김희정 교사노동조합연맹 대변인

[위즈경제] 장석찬 기자 =지난 5일 대전시교육청과 지난 12일 서울시교육청에서 학교 구글 워크스페이스 계정 침해사고가 잇따라 발생했다. 교육부는 추가 피해를 막기 위해 전국 시·도교육청에 학생·교직원 구글계정 비밀번호 변경과 관리자 계정 2단계 인증 등 긴급조치에 나선 상황이다.

이에 위즈경제는 16일 김희정 교사노동조합연맹 대변인과 전화통화를 통해 학교의 개인정보·보안 관리 실태와 현장의 어려움, 필요한 지원체계를 일문일답으로 정리했다.

다음은 김희정 교사노동조합연맹 대변인과의 일문일답이다.

Q1. 이번 사고에서 가장 우려하는 부분은 무엇인가

학생과 교직원이 자신의 계정에서 어떤 일이 일어났는지, 어떤 피해에 대비해야 하는지 충분히 알지 못한다는 점이다. 계정이 침해됐다는 사실과 실제 개인정보가 유출됐다는 것은 구분해야 한다. 그렇기 때문에 접근·유출 여부와 범위를 신속히 밝혀야 하며, 피해가 확인되면 계정 도용이나 개인정보 악용 등 2차 피해를 막을 조치도 뒤따라야 한다.

학교에서 교육활동에 사용하는 서비스는 학생과 학부모가 교육당국을 믿고 이용하는 것이다. 그 신뢰에 답할 책임도 교육당국에 있다. 민간 플랫폼을 이용한다고 학생 보호 책임까지 업체에 넘길 수는 없다.

Q2. AI·디지털 교육과 민간 플랫폼 활용이 확대되는 상황에서 현재 교육당국의 개인정보 보호·보안 관리체계는 충분하다고 보나

현재 드러난 상황만으로 본다면 충분하다고 평가하기 어렵다. AI·디지털 교육을 확대하는 속도에 맞춰 어떤 서비스가 무슨 정보를 수집하고 누가 관리하는지, 사고가 나면 누가 조사하고 복구하는지까지 교육당국이 파악하고 책임져야 한다. 즉, 활용을 장려하는 정책과 안전을 보장하는 정책이 함께 가야 한다.

Q3. 가장 보완이 필요한 부분은 무엇으로 보나

교육용 민간 플랫폼에 대한 공통의 도입 기준과 상시 감독체계다. 도입 전에 최소한의 정보만 수집하는지, 접근 권한과 보관·삭제 기준이 적절한지 검증하고, 도입 후에도 정기적으로 점검해야 한다.

아이스크림미디어의 개인정보 유출과 유웨이 원서접수 장애는 성격이 다른 사고지만, 민간 서비스의 보안·운영 문제가 교육현장에 직접 영향을 준다는 점을 보여준다. 업체의 사고 보고와 조사 협조, 복구·피해구제 책임을 명확히 하고, 보호조치가 검증되지 않은 서비스의 확대·연계는 유보해야 한다.

Q4. 보안 점검과 사고 대응 과정에서 학교와 담당교사가 겪는 어려움이나 부담은 무엇인가

이번 구글계정 침해사고에서 교사들이 구체적으로 어떤 추가 업무를 맡았는지는 별도 확인이 필요하다. 다만 가장 큰 어려움은 전문 기술과 권한이 충분하지 않은 교사가 '담당자'라는 이유로 해결의 책임을 떠안게 된다는 점이다.

수업과 평가를 하면서 계정 확인, 비밀번호 재설정 안내, 이용 문의, 조치 결과 보고까지 처리해야 한다면 수업 준비와 학생 지도 시간이 줄어든다. 특히 침입 경로 분석이나 유출 여부 판단은 교사에게 공문을 보내 처리하도록 할 수 있는 일이 아니다.

Q5. 교육부가 비밀번호 변경과 관리자 계정 2단계 인증 등의 조치를 시행했다. 이런 조치만으로 충분하지 않다고 보는 이유와 추가로 필요한 대책은 무엇이라고 보나

비밀번호 변경과 2단계 인증은 필요한 긴급조치다. 그러나 그것만으로 어떻게 침입했는지, 이미 어떤 정보에 접근했는지, 추가 침해 가능성이 남아 있는지까지 확인되는 것은 아니다. 비밀번호를 바꿨다는 보고와 사고를 해결했다는 판단은 다르다.

교육부가 전문기관 및 업체와 함께 대전·서울 사고의 연관성, 침입 경로, 실제 피해 범위를 조사하고 결과와 후속 조치를 공개해야 한다. 조사에 필요한 접속기록을 보전하고, 의심스러운 접속과 연결된 서비스의 접근 권한도 점검해야 한다. 졸업·전출 등으로 사용하지 않는 계정 역시 필요한 기록을 먼저 보전한 뒤 적절한 기준에 따라 정리해야 하며, 당사자에게는 확인된 피해와 필요한 보호조치를 정확히 안내해야 한다.

Q6. 교육청 차원의 전담인력과 기술지원이 필요하다고 했는데, 어떤 지원체계를 마련해야 한다고 보나

교육청에는 개인정보·정보보안 전문인력을 두고, 교육지원청 단위에서는 학교가 한 곳에 연락하면 원격지원과 현장지원으로 이어지는 상시 지원체계를 마련해야 한다. 평소에는 서비스 도입 검토, 계정·권한 관리 기준 마련, 정기 보안점검을 담당하고, 사고가 나면 기록 확보와 기술적 조사, 업체 협의, 복구와 재발 방지까지 책임져야 한다. 단순히 안내문을 보내거나 업체 연락처를 알려주는 수준을 넘어야 한다.

Q7. 교육청 전담인력과 학교 담당교사의 역할은 어떻게 나누는 것이 적절하다고 보나

학교는 학생·교직원의 재학·재직 상태 등 필요한 정보를 확인하고, 이상 징후를 신속히 알리며 교육활동에 필요한 사항을 전달하는 역할을 맡는 것이 적절하다. 기술적인 계정 설정과 보안점검, 침해 분석과 복구는 교육청과 전문인력이 담당해야 한다.

교사에게는 안전한 활용을 위한 교육과 명확한 신고 경로를 제공하되, 보안 전문가의 판단과 책임까지 요구해서는 안 된다. 학교는 문제를 알리면 지원받을 수 있어야 하고, 교사는 학생을 가르칠 수 있어야 한다.