“전자금융거래법, 이용자 보호 위한 조치는 부족”

한국산업보안포럼, ‘전자금융시스템 제도 개선 세미나’ 개최

전자금융거래법 일부개정법률안 입법예고를 앞두고, 해킹 관련 금융기관 등의 책임 명확화와 관련한 금융권과 금융감독위원회 간 이견이 좁혀지지 않고 있는 가운데 이와 관련한 심도 있는 논의가 펼쳐져 주목된다.

한국산업보안포럼(회장 공성진 한나라당 최고위원)은 지난 21일 서울 여의도 소재 렉싱턴 호텔에서 전자금융시스템 제도 개선을 위한 세미나를 개최했다.

금융기관 CISO 및 IT 담당 임원 등 50여명이 참석한 가운데 비공개로 이루어진 이번 세미나는 보이스피싱, 고객 개인정보 및 신용정보 유출 등 전자금융시스템 침해사고의 사례분석을 통한 기술적 보완 및 예방책을 모색함으로써 제도적 한계성을 극복·개선하고자 경기대 산업기술보호특화센터와 사이버테러정보전학회가 공동주최로 개최했다.

이날 세미나에서는 조화제 금융결제원 금융정보보호센터장이 ‘전자금융시스템 침해사고 현황과 문제점’을, 정준현 단국대 법학대 학장이 ‘현행 금융보안 법제의 문제점과 개선방향’이란 주제로 각각 발제 발표를 했으며, 이어 김기표 법제연구원장이 좌장을 맡은 가운데 노명선 성균관대 법대 교수, 이상직 법무법인 태평양 변호사, 강형석 국가정보대학원 교수가 발제에 의한 토론을 펼쳤다.

우선 조화제 센터장은 발제를 통해 “불법인출사고 예방을 위해 인터넷과 분리된 별도 인증수단 적용 및 해킹의심 IP나 MAC 등 PC정보와 공인인증서 발급패턴 등을 종합적으로 연계 분석해 전자금융 보안 강화 및 불법거래를 관제할 필요가 있다”고 말한 뒤 “최근 DDoS 공격의 경우 공격 트래픽 규모가 기가급으로 개별 금융기관이나 보안관제기관이 완벽하게 대응하기는 어려우므로 효과적으로 DDoS공격을 차단하기 위해서는 ISP와의 상호 공조가 필요하다”며 전자금융 보안강화 방향을 발표했다.

또한 조화제 센터장은 “경찰 등 당국의 피해대책을 비웃듯 지능화된 사기기법이 속속 등장하고 있는 보이스피싱 방지를 위해서는 중국과의 국제 공조를 통해 전화송출국 추적 및 범인검거 협약 체결이 필요하며, 현금인출기 앞에서 휴대전화를 자동으로 차단하는 등의 기술·제도적 대책 연구가 필요하다”고 말한 뒤 “대국민 정보보호 인식 제고가 무엇보다 중요할 것”이라고 강조했다.

이어진 발제에서 정준현 교수는 “전자금융거래법은 전자금융거래상의 법률관계에 중점을 두고 있을 뿐 이용자의 보호를 위한 조치는 부족하다. 특히 금융사고 시 약관에 기재된 고의나 중대한 과실의 경우에는 금융기관의 면책기회 가능성마저 있다”며 금융보안법제의 문제점을 지적하는 한편 “사이버 공간은 창으로써의 해킹과 보안으로써의 방패의 끊임없는 대립이 공존하고 있는 만큼 MAC 주소 및 인증키 접촉 이상 패턴에 대한 통지 등을 통해 사회공학적 위험 및 물리적 보안체계의 불완전으로부터 이용자를 보호할 필요가 있다”고 발제했다.

또한 정준현 교수는 “국가금융통신망과 개인재산을 보호하기 위한 최소한의 인적·물적 안전기준의 준수의무화가 이루어져야 한다”고 말한 뒤 “금융기관의 경쟁력확보를 위한 자발적인 보안기술개발이 필요하다”며 국가의 최소한 보호의무와 금융기관의 자율책임에 대해 강조했다.

아울러 발제 이후 진행된 발제에 의한 토론시간에는 특히 전자금융거래법 개정안 세부 조문 중 ‘금융기관의 무과실 책임 원칙’에 대한 심도 있는 논의가 펼쳐졌다.

이날 세미나에 참관한 은행권 한 관계자는 “금융기관의 무과실 책임 원칙은 금융기관이 고객의 고의나 과실을 입증해야 하나 금융기관은 수사권이 없어 입증할 수 있는 수단이 없는 실정이며, 금융기관은 고객이 고의로 자신의 접근 정보를 타인에게 알려주었음을 증명하거나 자신의 접근 정보를 인터넷이나 타인이 접근할 수 있는 매체에 방치하였음 증명해야 하는데, 조사권이 없는 은행은 심증이 가도 입증할 수 있는 수단이 없다”며 “금융기관의 무과실책임이 명문화되면 본 조항을 악용해 은행의 책임을 강요하는 상황이 빈발할 것이며, 은행은 심증은 가면서도 사인간의 은밀한 내통상황을 증명할 수 없어 어쩔 수 없이 불법 이체 자금을 용의자들에게 지급하는 상황이 빈발 할 것”을 우려하는 목소리를 들려주기도 했다.

이에 학계 측 발표자는 “입증책임이 금융기관에 있다 하더라도 금융기관이 매뉴얼화된 책임 조건 등을 다 수행한 것을 증명할 경우 금융기관은 모든 책임을 다한 것으로 간주해준다면 적절한 입법 사례가 될 것”이라고 말했다.

한편 전자금융거래법 개정안은 금융위원회 은행과에서 규제개혁위원회와 협의 중인 단계이며, 향후 법제처 심사를 거쳐 국무회의에서 의결된 후 국회로 이송될 것으로 전망된다.

[김정완 기자(boan3@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)