카드사 ISMS인증 여전히 외면

"금융당국 기준 충족" 소극적… 은행·증권업계 확산과 대조적
"개인정보 대규모 취급, 인증획득 적극 나서야" 지적도
카드사들이 지난해 초 대규모 개인정보 유출사고에도 불구 여전히 정보보호관리체계(ISMS) 인증을 외면하고 있는 것으로 나타났다. 카드사들은 ISMS 인증이 의무화가 아닌 데다 이미 금융당국의 기준을 충족하고 있다는 이유로 소극적인 자세를 취하고 있으나, 개인정보를 대규모로 취급하는 만큼 선제적으로 정보보호 인증에 나서야 한다는 지적이다.

19일 카드업계에 따르면 지난해 정보유출 사고 이후 추가로 ISMS 인증을 획득한 카드사는 한 곳도 없다. 현재 카드사 중에서는 비씨카드가 유일하게 2012년 퓨처센터(카드 프로세싱 업무 통합 센터)에 ISMS 인증을 획득한 상태다. 올해도 삼성카드만 ISMS 인증 계획을 확정했을 뿐, 나머지 카드사들은 여전히 검토단계에 그치고 있다.

ISMS는 정보통신망으로 서비스를 제공하는 사업자들이 일정 기준 이상의 기술·관리·물리적 보호체계를 갖추면 한국인터넷진흥원(KISA)이 인증하는 제도다. 관리절차, 운영, 이행 등 104개의 항목에 대한 심사로 이뤄지며 2013년 2월부터 일정기준에 해당하는 기업들은 ISMS 인증을 의무 취득해야 한다.

현대카드, 롯데카드 등 일부 카드사들은 금융당국에서 추진하고 있는 금융 정보보호관리체계(F-ISMS)가 제정되면 인증을 준비하겠다는 입장이다. F-ISMS는 기존 ISMS에서 금융과 관련된 통제항목이 추가된 인증을 뜻한다. 금융위가 2013년부터 신설을 추진해왔으나 ISMS 소관 부처인 미래창조과학부와의 의견 차로 계속 연기돼 왔다.

카드사들의 이 같은 행보는 지난해부터 은행과 증권사들이 ISMS 인증에 속도를 내고 있는 것과 더욱 비교된다. 지난해 대신증권, 삼성증권, 키움증권 등은 15개 증권사들이 홈트레이딩시스템(HTS)과 모바일트레이딩시스템(MTS)을 중심으로 ISMS 인증을 획득했다. 은행권에서는 우리은행, KB국민은행, NH농협은행, IBK기업은행 등이 ISMS 인증을 완료하는 등 금융권 전반으로 확산되고 있다는 평가다.

이에 대해 카드업계는 ISMS 인증을 꼭 받아야 할 의무는 없다고 항변하고 있다. 한 카드업계 관계자는 "은행이나 증권업계는 ISMS 인증이 의무화됐기 때문에 인증 속도가 빠를 수밖에 없는 것"이라며 "아직 카드사는 ISMS 의무화 대상이 아니고, 또 ISO27001 같은 국제 인증을 받아놓은 곳도 있다"고 설명했다.

또 다른 카드사 관계자도 "금융당국에서 받고 있는 전자금융거래법 등의 인증절차를 거쳤기 때문에 문제가 없을 것으로 보고 있다"고 말했다. 현재 미래창조과학부는 정보통신서비스로 연 100억원 이상의 매출을 올리거나 하루 평균 이용자 수가 100만명 이상인 사업자에 대해 ISMS 인증을 의무적으로 받도록 하고 있다.

하지만 일각에서는 개인정보를 대규모로 취급하고 있는 카드사들이 ISMS 인증에 앞장서야 한다는 목소리도 나오고 있다. 개인정보에 가장 민감한 업종 중 하나인 만큼 선제적으로 정보보호인증에 나서야 한다는 것이다. 한 보안업계 관계자는 "카드정보 저장을 할 수 있는 PG사들도 PCI-DSS인증을 받거나 이를 ISMS 인증으로 대체해야 하는데 오히려 카드사들이 더 정보보호인증에 인색한 것 같다"고 지적했다.

박소영기자 cat@dt.co.kr