예정된 개인정보 유출사고 카드3사 IT 외주업무 보안규정 지키지 않아


카드3사(NH농협카드, 롯데카드, KB국민카드; 이하 ‘카드3사’)가 고객 개인정보가 유출되는 과정에서 실시한 FDS(부정사용방지시스템) 업그레이드 아웃소싱 작업을 하면서 규정상 시행해야할 위탁업무에 대한 보안점검 및 내부 감리를 실시하지 않은 것으로 드러났다.

김영주의원(정무위, 서울 영등포갑)이 금융감독원으로부터 제출받은 ‘IT 아웃소싱에 대한 정기보안 점검 실시 내역’과 ‘아웃소싱 프로젝트에 대한 감리보고서 작성 현황’자료에 의하면 카드 3사가 FDS(부정사용방지시스템) 아웃소싱을 실시하면서 외주용역에 대한 보안상태 점검은 물론 감리보고서 조차 작성하지 않았던 것으로 최종 확인 되었다.

▲국민카드는 관련 용역 종료 이후 보안점검은 실시했으나 일부 미흡한 점을 지적하였음에도 불구하고 최종 점검결과 아무런 문제가 없다는 결론을 내렸고, ▲롯데카드는 용역은 종료되었으나 안정화 작업이 계속되고 있다는 이유로 내부 감리를 실시하지 않았다. ▲NH농협카드는 2013년 자체적으로 실시한 내부 감리가 ‘금고정보시스템 구축’ 단 1건에 불과 했다.

금융위원회는 지난 2011년 4월 현대캐피탈 고객정보유출 사고와 농협 전산망 마비사태 이후 ‘금융회사 IT 보안강화 종합대책’을 마련하여, 금융회사들의 IT 아웃소싱 부문의 보안을 강화하였다. 그중 아웃소싱 업무의 적정성 관리 강화 방안으로 전자금융감독규정을 개정하여 ▲위탁업무의 적정성 등에 대한 자체 보안성 검토를 의무화 하고, ▲외부위탁 IT 개발․운영에 대한 내부감리를 실시하도록 하였지만 현장에서는 그야말로 무용지물이었던 셈이다.

감독당국의 감독도 수박 겉핧기에 그친 것으로 드러났다.

금융감독원은 작년 4,5월에 ‘금융IT 보호업무 모범규준’에 대한 일제 점검에 나섰지만, 이행지도 수준에 그치는 등 문제점을 파악하지 못했다.

이에 대해 김영주의원은

‘카드3사가 외부위탁에 대한 보안점검과 감리를 제대로 실시했다면 사전에 개인정보가 유출될 가능성을 막을 수 있었을 것’이라고 지적하며, ‘기본 규정도 지키지 못한 카드3사의 직무유기에 대해 질타’했다.

또한 ‘금융당국이 매번 IT보안 사고가 터질 때 마다 대책을 쏟아 내고는 있지만 실제 현장에서는 무용지물에 그치는 일들이 반복되고 있는 점에 대한 분명한 책임을 져야 할 것’이라고 주장했다.

[첨부자료]

1. 금융위가 제출한 금융회사 IT 보안강화 종합대책 및 전자금융감독규정 반영 내용

2. KB국민카드가 금감원에 제출한 IT 아웃소싱 업체에 대한 자체 보안성 검토 및 정기보안 점검 실시 내역 중 사고 관련 프로젝트(FDS 업그레이드 프로젝트) 점검 실시 내역 사본

3. KB국민카드가 FDS 업그레이드 프로젝트와 관련하여 실시한 보안점검 결과 사본

※사진: 첨부파일 참조