금융기관 2012년 비용핑계 ‘암호화 유보’… 주요정보 엑셀로 관리 보안의식 허술
금융정보 유출로 큰 파문을 일으키고 있는 카드사와 일부 은행들이 고객의 민감한 정보를 고작 문서프로그램인 `엑셀`로 다루는 등 보안관리가 극도로 취약했던 것으로 드러났다.
특히 이들은 법률이 고객 데이터를 암호화하도록 한 규정을 외면해 이번 사태의 빌미를 제공했다는 점에서 책임을 피하기 어려워 보인다.
20일 금융과 보안 업계 등에 따르면 최근 대규모 금융정보 유출을 겪은 카드사들이 고객의 개인정보 등 민감한 정보 일부를 마이크로소프트의 문서프로그램인 엑셀로 관리한 것으로 알려졌다.
뿐만 아니라 대다수 금융기관은 개인정보보호법에 명시된 고유식별정보(주민번호 등)와 민감 정보 암호화 조치 의무를 `비용 효율성'이라는 핑계로 회피한 사실이 확인됐다.
신제윤 금융위원장은 이번 대규모 정보유출 사건과 관련해 최고경영자(CEO) 책임을 묻고 관련 법 개정 등을 통해 금융사에는 징벌적 과징금을 부과하는 제도를 추진하겠다고 밝혔다.
최수현 금감원장은 금융그룹의 자회사 간 정보교류 남용으로 인한 은행정보 유출이 금융지주의 관리 소홀 및 내부통제 문제로 드러나면 이에 대한 책임도 물을 예정이라고 말했다.
익명을 요구한 업계 관계자는 "금융권이 DB(데이터베이스)나 CRM(고객관리시스템)에서 고객정보를 추출해 엑셀파일로 만들어 두기도 하는 등 보안의식이 의외로 굉장히 허술하다"고 말했다.
이 관계자는 "물론 이런 파일 접근에 대해 내부적으로 통제가 되도록 정책을 세워놨지만 이번 정보유출 사례와 같이 내부직원이나 혹은 권한이 부여된 외주 직원이 해당 문서를 빼돌릴 경우 `날 것' 그대로 개인정보가 대책 없이 흘러나가는 것"이라고 꼬집었다.
암호화 역시 하지 않았다.
이번 정보유출을 겪은 KB국민카드와 롯데카드, NH농협카드는 물론이고 대다수 금융기관들이 법령에 명시된 암호화 조항을 `회피'하고 있었던 것으로 확인됐다.
현행법으로는 개인정보보호법 제24조와 제29조, 시행령 21조와 30조에 근거해 주민번호 등 특정정보만으로 개인을 식별할 수 있는 `고유식별정보'에 대해서는 처리를 제한하고 안전성 확보조치를 해야 하며 암호화 등을 적용해야 한다고 명시돼 있다.
금융기관의 내부망과 DMZ(중립지역), 외부망 중 DMZ와 외부망 사이의 데이터 저장 및 전송시 암호화를 해야 한다.
정보통신망법에서는 (전자상거래 등에서 쓰이는) 계좌번호, 계좌비밀번호 등을 암호화하라고 돼 있다.
하지만 이같은 현행법을 금융기관들은 모두 회피해 갔다.
국내 대다수 금융기관은 2012년 말 `암호화를 하지 않았을 경우 금융기관이 겪을 수 있는 위험도 평가'를 실시한 결과, 정보유출 사태로 인한 위험보다 암호화를 하기 위한 제반비용이 더 커 암호화 여부를 `유보'하기로 결정했던 것으로 알려졌다.
한 금융권 관계자는 "계좌수가 가장 많은 KB국민은행의 경우 고유식별정보만 암호화하더라도 최소 1000억원 이상이 들고 여타 은행이나 카드사도 마찬가지로 막대한 비용이 드는 것으로 당시 조사됐다"고 설명했다.
이어 그는 "당시 금융사 경영진들은 `설마 터지랴' 싶었던 정보유출 사태 대신 금융사의 수익성을 우선한 안일한 판단을 했고, 그 판단은 불과 1년여만에 돌이킬 수 없는 사태로 번졌다"고 일침을 가했다.
강은성기자 esther@
특히 이들은 법률이 고객 데이터를 암호화하도록 한 규정을 외면해 이번 사태의 빌미를 제공했다는 점에서 책임을 피하기 어려워 보인다.
20일 금융과 보안 업계 등에 따르면 최근 대규모 금융정보 유출을 겪은 카드사들이 고객의 개인정보 등 민감한 정보 일부를 마이크로소프트의 문서프로그램인 엑셀로 관리한 것으로 알려졌다.
뿐만 아니라 대다수 금융기관은 개인정보보호법에 명시된 고유식별정보(주민번호 등)와 민감 정보 암호화 조치 의무를 `비용 효율성'이라는 핑계로 회피한 사실이 확인됐다.
신제윤 금융위원장은 이번 대규모 정보유출 사건과 관련해 최고경영자(CEO) 책임을 묻고 관련 법 개정 등을 통해 금융사에는 징벌적 과징금을 부과하는 제도를 추진하겠다고 밝혔다.
최수현 금감원장은 금융그룹의 자회사 간 정보교류 남용으로 인한 은행정보 유출이 금융지주의 관리 소홀 및 내부통제 문제로 드러나면 이에 대한 책임도 물을 예정이라고 말했다.
익명을 요구한 업계 관계자는 "금융권이 DB(데이터베이스)나 CRM(고객관리시스템)에서 고객정보를 추출해 엑셀파일로 만들어 두기도 하는 등 보안의식이 의외로 굉장히 허술하다"고 말했다.
이 관계자는 "물론 이런 파일 접근에 대해 내부적으로 통제가 되도록 정책을 세워놨지만 이번 정보유출 사례와 같이 내부직원이나 혹은 권한이 부여된 외주 직원이 해당 문서를 빼돌릴 경우 `날 것' 그대로 개인정보가 대책 없이 흘러나가는 것"이라고 꼬집었다.
암호화 역시 하지 않았다.
이번 정보유출을 겪은 KB국민카드와 롯데카드, NH농협카드는 물론이고 대다수 금융기관들이 법령에 명시된 암호화 조항을 `회피'하고 있었던 것으로 확인됐다.
현행법으로는 개인정보보호법 제24조와 제29조, 시행령 21조와 30조에 근거해 주민번호 등 특정정보만으로 개인을 식별할 수 있는 `고유식별정보'에 대해서는 처리를 제한하고 안전성 확보조치를 해야 하며 암호화 등을 적용해야 한다고 명시돼 있다.
금융기관의 내부망과 DMZ(중립지역), 외부망 중 DMZ와 외부망 사이의 데이터 저장 및 전송시 암호화를 해야 한다.
정보통신망법에서는 (전자상거래 등에서 쓰이는) 계좌번호, 계좌비밀번호 등을 암호화하라고 돼 있다.
하지만 이같은 현행법을 금융기관들은 모두 회피해 갔다.
국내 대다수 금융기관은 2012년 말 `암호화를 하지 않았을 경우 금융기관이 겪을 수 있는 위험도 평가'를 실시한 결과, 정보유출 사태로 인한 위험보다 암호화를 하기 위한 제반비용이 더 커 암호화 여부를 `유보'하기로 결정했던 것으로 알려졌다.
한 금융권 관계자는 "계좌수가 가장 많은 KB국민은행의 경우 고유식별정보만 암호화하더라도 최소 1000억원 이상이 들고 여타 은행이나 카드사도 마찬가지로 막대한 비용이 드는 것으로 당시 조사됐다"고 설명했다.
이어 그는 "당시 금융사 경영진들은 `설마 터지랴' 싶었던 정보유출 사태 대신 금융사의 수익성을 우선한 안일한 판단을 했고, 그 판단은 불과 1년여만에 돌이킬 수 없는 사태로 번졌다"고 일침을 가했다.
강은성기자 esther@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
