1억건이 넘는 금융 고객정보가 털리고 언제 어디서 2차 피해가 발생할지 몰라 우려감이 커지고 있는데, 고객정보 암호화 작업은 멈춰서 있다. 금융권의 눈치보기는 극에 달했다.
지난 1월 카드사 고객정보 1억400만건이 유출되면서 온 나라가 떠들썩할 때만 해도 금방이라도 암호화작업에 나설 것처럼 호언했던 금융권이 여론이 잠잠해진 틈을 타 슬그머니 암호화작업에 꼬리를 내리는 모양이다. 감독 당국인 금융위원회와 금융감독원도 금융권의 뭉그적거림을 이해한다는 듯 암호화를 강하게 밀어붙이지 못하고 있다.
이해 못할 바는 아니다. 그동안 금융권 IT정보화에 쏟아 부은 예산이 워낙 빈약하다보니, 의사결정권자들은 IT부문에 대한 추가적인 지출 필요성을 느끼지 못한다. 큰 사건이 터지지 않는다면, 자신의 임기 중에 표시도 나지 않는 곳에 비용을 지불할 이유가 없다. 이렇다 보니 암호화에 수십 억을 쏟아 부을 의사결정을 내리기란 쉽지 않다. 흑자를 내느냐 못 내느냐의 기로에 선 은행들은 더더욱 쉬운 결정이 아닐 것이다.
하지만 암호화 얘기가 어디서 나온 것인가.
1억400만 건의 신용카드 정보를 유출한 용의자는 국회 국정조사에서 카드 3사를 범행대상으로 정한 이유에 대해 "고객 정보에 접근하기 위한 권한 관리가 비교적 소홀하고 데이터에 암호화가 돼 있지 않았기 때문"이라고 밝혔다. 암호화되지 않은 고객정보여서 유출 즉시 활용가치가 높았다는 얘기다.
이 때문에 소관 상임위원회인 안전행정위원회는 2월 `예외 없는 암호화 의무화`를 담은 개인정보보호법 개정법률안을 즉각 통과시켰다. 신제윤 금융위원장도 3월 개인정보유출 종합대책발표하면서 "암호화는 현재 중간망과 외부망에 대해서만 적용토록 돼 있는데, 이를 강화해 내부망에서의 개인정보 처리까지 모두 암호화하겠다"고 공언했다.
스스로 내부망에서의 암호화까지 운운한 것은 여론의 뭇매를 맞은 금융감독 당국인데, 발언 한 달여 만에 분위기는 반전되는 양상이다. 금융사들은 경영상 어려움을 토로했을 테고, 금융사 사정을 너무 잘 이해하는 감독당국은 암호화 시점에 대해 유연한 태도를 보인다.
디지털타임스 취재결과, 정보유출 사건이후 주요 금융권에 암호화 관련 몇 차례 설명회를 개최한 보안업체들은 금방이라도 금융사로부터 제안서를 받을 것 같은 분위기였으나, 최근 소식이 뜸해졌다고 한다. 업계에선 감독당국과 금융권이 암호화가 포함된 보안프로젝트 구축 시점을 놓고 교감을 했을 가능성도 제기한다.
그간 고객정보를 금융 계열사까지 광범위하게 공유해 오다보니, 이를 한꺼번에 암호화하는 일도 비용과 시간측면에서 결코 쉽지 않을 것이다. 암호화 추진과정에서 그간 기준 없이 방만하게 열어둔 고객정보 공유 실태가 드러나는 것도 두려운 일이다.
그러나 이런 이유로 금융권 고객정보 암호화를 늦출 수 없다. 1억건이라는 유출 건수로 인해, 이제 몇 십만 건 정도는 큰 사건으로 취급되지도 않고 있다. 그러나 사건 발생 이후에도 해킹을 통한 정보유출 사건은 지속되고 있다. 16일에는 농협생명에서 35만건, 17일에는 화장품회사의 고객정보 55만건이 유출됐다. 보안시스템이 취약하면 언제든 해킹의 표적이 될 수 있고, 암호화되지 않은 정보는 곧바로 범죄에 악용된다.
곳곳에서 고객정보 유출사건이 끊이지 않고, 해킹의 수법도 지능화되고 있다. 1억건이 넘는 고객 정보를 털리고도, 금융권은 아직도 사태의 심각성을 인지하지 못하고 있는 것인가. 금융권은 국민들의 재산 정보를 통째로 갖고 있다해도 과언이 아니다. 이 곳의 개인정보 암호화는 국민을 위한 가장 기초적인 정보보호 수준이다.
지난 1월 카드사 고객정보 1억400만건이 유출되면서 온 나라가 떠들썩할 때만 해도 금방이라도 암호화작업에 나설 것처럼 호언했던 금융권이 여론이 잠잠해진 틈을 타 슬그머니 암호화작업에 꼬리를 내리는 모양이다. 감독 당국인 금융위원회와 금융감독원도 금융권의 뭉그적거림을 이해한다는 듯 암호화를 강하게 밀어붙이지 못하고 있다.
이해 못할 바는 아니다. 그동안 금융권 IT정보화에 쏟아 부은 예산이 워낙 빈약하다보니, 의사결정권자들은 IT부문에 대한 추가적인 지출 필요성을 느끼지 못한다. 큰 사건이 터지지 않는다면, 자신의 임기 중에 표시도 나지 않는 곳에 비용을 지불할 이유가 없다. 이렇다 보니 암호화에 수십 억을 쏟아 부을 의사결정을 내리기란 쉽지 않다. 흑자를 내느냐 못 내느냐의 기로에 선 은행들은 더더욱 쉬운 결정이 아닐 것이다.
하지만 암호화 얘기가 어디서 나온 것인가.
1억400만 건의 신용카드 정보를 유출한 용의자는 국회 국정조사에서 카드 3사를 범행대상으로 정한 이유에 대해 "고객 정보에 접근하기 위한 권한 관리가 비교적 소홀하고 데이터에 암호화가 돼 있지 않았기 때문"이라고 밝혔다. 암호화되지 않은 고객정보여서 유출 즉시 활용가치가 높았다는 얘기다.
이 때문에 소관 상임위원회인 안전행정위원회는 2월 `예외 없는 암호화 의무화`를 담은 개인정보보호법 개정법률안을 즉각 통과시켰다. 신제윤 금융위원장도 3월 개인정보유출 종합대책발표하면서 "암호화는 현재 중간망과 외부망에 대해서만 적용토록 돼 있는데, 이를 강화해 내부망에서의 개인정보 처리까지 모두 암호화하겠다"고 공언했다.
스스로 내부망에서의 암호화까지 운운한 것은 여론의 뭇매를 맞은 금융감독 당국인데, 발언 한 달여 만에 분위기는 반전되는 양상이다. 금융사들은 경영상 어려움을 토로했을 테고, 금융사 사정을 너무 잘 이해하는 감독당국은 암호화 시점에 대해 유연한 태도를 보인다.
디지털타임스 취재결과, 정보유출 사건이후 주요 금융권에 암호화 관련 몇 차례 설명회를 개최한 보안업체들은 금방이라도 금융사로부터 제안서를 받을 것 같은 분위기였으나, 최근 소식이 뜸해졌다고 한다. 업계에선 감독당국과 금융권이 암호화가 포함된 보안프로젝트 구축 시점을 놓고 교감을 했을 가능성도 제기한다.
그간 고객정보를 금융 계열사까지 광범위하게 공유해 오다보니, 이를 한꺼번에 암호화하는 일도 비용과 시간측면에서 결코 쉽지 않을 것이다. 암호화 추진과정에서 그간 기준 없이 방만하게 열어둔 고객정보 공유 실태가 드러나는 것도 두려운 일이다.
그러나 이런 이유로 금융권 고객정보 암호화를 늦출 수 없다. 1억건이라는 유출 건수로 인해, 이제 몇 십만 건 정도는 큰 사건으로 취급되지도 않고 있다. 그러나 사건 발생 이후에도 해킹을 통한 정보유출 사건은 지속되고 있다. 16일에는 농협생명에서 35만건, 17일에는 화장품회사의 고객정보 55만건이 유출됐다. 보안시스템이 취약하면 언제든 해킹의 표적이 될 수 있고, 암호화되지 않은 정보는 곧바로 범죄에 악용된다.
곳곳에서 고객정보 유출사건이 끊이지 않고, 해킹의 수법도 지능화되고 있다. 1억건이 넘는 고객 정보를 털리고도, 금융권은 아직도 사태의 심각성을 인지하지 못하고 있는 것인가. 금융권은 국민들의 재산 정보를 통째로 갖고 있다해도 과언이 아니다. 이 곳의 개인정보 암호화는 국민을 위한 가장 기초적인 정보보호 수준이다.
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
