계열사 간 정보 공유 금지하고 주민등록번호 기재란 삭제
보안 전담 인력ㆍ예산 늘렸지만 '정보 유출 금융사 과징금 부과'
신용정보법 개정안 국회 계류 중
"간편결제 늘면 부정 사용도 늘것, 이상거래 탐지시스템 구축 서둘러야"
8일로 KB국민카드, 롯데카드, NH농협카드 등 카드 3사의 대규모 정보 유출 사건이 검찰 발표로 드러난 지 꼭 1년이 된다. 그 동안 금융당국과 카드업계는 다양한 재발 방지 대책을 내놓으며 분주히 움직였지만, 갈 길은 아직 멀다. 더구나 신용정보 유출 시 금융사에 징벌적 손해배상을 하도록 한 법안은 여전히 국회에서 잠자고 있다. 외려 간편결제를 필두로 한 핀테크(Fin Techㆍ금융+IT기술)가 금융권의 화두로 떠오르면서 보안의 새 뇌관이 커지고 있다는 우려가 나온다.
7일 금융권에 따르면 이들 카드 3사를 포함한 카드업계는 지난해 개인 정보 유출 이후 보안 전담 인력을 늘리는 한편 각종 보안대책을 내놓았다.
국민카드는 지난해 3월 정보보호팀을 정보보호부로 격상하고 전담 인력도 11명에서 21명으로 두 배 가까이 늘렸다. 8월에는 전임 정보보호최고책임자(CISO)도 임명했다. 고객 정보 유출이 외주업체 인력에 의해 발생한 만큼 전산센터 출입통제를 강화하기 위해서 엑스레이 검색대와 금속탐지기 등도 설치했다. 롯데카드도 작년 3월 정보보호부문을 신설하고 관련 인력을 2배 이상 늘렸고, 농협카드 역시 농협은행 차원의 정보보안본부를 설립했다.
금융당국도 사고 이후 각종 대책을 쏟아냈다. 금융지주사 계열사간 고객 정보 공유를 원칙적으로 금지했고, 각종 금융거래 서식에서 주민번호 기재란도 없었다. 또 한번의 신청만으로 금융사에서 받는 스팸성 대출광고를 모두 차단할 수 있는 금융권 연락중지청구(Do-Not-Call) 서비스도 시작됐다.
사고 이전에 비해 진일보한 것은 분명하지만, 내용을 뜯어보면 기대에 미치지 못한다. 한 금융사 보안담당 임원은 “보안대책들이 대부분 외형적인 것들에 치우쳐 있는 느낌”이라며 “정보유출 사고가 제도의 구멍 때문에 생기는 것이 아니기 때문에 인식 변화가 뒤따르지 않으면 안 된다”고 말했다.
무엇보다 금융당국이 가장 공을 들인 징벌적 손해배상을 담고 있는 신용정보법(신용정보의 이용 및 보호에 관한 법률) 개정안은 아직도 국회에 표류 중이다. 당장 금융권에서 대규모 정보유출 사태가 다시 발생한다고 해도 금융사들은 솜방망이 처벌을 받을 수밖에 없다는 얘기다.
더 큰 문제는 카드사들이 정부 의지에 따라 등 떠밀리듯 공인인증서 결제 방식에서 간편결제 시스템으로 빠르게 갈아타면서 새로운 정보 유출 위험성이 커질 수 있다는 점이다. 카드사들은 30만원 이상 결제 시 공인인증서 사용 의무가 사라지면서 지난해 말 아이디와 비밀번호만으로 본인 인증을 하는 간편결제 시스템을 선보였다. 그러나 전자상거래에서 편의성과 보안성은 반비례할 수밖에 없다는 게 전문가들의 지적이다. 정훈 KB금융지주경영연구소 연구위원은 “그간 공인인증서 덕분에 미국이나 유럽 등 선진국에 비해 국내 신용카드의 전자상거래 시 부정 사용이 적은 편이었다”며 “간편결제 등 핀테크 활성화로 부정 사용률이 늘어날 수밖에 없다는 점은 감수해야 한다”고 말했다.
특히 카드 소비자들의 사전인증 절차가 간편해지면서 금융권에서는 사후인증 강화 차원의 이상금융거래탐지시스템(FDS) 구축 논의가 활발하지만 아직 국내 FDS는 초창기에 불과하다. 사용자의 거래 패턴 등에 대한 충분한 데이터를 축적한 후에라야 이상 유무를 판단하는 정교한 시스템이기 때문에 아직은 한계가 뚜렷하다는 얘기다. 간편결제의 핵심인 지급결제대행업체(PG사)의 한 관계자는 “FDS의 부정 거래 탐지 능력을 높일 수 있는 다양한 시나리오 축적이 필요하기 때문에 정보가 충분히 쌓이기 전까지는 어느 정도 불안감을 안고 있을 수밖에 없다”고 말했다.
김소연기자 jollylife@hk.co.kr
기사 URL이 복사되었습니다.
댓글0