보안기준 충족하면 카드정보 저장 가능… FDS·국제보안표준 동시구축 의무화
여신협회·카드업계 구축기준 마련… 내년 7월 시행
여신협회·카드업계 구축기준 마련… 내년 7월 시행
내년 7월부터 자기자본 400억원 이상을 보유한 결제대행업체(PG사)는 'PSI DSS 인증' 등 보안 기준을 충족하면 카드정보를 저장할 수 있게 된다. 이에 따라 알리페이·페이팔 등 해외 PG사처럼 자체 간편결제 서비스 제공이 국내에서도 본격화될 전망이다.
여신금융협회와 카드업계는 1일 간편결제 확대를 위해 이 같은 내용을 담은 'PG사의 카드정보 저장을 위한 보안 및 재무적 기준'을 마련했다고 밝혔다.이 기준에 따르면 카드정보 저장 자격을 획득하고자 하는 PG사는 'PCI DSS 인증'을 취득해야 한다. PCI DSS란 카드정보 해킹 및 도난·분실 사고로부터 고객의 신용카드 정보를 보호하기 위해 비자, 마스타카드 등 국제 카드사가 공동으로 운영하는 카드산업 보안 표준이다. 해외 PG사인 페이팔과 알리페이 의 경우 이 보안 표준을 준수하고 있다.
금융당국은 PCI DSS 인증을 받는 데 길게는 약 1년이 소요되는 점을 감안, 내년까지는 미래창조과학부가 주관하는 정보보호 관리체계(ISMS) 인증으로 이를 대체해줄 방침이다. 여신금융협회 관계자는 "PCI 인증은 미리 준비가 돼 있으면 4~7개월이 걸리며 전혀 준비가 되지 않는 상황에서는 1년이 걸릴 수 있다"면서 "먼저 ISMS 인증을 취득하고 그 사이 내년을 목표로 PCI DSS 인증을 받으면 되기 때문에 시간적 제약은 없어지는 셈"이라고 말했다.
또 PG사 자체 부정사용 예방시스템(FDS)과 재해복구센터도 함께 구축해야 함께 한다. 단, 구축 기준은 현실적인 구축 일정 등을 감안해 내년 7월 1일부터 시행될 방침이다. 아울러 자기자본 400억원 이상과 순부채 비율 200% 이하의 조건을 충족해야 한다. 또 전자금융사고 책임 이행을 위한 충분한 수준의 보험이나 공제에 의무적으로 가입해야 한다. 여신금융협회 측은 "현재 52개에 이르는 전체 PG사의 절반 이상이 기본적인 재무조건을 충족하고 있어 그 외 조건만 갖추면 카드정보 저장 자격을 획득할 수 있다"고 설명했다.
이외의 세부 운영사항은 운영규정을 제정해 적용할 계획이다. 운영규정에 따르면 PG사가 저장할 수 있는 카드정보는 카드번호, 유효기한에 한정되며 카드정보 저장 자격을 유지하기 위해서는 영업기간 동안 보안성·재무적 기준을 동일하게 유지해야 한다. 금융당국 역시 카드정보를 저장한 PG사가 카드정보를 유출해 부정 사용하다 적발되면 PG사가 책임을 지도록 여신전문금융업감독규정 개정을 추진하고, 기존 금융회사 수준으로 감독을 강화할 방침이다.
이번 기준에 대해 PG업계에서는 대체적으로 긍정적인 반응을 보이고 있다. 당초 논의됐던 1년 이상 상용화된 자체 간편결제 서비스 구축경험 등 진입 장벽이 높은 기준이 빠져 참여할 수 있는 폭이 넓어졌다는 평가다.
하지만 높은 수준의 보안 시스템 구축 요건 등으로 대형 PG사 위주로의 시장 형성이 이뤄지는 것이 불가피해, 중소 PG사들이 더욱 도태될 수 있다는 우려도 나오고 있다. 한 PG업계 관계자는 "대형 PG사는 카드정보를 활용해 비즈니스 기회를 더욱 확대하는 등 긍정적인 변화가 예상되지만 중소 규모의 PG사들은 더욱 영향력이 좁아질 것으로 예상된다"면서 "페이팔이나 알리페이 등 해외의 사례를 봐도 이를 어렵지 않게 짐작할 수 있다"고 말했다.
박소영기자 cat@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
