대규모 유출사고 피해 최소화
개인정보 보호규정 대폭 확대
금융사들 규정 제대로 안지켜
"강도 높은 제재 필요" 지적도
개인정보 보호규정 대폭 확대
금융사들 규정 제대로 안지켜
"강도 높은 제재 필요" 지적도
■긴급진단 전자금융법 10년
(4) 법 보호규정 미약
현행 전자금융거래법은 이용자 보호규정이 미약해 금융회사가 이용자를 적극적으로 보호하지 않고 각종 우회, 회피 조치를 취하는 것으로 나타났다. 그런데 이미 이용자 보호 규정이 대폭 강화된 법률도 금융회사들은 제대로 지키지 않고 있는 것으로 확인됐다. 강력한 법 규정이 있어도 각종 핑계를 대며 규정을 제대로 준수하지 않는 금융회사인데, 하물며 법 자체가 이용자 보호를 허술히 여기는 전자금융거래법은 금융회사보호법으로 전락하고 만다는 지적도 이 때문에 나온다.
20일 디지털타임스가 전자금융거래법은 물론이고 신용정보법, 개인정보보호법, 정보통신망법 등에서 이용자 정보보호와 금융회사 시스템 보호를 위해 규정한 망분리 및 주민등록번호 암호화 준수 여부를 전 금융권에 대해 조사한 결과, 카드사와 보험사, 증권사, 저축은행 등 2금융권의 부실이 상당부분 드러났다. 금융감독원은 금융회사의 의무규정 위반을 알고도 마땅한 제재를 취하지 않은데 다 "금융회사도 다 사정이 있을 것"이라며 안일한 태도로 일관하고 있다.
◇금감원, 금융사 감싸기 급급=망분리는 2013년 3월 농협과 신한은행 등 일부 금융사에서 발생한 전산사고 사례와 같이 인터넷이 정보유출 및 자료파괴 등을 초래하는 해킹의 경로로 이용되면서 금융당국이 금융전산 보안강화 종합대책 일환으로 추진한 것이다. 금융사의 업무환경을 내부 업무망과 외부 인터넷망으로 이원화시켜 금융거래 및 신상 등 중요한 개인정보가 해킹과 같은 외부 접근에 의해 유출되지 않도록 원천 차단하는 조치다. 이에 정부는 지난 2013년 7월 금융전산보안 종합대책을 발표하고 이후 전자금융감독규정을 개정해 금융사의 망분리를 의무화 했다. 이에 따르면 금융회사 전산센터에 대해서는 2014년 말까지 망 분리를 완료하고 본점과 영업점은 은행의 경우 2015년, 보험·카드·증권 등 2금융권은 2016년 말까지 완료하도록 규정했다.은행은 앞서 기한 내 망분리를 완료했다. 하지만 2금융권에서는 카드사를 제외하고 망분리를 완료한 업권이 없었다. 보험업권은 빅3 중 하나인 한화생명과 손보를 비롯해 KB손보와 MG손보, 동부화재(1월 9일 완료), 메리츠화재, 신한생명, 흥국생명이 완료기한까지 망분리를 하지 않고 있는 것으로 나타났다. 이들은 대부분 "망분리가 아직 진행중"이라며 법정 의무기한을 넘긴 구체적인 이유를 밝히지 않았다.
증권업계는 KB증권과 SK증권, 리딩투자증권, 한양증권, 흥국증권이 전산망 분리 완료 시점을 준수하지 않았다. 저축은행은 JT친애저축은행과 웰컴저축은행이 아직도 망분리 작업을 진행하고 있는 것으로 나타났다.
특히 금융감독원은 2금융권의 이같은 부실 망분리 현황을 파악하고도 제재 등 적극적인 행정조치를 취하지 않고 있는 것으로 확인됐다.
2013년 당시 망분리 의무화를 발표한 금융당국은 "(제2금융권 등)규모가 작은 금융회사의 경우 보안에 오히려 더 취약할 수 있기 때문에 당국에서도 지속적으로 모니터링 하겠다"고 강조했다. 그러나 이 약속은 지켜지지 않았다.
금융권 관계자는 "최근 금융감독원이 망 분리 현황을 모두 조사했고, 망분리를 완료하지 못한 금융사들이 제재를 받게 될까 긴장했었지만, 정작 금감원은 완료가 안 된 금융사에 대해 별다른 조치나 언급을 하지 않았다"고 말했다.
이에 대해 금감원 측은 "망 분리가 완료되지 않은 곳은 그럴만한 사정이 있었을 것"이라는 황당한 답변을 내 놨다. 이 관계자는 "이달 말까지 금융회사로부터 망분리 이행상황을 파악할 계획이고, 과태료 부과 여부는 점검을 마친 후 결정할 일"이라고 밝혔다.
현행법 상 전산망 분리를 제때 완료하지 못한 금융사는 전자금융감독규정과 전자금융거래법에 따라 5000만원 이하의 과태료를 물게 된다. 금융사 규모에 따라 망분리 예산은 수십억원에서 기백억원대 예산이 필요하다. 제재 벌금이 5000만원이라면 금융회사 입장에서 그리 무겁지 않은 제재라는 분석도 나온다.
◇정보유출 주범 카드사, 암호화 미구축 '배짱'=카드사와 보험사 등 2금융권은 주민등록번호 암호화 조치에 대해서도 늑장을 부리고 있다. 정부는 2015년 7월 주민등록번호를 처리하는 모든 기관 및 사업자에 대해 주민등록번호를 암호화해 보관하도록 개인정보보호법을 개정했다. 이 조치는 2013년 카드사에서 1억건이 넘는 개인정보 유출 사고로 대폭 강화된 조항이다. 여기에 보험사 및 증권업계에서도 개인정보 유출사고가 심심치 않게 발생하자 개인정보가 유출돼도 피해를 최소화하기 위해 암호화를 실시하도록 한 것이다. 그런데 정작 사고 유발자들은 '적용시기'를 이유로 사건 발생 4년이 되는 현재까지 제대로 암호화를 하지 않고 있는 것으로 나타났다.
현재 법률은 주민번호 보관 규모가 100만명 미만인 경우 2016년 말, 100만명 이상이면 올해 말까지 완료하도록 했다. 2금융권은 이 조항을 이유로 주민등록번호 암호화를 차일피일 미루고 있었다.
카드사는 KB국민카드, 우리카드가 암호화 적용을 하지 않았다. 암호화를 하지 않은 한 카드사 관계자는 "아직 법정 기한이 남질 않았느냐"면서 "기한 내에는 마칠 계획"이라고 말했다. 보험업계는 삼성생명과 한화생명 등 일부 보험사를 제외하고는 대부분 보험사들이 주민번호 암호화를 적용하지 않고 있다.
조남희 금융소비자원 대표는 "개인정보 유출 사고가 빈번한 금융환경에서는 암호화가 매우 시급한 문제인데도 금융사들이 시행시기를 이유로 차일피일 미루는 것은 문제가 있는 태도"라며 "금융당국은 금융사들이 개인정보 보호나 시스템 보호에 적극적으로 나설 수 있도록 지도해야 하고 규정을 위반한 금융사에 대해서는 강도 높은 제재를 해야 한다"고 말했다.
조은국기자, 김민수기자 ceg4204@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
