물류가 들고 있는 데이터의 무게

편의를 쌓다 보니 어느새 열쇠를 들고 있었다

얼마 전 쿠팡의 개인정보 유출 사고가 사회적으로 큰 이슈가 되었다. 

이 사건 이후 한동안 대부분의 언론에서는 인증 시스템의 취약점, 내부자 접근 통제, 늦은 탐지 등 개별적인 문제점들을 매일 보도하며 쿠팡은 물론, 이커머스 전체의 보안 문제를 심각하게 다뤘다. 그러나 실제 발생한 문제의 속성과 책임론을 떠나 이번 사고를 자세히 분석해보면, 개인적으로 이 문제는 보안 분야의 이슈 이외에도 또 다른 영역의 현실적인 문제가 복합적으로 얽혀 있음을 알 수 있다.

사실 이번에 유출이 된 개인정보는 결제정보가 아니었다. 카드나 계좌의 고유 번호가 아닌, 수령인의 이름과 전화번호, 배송지 주소, 그리고 공동현관 비밀번호였다. 다시 말해 유출된 정보의 대부분은 절대적으로 물류의 운영 편의를 위한 데이터, 즉 물건을 정확한 곳에 정확한 시간에 가져다 놓기 위해 배송자가 고객에게 받아온 정보였다.

하지만 이번 사고에서 정말 곱씹어볼 지점은, 이 정보를 다루는 관리기준이 분명히 있었는데도 사고가 났다는 사실이다. 쿠팡 역시 접근통제와 접속기록 보관, 암호화 같은 보호조치를 개인정보처리방침에 명시해두고 있었다. 그러니 이건 기준이 없어서 벌어진 일이 아니다. 그저 있는 기준과 실제로 운영되는 현장 사이의 틈에서 벌어진 일에 가깝다.

그렇다면 애초에 이런 민감한 정보를 어떻게 이만큼 모으게 됐고, 명확한 기준이 있었음에도 왜 그 틈이 벌어졌을까.

먼저 이런 개인정보의 데이터는 누가 작정하고 모은 게 아니라, 전부 더 빠르고 편리한 배송을 하려다 생긴 것들이다. 물류 현장에서는 흔히 발생하는 일인데, 비대면 배송이 표준이 되면서 문 앞에 두고 가려면 어디다 둘지를 알아야 했고, 공동현관이 막혀 있으면 못 들어가니까 비밀번호를 받아 저장하곤 한다. 

같은 집에 두세 번 가다 보면 매번 묻는 게 번거로워서 그냥 시스템에 남겨두는 경우도 빈번하다. 부재중이면 경비실에 맡길지 택배함에 넣을지도 미리 적어둬야 하며 새벽에 조용히 가져다 놓으려면 그 집이 몇 동 몇 호인지, 현관을 어떻게 통과하는지가 정리돼 있어야만 한다. 이러한 점에서 운영하는 입장에선 개인정보의 보관이 시간과 비용 측면에서는 합리적인 선택으로 보일 수 있다. 

실제 센터를 구축하거나 배송 프로세스를 설계하는 상황이라면 비슷한 판단을 내리기 쉽다. 실제 여러 현장에서 보면 관리자 입장에서도 고객 문의를 한 건이라도 줄이고 오배송을 막으려면 정보는 많을수록 좋다 보니 이런 축적을 굳이 막지 않는 경우가 흔하다.

문제는 이런 선택이 하나씩 쌓이다 보니, 어느새 한 회사가 수천만 명이 어디 사는지, 그 집에 어떻게 들어가는지를 통째로 들고 있게 된다는 점이다. 한 조각씩 보면 별것 아닌 정보인데, 다 모아놓고 보면 보통 물건이 아니다. 현관 비밀번호 하나만 해도, 그게 배송 편의를 위한 메모인 동시에 그 집의 잠금장치를 푸는 열쇠다. 

게다가 한 번 떠난 고객 정보라 할지라도 거래 관련 기록은 전자상거래법상 일정 기간 보관 의무가 있다. 그래서 진작 쿠팡을 떠난 사람들까지 이번에 같이 유출의 피해를 입었다. 규정을 지킨 것뿐인데, 그 규정 지키느라 들고 있던 데이터가 결국 발목을 잡은 셈이다.

또 한가지는 정보 관리의 기준을 보통 정하는 기준은 무엇을 받느냐, 그리고 얼마나 오래 보관하느냐이다. 그런데 이번에 뚫린 곳은 그 바깥이었다. 한곳에 다 몰아둔 게 안전한지, 누가 그 데이터를 들여다보는지, 시스템에서 지운 정보가 현장에서도 정말 지워졌는지. 
기준의 손이 잘 닿지 않는 이 세 군데에서 틈이 벌어졌다. 이번 일이 유독 크게 번진 데는 쿠팡이 데이터를 한곳에 다 쥐고 있는 구조라는 점도 작용했다. 주문부터 배송까지 직접 다 하니 정보도 한 통에 모이고, 그 한 통이 뚫리면 전부 문제가 생기는 구조인 것이다. 

반대로 셀러가 알아서 배송하는 오픈마켓이나 여러 3PL에 나눠 맡기는 구조에선 데이터도 그만큼 흩어져 있다. 예전에 자사물류와 3PL을, 또 네이버 NFA를 이야기하며 통제력과 효율을 다룬 적이 있는데, 데이터를 놓고 보면 그 통제력이 양날의 칼이라는 게 분명해진다. 

효율을 위해 모으는 힘과 위험을 줄이려 나누는 힘은 늘 균형이 맞아야 함에도 대부분은 그동안 효율적 관점에서 모으는 쪽으로 너무 멀리 와 있는것이 대부분 커머스의 현실이라 할 수 있다. 그리고 이러한 이슈들을 누가 들여다보고 관리하는지에 대한 문제도 있었을 것이다. 사고가 시작되고 회사가 알아채기까지 다섯 달이 걸렸는데 그동안 출고는 정상이었고 배송 완료율도 문제가 없었을 것이며 어떤 지표도 경고를 주지 않았을 것이다. 이전 글에 KPI의 역설을 쓰면서 숫자는 멀쩡한데 품질은 무너지는 경우를 이야기한 적이 있는데, 이번 일을 보며 그 생각이 다시 났다. 

대부분의 물류관리자들은 출고 시간, 정시 배송률, 오배송 건수 같은 건 매일같이 들여다본다. 그런데 누가 어떤 고객 정보를 얼마나 열어봤는지는 대시보드 어디에도 없는 경우가 많다. 다섯 달간 지표가 정상이었던 건 문제가 없어서가 아니라, 그 문제를 잡아낼 지표를 애초에 안 만들어뒀기 때문이다. 결국 모든 사람들이 보기로 한 것만 보였던 것이다.

마지막으로 데이터는 시스템 안에만 있는 것이 아니다. 규정상 어떤 정보는 일정 기간 뒤에 지우기로 돼 있고, 시스템에서는 분명히 지워진다. 그런데 같은 아파트를 매일 도는 기사는 그 동 공동현관 번호를 그냥 외우고 있다. 손에 든 종이에 적어두기도 하고, 인수인계할 때 다음 사람한테 알려주기도 한다. 

단톡방에 현관 번호가 올라오는 경우도 적지 않다. 회사는 데이터를 폐기했지만, 현장에서는 사람의 기억과 메모와 대화 속에 여전히 살아 있는 셈이다. 관리한다는 말과 실제로 관리되는 모습 사이에는 늘 이만큼의 틈이 있다. 시스템을 아무리 잘 짜도, 그 시스템이 현장의 모든 손과 입을 덮지는 못한다.

물류는 신뢰로 완성된다는 말은 편의에 가려저 현장에서는 그 중요성이 다소 가려지고 있지는 않은가 생각한다. 대부분에게 물류의 신뢰는 보통 약속한 날에 물건이 오는지, 상품이 괜찮은 상태로 오는지로만 표현됐겠지만 이번 사고에서 고객이 기업에 말하는 신뢰는 그보다 훨씬 뼈아픈 것이었다. 

내 집 현관 비밀번호를 이 회사한테 맡겨도 되는가. 배송이 빠르다고, 값이 싸다고 답할 수 있는 질문이 아니다. 그리고 한번 깨진 이 신뢰는 익일배송 하나 더 붙인다고 돌아오지 않는다. 

그래서 다음 시스템을 짤 때 던져야 할 질문도 달라진다. 그동안 많은 이들은 어떻게 하면 더 매끄럽게 배송할까를 물었지, 이 정보를 우리가 정말 들고 있어야 하는가는 거의 묻지 않았을 것이다. 받을 수 있으니까 받았고, 남길 수 있다면 남겼을 것이다. 

하지만 가지지 않은 데이터는 유출될 일도 없다. 현관 비밀번호를 평문으로 5년 쥐고 있는 대신 배송 시점에만 쓰고 지우는 구조였다면 어땠을까. 결국 기준을 한 줄 더 만드는 일이 아니라, 덜 쥐는 설계와 현장 교육이 같이 가야 하는 일이다.

조금 더 멀리 보면, 이건 단순히 사고를 막는 차원의 이야기가 아니라고 생각한다. 지난 10년간 이커머스 물류의 경쟁력은 더 빠르게, 더 싸게, 그리고 더 많이 알아서 매끄럽게로 요약됐다. 고객을 잘 알수록 잘 파는 시대였다. 그런데 이번 일을 겪고 나니, 앞으로는 얼마나 적게 들고도 제대로 배송할 수 있는가가 또 하나의 경쟁력이 될 것 이라는 생각이 든다.

덜 묻고, 덜 저장하고, 다 쓴 정보는 빨리 비우는 운영을 생각해보자. 예전 같으면 불편하고 비효율적이라 여겨졌을 이 프로세스가, 사고 한 번에 수천만 명의 신뢰가 날아가는 걸 본 지금은 다르게 받아들여질 것이다. 그렇기 위해서는 신뢰를 막연한 구호가 아니라 들여다볼 수 있는 숫자로 끌어와야 한다. 우리가 출고 시간과 정시율을 매일 보듯, 우리가 지금 얼마나 많은 민감정보를 쥐고 있는지, 누가 그걸 들여다보는지, 다 쓴 데이터가 제때 비워지는지도 운영 지표로 올라와야 한다.

다 쓴 데이터가 제때 비워지는지도 운영 지표로 올라와야 한다. 예컨대 현재 시스템에 보관 중인 현관 비밀번호 총 건수, 전월 대비 개인정보 접근 계정 수의 변화, 보관 기한을 넘긴 데이터의 잔존율. 이 세 숫자를 주간 운영 리뷰에 올리는 것만으로도 시작은 할 수 있다. 출고율과 정시율 옆에 이 숫자들이 나란히 놓이는 날, 우리는 비로소 데이터를 운영하고 있다고 말할 수 있을 것이다.

측정하지 않는 것은 결국 관리되지 않는다. 물류는 결국 사람의 생활을 떠받치는 일이고, 그 사람의 가장 사적인 정보를 맡아두는 일이기도 하다. 그 무게를 지표로 관리할 자신이 없다면, 사실 그 정보를 들고 있을 준비가 안 된 것인지도 모른다.