[카드사 사태 1주년] 금융보안 종합대책, 어디까지 왔나?

Q. 지난해 3월 발표된 개인정보 유출 재발방지 종합대책의 현재까지 추진 진도와 성과, 향후 추진계획에 대해 간략하게 설명해 주신다면? 또 카드사 정보유출, 카드사에서는 아직까지 문제없다는 입장인데 유출된 정보를 이용해 사기를 당할 시 어떻게 대처해야 하는지 궁금합니다.

A-1. 정부의 ‘금융분야 개인정보 유출 재발 방지 종합대책’ 발표 이후 금융위원회, 금융감독원 등에서 주기적으로 이행상황을 점검·관리하고 있습니다. 그동안 대출모집인 모범규준 개정(2014년 2월), 신속 이용정지제도 도입(2014년 2월), 비대면영업 가이드라인 마련·시행(2014년 4월), 계열사간 고객정보 이용 제한 관련 금융지주회사법 개정(2015년 5월), 금융전산 보안 표준지침안 마련(2014년 6월), 모바일앱 보안 가이드라인 마련· 배포(2014년 6~7월), 정보유출 사고 발생 시 본인정보 조회중지 요청 서비스 개시(2014년 7월), 연락중지청구(Donot-call) 서비스 시범운영(2014년 9월) 등을 완료했습니다.

이와 함께 현재 개인정보의 ‘수집-보유·활용-파기’ 등 단계별 금융소비자 권리 보호, 주민번호 노출 최소화, 금융권 사이버 안전대책 강화, 그리고 신용정보법 등 종합대책 관련 법령 개정 작업이 완료됐거나 마무리 단계입니다.

(유현석 금감원 금융정보보호팀 팀장)

A-2. 금융권에서는 강력한 전산시스템 보안체계 구축의 일환으로 DB 암호화와 키 관리에 대한 이슈에 대응하기 위해 활발하게 솔루션 도입을 고려하고 있으며, 주민번호 수집 법정주의 이슈 때문에 기존의 주민번호를 참조키로 사용하던 DB의 구조를 고객번호와 같은 대체키를 사용하는 것도 추진 중입니다. 또한 금융 F-ISMS의 제정이 연기되고, 기존 ISMS를 금융권으로 확산해 해킹방지 대책으로서 활용할 계획입니다.

또한, 신용카드 결제 시 안정성 강화 방안의 일환으로 각 카드사들은 ‘IC 단말기 전환기금’을 1000억원 대로 조성해 여신금융협회와 금융감독원이 주축으로 구성된 IC 전환 TF에서 발표한 ‘POS 단말기 보안표준’을 활용해 KTC인증이나 EMV인증 등을 취득하도록 VAN사와 POS 단말기 제조업체를 강력하게 규제하고 있습니다. 향후 금융전산 보안 전담기구를 설치하고, 9월 중으로 발표된다고 하는 주민번호 개편 안에 따라 고객의 개인정보를 안전하게 보관 및 활용할 수 있는 방안을 강구할 계획입니다.

예방책으로는 한국인터넷진흥원에서 ‘공공기관 및 금융기관 사칭 국제전화 차단 시스템’을 운영하고 있으므로 이러한 서비스를 이용할 수도 있으며, 문자피싱 방지 홈페이지(www.anti-phishing.or.kr)를 통해 내 번호를 사칭한 문자 발송 서비스를 제한할 수도 있습니다.
(김인석 고려대학교 정보경영공학전문대학원 교수 /iskim11@korea.ac.kr)

A-3. 유출된 정보를 이용한 사기에 대한 대처 방법으로 △카드 재발급 △2차 피해 방지를 위한 스미싱 주의 △거래내역 확인 등이 있으며, 부정사용 내역이 있다면 해당 카드사에 신고하면 됩니다. 피해에 대해 카드사와 분쟁이 일어날 경우 금융감독원 정보유출 감시센터 ‘1332’로 신고할 수 있습니다. 또한, 유출된 개인정보를 이용해 제3자가 명의를 도용해 대출 및 카드 발급 등 2차 피해 발생을 예방하기 위해 ‘신용정보 조회 중지 서비스’를 이용하면 2차 피해를 예방할 수 있습니다.
(신동일 한국CISSP협회/fastbear1365@boanin.com)

금융기관에서는 나름의 보안 강화 방안을 강구하고 대응하고 있으나 개인정보 전체에 대한 암호화 등 기본 정책이 준수되지 않고 있다고 보여집니다. 비용과 성능 의 저하를 원인으로 꼽고 있으나 이것이 절대적인 원인이 될 수 있는 없습니다. 이미 많은 정보가 유출되었고, 지난 한해 파밍, 피싱 등의 피해가 정신적 금전적 피해로 이어지고 있습니다. 일단 피해가 발생하면 즉시 관련 수사기관에 신고하고 법적 절차를 진행하는 것이 추가 피해를 방지할 수 있습니다.
(안상수 ISMS인증심사원·ISO27001선임심사원/ssahn@nuriins.com)

[민세아 기자(boan5@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)