경영진 안일한 보안관리 재발 위험… “강력한 제재 필요”
지난달 발생한 초유의 카드사 정보유출과 관련해 유출 기업에 피해액의 2∼3배의 징벌적 과징금이 부과돼야 한다는 주장이 제기됐다.
24일 서울 신림동 서울대학교 법학관에서 열린 `신용카드 개인정보 유출사건 관련 정책토론회`에서 이경호 고려대학교 정보보호대학원 교수는 "현재 금융권의 경영진과 보안 실무자사이의 안일한 업무 프로세스가 기업의 투자를 가로막고 정보유출 통로를 키우고 있다"고 비판했다.
정보보안을 보안영역으로만 인지해 경영진들은 리스크 관리에 무관심하고, 보안 실무진 역시 최소한의 보안 규정만 준수하면 책임을 피할 수 있다는 인식이 문제라는 것이다.
이 교수는 "이번 카드사 정보 유출 사태는 내부통제 프로세스의 부재 때문"이라며 "그동안 경영진들 보안역역을 경영측면에서 바라보지 않고, 특정 부서의 업무로만 파악한데 다가 보안 실무자들의 권한도 제한돼 있다보니 경영진에게 투자요청을 적극적으로 하지 않고 있다"고 주장했다.
특히 이 교수는 내부통제 부재는 신뢰의 문제라며, 미국의 내부통제 프로세스를 예로 들며 강력한 제재의 필요성을 제기했다. 2001년 미국은 에너지 회사인 엔론의 분식회계 사건이 사회적으로 큰 파장을 끼치자 샤베인 옥슬리 법안을 만들어 뉴욕증시에 상장된 모든 회사에 내부통제 시스템을 구축하게 하고, 이를 어기면 피해액만큼 배상토록 했다.
이 교수는 "이번 사태로 1억건 이상의 고객정보가 유출됐지만 벌금은 고작 600만원에 그쳤다"며 "영업정지라는 강력한 제재가 있었지만 사고재발을 방지하기 위해서는 피해액의 2배, 3배 이상의 징벌적 벌칙이 가해져야 한다"고 설명했다.
한편, 이날 정책토론회에 참석한 노혁준 서울대 법학전문대학원 교수는 금융 계열사간 고객정보 공유에 대해 고객들도 사전에 인지하고, 목적과 다르게 쓰인다면 파기할 수 있는 보완장치가 필요하다고 주장했다. 또 나종연 서울대학교 소비자학과 교수는 현행 고객정보 수집 및 정보제공 동의서가 너무나 어렵게 만들어졌다며 누구나 이해할 수 있게 수정될 필요성이 있다고 조언했다.
정용철기자 jungyc@
24일 서울 신림동 서울대학교 법학관에서 열린 `신용카드 개인정보 유출사건 관련 정책토론회`에서 이경호 고려대학교 정보보호대학원 교수는 "현재 금융권의 경영진과 보안 실무자사이의 안일한 업무 프로세스가 기업의 투자를 가로막고 정보유출 통로를 키우고 있다"고 비판했다.
정보보안을 보안영역으로만 인지해 경영진들은 리스크 관리에 무관심하고, 보안 실무진 역시 최소한의 보안 규정만 준수하면 책임을 피할 수 있다는 인식이 문제라는 것이다.
이 교수는 "이번 카드사 정보 유출 사태는 내부통제 프로세스의 부재 때문"이라며 "그동안 경영진들 보안역역을 경영측면에서 바라보지 않고, 특정 부서의 업무로만 파악한데 다가 보안 실무자들의 권한도 제한돼 있다보니 경영진에게 투자요청을 적극적으로 하지 않고 있다"고 주장했다.
특히 이 교수는 내부통제 부재는 신뢰의 문제라며, 미국의 내부통제 프로세스를 예로 들며 강력한 제재의 필요성을 제기했다. 2001년 미국은 에너지 회사인 엔론의 분식회계 사건이 사회적으로 큰 파장을 끼치자 샤베인 옥슬리 법안을 만들어 뉴욕증시에 상장된 모든 회사에 내부통제 시스템을 구축하게 하고, 이를 어기면 피해액만큼 배상토록 했다.
이 교수는 "이번 사태로 1억건 이상의 고객정보가 유출됐지만 벌금은 고작 600만원에 그쳤다"며 "영업정지라는 강력한 제재가 있었지만 사고재발을 방지하기 위해서는 피해액의 2배, 3배 이상의 징벌적 벌칙이 가해져야 한다"고 설명했다.
한편, 이날 정책토론회에 참석한 노혁준 서울대 법학전문대학원 교수는 금융 계열사간 고객정보 공유에 대해 고객들도 사전에 인지하고, 목적과 다르게 쓰인다면 파기할 수 있는 보완장치가 필요하다고 주장했다. 또 나종연 서울대학교 소비자학과 교수는 현행 고객정보 수집 및 정보제공 동의서가 너무나 어렵게 만들어졌다며 누구나 이해할 수 있게 수정될 필요성이 있다고 조언했다.
정용철기자 jungyc@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
