암호화땐 무분별한 정보공유 상황 탄로… 데이터흐름 부실관리 실태 노출도 우려
보안 강화를 위해 전면 도입이 결정된 암호화를 금융사들이 차일피일 미루고 있다. 당국도 금융사의 손을 슬그머니 들어주는 흐름이다. 그런데 금융사가 암호화를 미루는 진짜 이유는 따로 있다는 지적이 나온다. 그동안 고객정보를 계열사와 협력사 등에 무분별하게 `너무 많이' 공유하면서 절차조차 제대로 갖추지 않았는데, 암호화를 하게 되면 이 모든 데이터의 흐름이 명백하게 드러나기 때문이라는 것이다.
17일 전문가들은 금융권이 고객정보 암호화를 늦추고 소극적인 입장을 보이고 있는 진짜 이유는 따로 있다고 입을 모았다. ▶본지 4월17일자 1면 참조
익명을 요구한 한 암호전문가는 "금융사는 금융지주회사법 제48조의2에 의거, 지주사ㆍ계열사와 상당히 광범위하고 무분별하게 고객정보를 공유하고 있다"면서 "심지어 고객 정보가 얼마나 공유되고 (어떤 계열사가) 데이터를 긁어갔는지 제대로 파악조차 못하고 있다"고 꼬집었다.
현재 법률과 당국이 요구하는 암호화는 그 금융회사가 가지고 있는 전체 데이터를 모두 암호화하라는 것은 아니다. 유출로 인한 피해가 심각한 개인정보, 그 중에서도 고유식별정보(주민등록번호)가 적용 대상이다.
암호전문가는 "DB 1억건이 있다면 여기서 업무처리에 필요한 결과값은 단 10건이 될 수도 있다. 이를 암호화하는 것이 기본원리"라면서 "이런 결과값만을 암호화하는 것은 그리 많은 비용이 들지 않고 시스템에 미치는 영향도 적다"고 설명했다.
문제는 현재 금융사들이 관행적으로 해 왔던 고객정보 공유를 그대로 유지하면서 암호화를 하려면 이같은 단순 명료한 프로세스가 먹혀들지 않는다는 점이다.
예를 들어 암호화를 하게 되면 고객정보를 수집한 금융계열사 A가 또 다른 계열사 B,C,D,E에 고객정보를 공유할 때 암호화를 한 데이터를 보낼 것인지 원(Raw)데이터를 보낼 것인지, 암호 키값은 어떻게 보낼 것인지 모든 프로세스를 새로 만들어야 한다. 정보공유 흐름을 파악하고 전면 재개편 한다면 금융사들의 주장처럼 막대한 비용이 소요되고 시스템에도 심각한 영향을 줄 수 있게 되는 셈이다. 무엇보다 그간 무분별하게 행해왔던 고객정보 공유 현황을 투명하게 공개하는 것 자체가 금융사 입장에서는 꺼려지는 일이기도 하다.
또 다른 전문가는 "금융사가 고객정보 공유 실태를 제대로 관리하지 않고 있는 현실을 덮기 위해서라도 `암호화를 하면 비용도 많이 들고 성능이 저하된다'고 매도해 이를 늦추는 것이 어쩌면 그들에게는 최선이었을 수도 있다"고 꼬집었다.
그는 "금융권 실무자들은 이같은 대대적인 업무 개편에 대해 일종의 `두려움'을 갖고 있는 것으로 보인다"면서 "하지만 고객정보로 부가가치를 창출하는 기업이라면 그 정보를 안전하게 보호해야 하는 것은 비즈니스의 근간이 돼야 하기에 암호화를 하든 어떤 다른 보안조치를 하든 일단은 정보 공유 프로세스를 투명하게 개선하고 이를 통한 정보 흐름을 정밀하게 감독하는 것이 필요하다"고 강조했다.
강은성기자 esther@
17일 전문가들은 금융권이 고객정보 암호화를 늦추고 소극적인 입장을 보이고 있는 진짜 이유는 따로 있다고 입을 모았다. ▶본지 4월17일자 1면 참조
익명을 요구한 한 암호전문가는 "금융사는 금융지주회사법 제48조의2에 의거, 지주사ㆍ계열사와 상당히 광범위하고 무분별하게 고객정보를 공유하고 있다"면서 "심지어 고객 정보가 얼마나 공유되고 (어떤 계열사가) 데이터를 긁어갔는지 제대로 파악조차 못하고 있다"고 꼬집었다.
현재 법률과 당국이 요구하는 암호화는 그 금융회사가 가지고 있는 전체 데이터를 모두 암호화하라는 것은 아니다. 유출로 인한 피해가 심각한 개인정보, 그 중에서도 고유식별정보(주민등록번호)가 적용 대상이다.
암호전문가는 "DB 1억건이 있다면 여기서 업무처리에 필요한 결과값은 단 10건이 될 수도 있다. 이를 암호화하는 것이 기본원리"라면서 "이런 결과값만을 암호화하는 것은 그리 많은 비용이 들지 않고 시스템에 미치는 영향도 적다"고 설명했다.
문제는 현재 금융사들이 관행적으로 해 왔던 고객정보 공유를 그대로 유지하면서 암호화를 하려면 이같은 단순 명료한 프로세스가 먹혀들지 않는다는 점이다.
예를 들어 암호화를 하게 되면 고객정보를 수집한 금융계열사 A가 또 다른 계열사 B,C,D,E에 고객정보를 공유할 때 암호화를 한 데이터를 보낼 것인지 원(Raw)데이터를 보낼 것인지, 암호 키값은 어떻게 보낼 것인지 모든 프로세스를 새로 만들어야 한다. 정보공유 흐름을 파악하고 전면 재개편 한다면 금융사들의 주장처럼 막대한 비용이 소요되고 시스템에도 심각한 영향을 줄 수 있게 되는 셈이다. 무엇보다 그간 무분별하게 행해왔던 고객정보 공유 현황을 투명하게 공개하는 것 자체가 금융사 입장에서는 꺼려지는 일이기도 하다.
또 다른 전문가는 "금융사가 고객정보 공유 실태를 제대로 관리하지 않고 있는 현실을 덮기 위해서라도 `암호화를 하면 비용도 많이 들고 성능이 저하된다'고 매도해 이를 늦추는 것이 어쩌면 그들에게는 최선이었을 수도 있다"고 꼬집었다.
그는 "금융권 실무자들은 이같은 대대적인 업무 개편에 대해 일종의 `두려움'을 갖고 있는 것으로 보인다"면서 "하지만 고객정보로 부가가치를 창출하는 기업이라면 그 정보를 안전하게 보호해야 하는 것은 비즈니스의 근간이 돼야 하기에 암호화를 하든 어떤 다른 보안조치를 하든 일단은 정보 공유 프로세스를 투명하게 개선하고 이를 통한 정보 흐름을 정밀하게 감독하는 것이 필요하다"고 강조했다.
강은성기자 esther@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
