올해 아이가 중학교에 입학한 조모(40·압구정동)씨는 이달초 학교로부터 가정통신문 한 장을 받았다. ‘학교CMS(Cash Management Service) 이용신청서’였다. 이 서비스를 신청하면 학교 수련회비 등 학부모가 내야할 비용을 학부모 계좌에서 자동으로 이체해 간다. 매번 학교에 교육비 등을 내야할 때마다 직접 학교에 제출하는 번거로움을 없애기 위한 조치다. 그러나 조씨는 조금 찜찜했다. 이용신청서엔 은행 계좌번호 뿐 아니라 이름·주민등록번호 같은 개인정보가 다 포함돼 있는 데다 이 개인정보의 수집과 제3자 제공에 동의하도록 되어 있었기 때문이다. 조씨는 “자녀가 유치원 다닐 때부터 CMS를 신청해왔지만 최근 개인정보 유출 사태가 벌어지는 걸 보니 내 정보가 과연 안전하게 사용되는지 새삼 궁금해지더라”고 말했다.
학교CMS를 위해 모아진 학부모 개인정보는 과연 안전할까.
금융결제원에 따르면 학교CMS를 운영하고 있는 서울 초·중·고는 841개에 이른다(2011년 기준). 서울시 전체 학교(1297곳)의 64.8%에 해당하는 수치다. 박남수 금융결제원 CMS업무팀장은 “서울이 특히 이용률이 높다”며 “전국적으로는 10% 수준”이라고 말했다. 나머지 상당수 학교는 학교와 금융회사간 계약에 의한 스쿨뱅킹 서비스를 이용한다.
학교CMS와 스쿨뱅킹 이용을 위해 학부모가 제출한 개인정보는 어떻게 관리되고 있을까. 우선 정보 처리 과정을 살펴보면, 학부모가 종이에 써낸 개인정보는 학교측이 전산화한다. 이후 금융결제원으로 보내고, 금융결제원은 학부모가 사용하는 은행으로 다시 이 정보를 보내 학교 계좌와 학부모 계좌 간 자동이체 서비스를 연결하는 구조다. 이 과정에서 학교 측은 학부모 개인정보를 교육부와 각 시·도 교육청이 운영하는 지방교육 행·재정 통합시스템인 에듀파인(edufine·Education finance e-system)에 저장한다. 교육부 관계자는 “에듀파인에 저장한 개인정보는 모두 암호화 돼있기 때문에 안전하다”고 말했다.
이 프로그램을 기획·구축한 한국교육학술정보원(KERIS)도 똑같은 의견이다. 에듀파인은 지난 2008년 총 733억여 원을 들여 구축했다. 방화벽 같은 보안프로그램을 포함한 소프트웨어 개발비용만 190억원이다. 한국교육학술정보원 관계자는 “각 시·도 교육청이 따로 운영하고 있는데 서울시교육청은 유지보수 비용으로 지난해 4억여 원을 들였고 이 중 3800만원이 보안 비용이었다”고 말했다. 그는 또 “교육청마다 전산직 공무원 1~5명이 꾸준히 운영·관리하고 있다”고 덧붙였다. 또 다른 관계자도 “에듀파인은 공무원과 학교 관계자만 접속할 수 있는 폐쇄망이기 때문에 일반 은행·카드사 보다 훨씬 안전하다”고 말했다.
그러나 정작 보안 전문가들은 “안전을 확신할 수 없다”는 우려섞인 분석을 내놓는다. 임채호 카이스트 정보보호대학원 교수는 “종류가 다른 악성코드 100개 중 새로 만든 1개만 못막아도 뚫리게 된다”며 “국내 보안 체계는 해킹으로 프로그램이 뚫리면 이를 치료(복구)·보완하는 수준에 머무르고 있다”고 말했다. 그는 또 “중국·북한 등에서 만들어진 신종 악성코드를 빨리 발견해 침투하기 전에 막아낼 수 있도록 집중하는 게 시급하다”고 덧붙였다.
일부 이용자만 사용한다는 ‘폐쇄망 구조’라 안전하다는 주장에도 회의적인 시각을 보였다. 임 교수는 “‘폐쇄망’이라는 단어 자체가 결국은 거짓말이 될 수 밖에 없다”며 “아무리 폐쇄망이라고 해도 외부 보수 직원이나 학교·공무원 같은 관계자가 USB(이동식저장장치) 등을 사용하는 등 여러 경로를 통해 바이러스가 옮겨질 수 있다”고 말했다.
그나마 ‘에듀파인’ 같이 보안프로그램을 가동하는 곳에 학부모 개인정보를 저장하면 좀 낫다. 하지만 만약 학교가 학교용 컴퓨터에 개인정보 파일을 저장해 뒀다면 보안에 더 취약할 수 밖에 없다. 교육부 관계자는 “학교 대부분이 에듀파인에 (학부모) 개인정보를 저장해 두는 것으로 알고 있다”며 “하지만 업무 효율성을 위한 권고사항일 뿐 의무 사항은 아니기 때문에 일부 학교에서 학교용 컴퓨터에 저장해 두고 있을 수는 있다”고 말했다.
여기서 궁금증 하나 더. 학부모가 개인정보를 적어 낸 종이 신청서는 어떻게 처리될까. 교육부는 “신청서를 받은 뒤 5년 동안 보관했다가 이후 학교장 재량에 따라 처리한다”고 말했다. 반면 시 교육청과 일선 학교 답은 달랐다. 서울시교육청 관계자는 “학교에서 문서 폐기를 신청하면 외부인사가 포함된 심의회를 연 후에 시·구 교육청 차원에서 폐기한다”고 말했다. 일선 학교에선 학교마다 보관 기간이 제각각이었다. 강남구의 한 중학교는 “5년”, 서초구의 한 중학교는 “3년”이라고 말했다. 또 시 교육청 관계자는 “시에선 1년이 지나면 폐기가 가능하다고 보고 있다”며 “(학교CMS 이용신청서를) 회계서류로 보느냐, 단순 신청서로 보느냐에 따라 관계 기관의 보관기간이 달라질 수 있다”고 말했다.
소각 등 폐기 방법에 대한 지침은 당연히 없다.
조한대 기자
◆여러분이 사는 지역과 관련한 궁금증이나 제보할 내용이 있으면 江南通新으로 알려주십시오. 江南通新이 소개할 만한 내용을 추려 취재한 후 이슈 클릭 면에 상세히 풀어 드리겠습니다. hyeree@joongang.co.k
