불리는 이유

연계정보는 온라인상에서 특정 개인을 식별하기 위해 주민등록번호를 일정한 방식으로 암호화해 만든 값입니다. 각 사이트가 회원가입 시 본인인증을 거치면 발급되는 값으로, 여러 서비스에서 '같은 사람'임을 확인하는 데 쓰입니다. 문제는 한 번 발급된 CI는 변경이 거의 불가능한 구조라는 점입니다. 주민번호처럼 평생 따라다니는 값이면서도, 정작 관리는 주민번호와 한 묶음으로 저장되는 경우가 많아 해킹의 표적이 되기 쉬웠습니다.

'분리·보관'이 실제로 뜻하는 것

이번 고시가 요구하는 것은 CI와 주민등록번호를 물리적 또는 논리적으로 분리해 보관하는 조치입니다. 쉽게 말해 두 값을 같은 데이터베이스 테이블이나 같은 접근 경로에 나란히 두지 말라는 뜻입니다. 비인가자가 시스템 한 곳을 뚫었을 때 CI와 주민번호가 동시에 노출되지 않도록, 접근 권한과 저장 위치 자체를 구분해 두라는 것이 핵심입니다. 지금까지는 이 둘을 한 곳에 저장해 관리하는 사업자가 많았기 때문에, 한 번의 침해로 두 정보가 동시에 털리는 구조였습니다.

시행일과 적용 대상 — 누가 지켜야 하나

개정된 시행일은 2027년 1월 1일이며, 적용 대상은 정보통신망법 제23조의6에 따라 CI를 발급받아 이용하는 연계정보 이용기관, 즉 본인확인 서비스를 연동해 주민번호와 CI를 함께 처리하는 웹사이트·앱 운영 사업자 전반입니다. 개인 이용자가 직접 뭔가를 신청하거나 바꿔야 하는 조치는 아닙니다. 사업자 쪽에서 시스템을 뜯어고쳐야 하는 내부 조치이기 때문에, 이용자 입장에서는 "언제부터 더 안전해지는가"를 아는 정도로 충분합니다.

유출됐을 때 피해 범위가 왜 줄어드나

분리·보관이 자리를 잡으면 가장 크게 달라지는 것은 유출 사고 한 번의 파급력입니다. 지금 구조에서는 해킹으로 DB 한 곳이 뚫리면 주민번호와 CI가 한꺼번에 빠져나가, 공격자가 다른 사이트에서까지 해당인을 특정하거나 명의도용을 시도하기가 쉬웠습니다. 두 정보가 분리 저장되면, 한쪽 시스템이 뚫려도 다른 쪽까지 자동으로 노출되지는 않아 2차 피해로 이어질 확률이 낮아집니다. 다만 이는 사업자의 저장 구조가 바뀌는 문제이므로, 이미 과거에 유출된 정보 자체가 사라지는 것은 아니라는 점은 구분해서 이해할 필요가 있습니다.

위반하면 어떻게 되나 — 과태료와 사업자 부담

시행일 이후에도 분리·보관 조치를 지키지 않는 사업자는 정보통신망법 제76조 제1항에 따라 3천만원 이하의 과태료 부과 대상이 됩니다. 4개월 앞당겨진 일정 때문에 일부 사업자는 시스템 재구축 일정이 빠듯해졌다는 우려도 나오는데, 이 부담은 결국 서비스 운영사가 감당해야 할 몫입니다. 이용자로서는 내가 자주 쓰는 서비스가 본인인증을 요구한다면, 그 회사가 이 조치를 제대로 준수하고 있는지가 결국 내 정보의 안전과 직결된다는 점을 기억해 둘 만합니다.

지금 이용자가 확인해 둘 수 있는 것

제도 시행을 기다리는 동안 개인이 할 수 있는 일도 있습니다. 이미 주민번호 유출이 확인된 경우라면 변경 신청 절차를 먼저 알아두는 편이 낫고, 최근 이용하던 서비스에서 유출 통지를 받은 적이 있다면 그 내용부터 다시 확인해 보는 것이 순서입니다. 특히 올해 있었던 티빙 유출 사고처럼 CI가 함께 노출된 사례는 이번 제도 개정의 직접적인 배경이 된 만큼, 해당 서비스를 썼던 이용자라면 보상 신청 기한이 지나지 않았는지도 함께 점검해 볼 만합니다. 대량유출 사고가 났을 때 사업자에게 어떤 책임이 따르는지는 매출액 기준 과징금 제도를 통해서도 짐작해 볼 수 있습니다.

정리하면

이번 개정의 핵심은 세 가지입니다. ①CI와 주민번호를 분리·보관하는 조치가 2027년 1월 1일부터 시행되며, 원래 계획보다 4개월 앞당겨졌습니다. ②적용 대상은 CI를 발급·이용하는 사업자이고, 개인이 별도로 신청할 절차는 없습니다. ③분리 저장이 자리 잡으면 한 번의 유출 사고가 CI와 주민번호를 동시에 노출시킬 위험이 줄어, 2차 피해 범위가 좁아질 것으로 기대됩니다. 다만 구체적인 시행 세부지침이나 개별 사업자의 준수 여부까지는 이 글만으로 확인하기 어려운 부분이 있으니, 본인이 이용하는 서비스와 관련해 궁금한 점이 있다면 방송미디어통신위원회나 개인정보 관련 법률 전문가를 통해 개별적으로 확인하는 것을 권합니다.