카드 3사의 매머드급 개인정보유출 사태를 맞아 강력한 대책들이 쏟아지고 있다. 그렇게만 되면 유출사고는 이제 절대 일어날 것 같지 않다. 흥분된 상태에서 쏟아내는 규제와 처벌은 소비자의 분노를 누그러뜨리는 데는 효과가 있을지 모르나, 안정적 IT시스템 운영에는 도움이 되지 않는다.
지금 소비자들이 가장 의아해 하는 것은 2차 피해가 없다는 당국과 카드사들의 말이다. 무슨 근거로 그런 말을 하는지 모르겠다. 반출에 사용된 USB와 원본파일을 회수했다지만 USB가 몇 차례나 접속됐었는지 얼마나 카피됐는지는 알 수 없다.
온 나라가 개인정보유출에 눈을 벌겋게 뜨고 있는데, 천치가 아닌 이상 어떤 불법 정보유통업자나 금융사기꾼들이 유출된 정보를 거래하고 사기를 치겠는가. 보안 전문가들은 사태가 잠잠해진 2∼3년 후 스미싱 등 금융사기가 크게 늘어날 것을 우려하고 있다. 당국과 카드사들이 피해가 발생하면 전액 배상한다고 말하고는 있지만 추가 정보유출이 없다고 강조하는 걸 보면 한쪽 발을 빼고 있다는 인상이다. 추가 유출이 없다는 주장은 실은 피해를 배상하지 않겠다는 포석이라고 보는 것도 무리가 아니다.
이런 측면에서 보면, 사실 당국이 내놓은 대책들도 당장은 소용이 없다. 정보 수집 보유 이용을 대대적으로 제한하는 대책에 이어 3개월 영업정지, 일부 외국계 보험사를 제외한 전 금융사의 전화영업(TM) 금지 등은 지금으로선 하나마나한 대책이다. 전형적인 냄비 대책이요 당국의 비난 모면용 회피책일 뿐이다.
DB암호화 의무화 추진도 찬찬히 실익을 뜯어봐야 한다. 일각에서는 개인정보를 다루는 모든 금융사에 주민번호 등 고유식별번호를 무조건 암호화하도록 하는 법 개정을 추진 중이다. 정보보호 방안은 암호화, 방화벽, 시스템 및 DB 접근제어, 내부정보유출방지솔루션, 문서집중화, 권한지정 등 다양하다. 이 중 암호화는 비용과 IT시스템의 성능저하를 유발해 IT시스템의 성능과 상충관계(trade off)에 있다. 비용은 차치하고 시스템의 가용성을 크게 떨어뜨린다. 암호화가 필요 없다는 말이 아니다. 적재적소에 써야 한다는 뜻이다. 암호화는 기술 진화가 더 필요하다. 안정성과 더불어 신속성이 생명인 금융서비스에서 속도 저하를 소비자들이 얼마나 감내할 수 있겠는가.
또 고려할 점은 암호화가 보안의 최종 보루이지만 유출을 전제로 한 보안기술이라는 점이다. 고도의 접근제어 벽을 뚫고 DB를 빼낸 능력이라면 암호를 푸는(복호화) 것도 시간문제일 수 있다. 이런 문제점이 있기 때문에 개인정보보호법에 암호화에 상응하는 보호조치를 인정하고 있다. 금융사의 로비로 암호화 강제를 하지 않고 있다는 것은 틀린 말은 아니나 지나친 비약이다. 정보보안의 최적 점을 찾는 노력이 우선이다. 업무를 위한 시스템이어야지 시스템이 정보보호를 위해 있는 것은 아니기 때문이다. 주객이 전도되어서는 안 된다.
이번 사태가 주는 교훈은 물리적 인적 보안체계의 재정립이다. 권한을 가진 내부자에 의한 정보유출은 악성코드, APT, 해킹 등 외부 소행 이상으로 심각하다. 그렇다면 이 부분에 대한 보안 강화에 우선 나서야 하는 것이 순리다.
마지막으로 무원칙한 문책도 문제다. NH농협카드의 경우 개인정보 유출이 사고가 알려지기 14개월 전에 발생했다. 책임을 물으려면 당시 책임 라인에 있었던 사람들이 대상이 돼야 한다. 그러나 지금 문책은 현직 중심으로 이뤄지고 있다. 실제로 처벌을 받게 된 어떤 현직 담당자는 불만을 제기하고 있다.
원칙 없는 문책은 정보보안 담당자들에게 잘못된 시그널을 보낸다. 책임 소재를 정확히 추적하지 않고 무조건 현직에 있다는 이유만으로 자신과 관련 없는 정보유출에 대해 책임을 지게 한다면, 누구나 `현직에 있을 때만 피하자'라는 잘못된 생각을 갖게 될 것이다.
보안에서도 과유불급이 예외가 아니다. 무조건적 DB암호화와 삼중사중의 보안 벽도 터무니없는 원시적 인적 실수와 구멍으로 순식간에 무력화될 수 있다. 마구잡이 식 대책을 쏟아내기 보다 평상심을 갖고 차근차근 최적 점의 보안을 찾는 노력을 해야 할 때다. 비전문적 외부 간섭을 줄이고 보안 담당자의 자율적 판단을 존중해야 한다. 추락한 보안담당자들의 사기를 높이는 것도 필요하다.
이규화 IT융합산업연구소장ㆍ선임기자
지금 소비자들이 가장 의아해 하는 것은 2차 피해가 없다는 당국과 카드사들의 말이다. 무슨 근거로 그런 말을 하는지 모르겠다. 반출에 사용된 USB와 원본파일을 회수했다지만 USB가 몇 차례나 접속됐었는지 얼마나 카피됐는지는 알 수 없다.
온 나라가 개인정보유출에 눈을 벌겋게 뜨고 있는데, 천치가 아닌 이상 어떤 불법 정보유통업자나 금융사기꾼들이 유출된 정보를 거래하고 사기를 치겠는가. 보안 전문가들은 사태가 잠잠해진 2∼3년 후 스미싱 등 금융사기가 크게 늘어날 것을 우려하고 있다. 당국과 카드사들이 피해가 발생하면 전액 배상한다고 말하고는 있지만 추가 정보유출이 없다고 강조하는 걸 보면 한쪽 발을 빼고 있다는 인상이다. 추가 유출이 없다는 주장은 실은 피해를 배상하지 않겠다는 포석이라고 보는 것도 무리가 아니다.
이런 측면에서 보면, 사실 당국이 내놓은 대책들도 당장은 소용이 없다. 정보 수집 보유 이용을 대대적으로 제한하는 대책에 이어 3개월 영업정지, 일부 외국계 보험사를 제외한 전 금융사의 전화영업(TM) 금지 등은 지금으로선 하나마나한 대책이다. 전형적인 냄비 대책이요 당국의 비난 모면용 회피책일 뿐이다.
DB암호화 의무화 추진도 찬찬히 실익을 뜯어봐야 한다. 일각에서는 개인정보를 다루는 모든 금융사에 주민번호 등 고유식별번호를 무조건 암호화하도록 하는 법 개정을 추진 중이다. 정보보호 방안은 암호화, 방화벽, 시스템 및 DB 접근제어, 내부정보유출방지솔루션, 문서집중화, 권한지정 등 다양하다. 이 중 암호화는 비용과 IT시스템의 성능저하를 유발해 IT시스템의 성능과 상충관계(trade off)에 있다. 비용은 차치하고 시스템의 가용성을 크게 떨어뜨린다. 암호화가 필요 없다는 말이 아니다. 적재적소에 써야 한다는 뜻이다. 암호화는 기술 진화가 더 필요하다. 안정성과 더불어 신속성이 생명인 금융서비스에서 속도 저하를 소비자들이 얼마나 감내할 수 있겠는가.
또 고려할 점은 암호화가 보안의 최종 보루이지만 유출을 전제로 한 보안기술이라는 점이다. 고도의 접근제어 벽을 뚫고 DB를 빼낸 능력이라면 암호를 푸는(복호화) 것도 시간문제일 수 있다. 이런 문제점이 있기 때문에 개인정보보호법에 암호화에 상응하는 보호조치를 인정하고 있다. 금융사의 로비로 암호화 강제를 하지 않고 있다는 것은 틀린 말은 아니나 지나친 비약이다. 정보보안의 최적 점을 찾는 노력이 우선이다. 업무를 위한 시스템이어야지 시스템이 정보보호를 위해 있는 것은 아니기 때문이다. 주객이 전도되어서는 안 된다.
이번 사태가 주는 교훈은 물리적 인적 보안체계의 재정립이다. 권한을 가진 내부자에 의한 정보유출은 악성코드, APT, 해킹 등 외부 소행 이상으로 심각하다. 그렇다면 이 부분에 대한 보안 강화에 우선 나서야 하는 것이 순리다.
마지막으로 무원칙한 문책도 문제다. NH농협카드의 경우 개인정보 유출이 사고가 알려지기 14개월 전에 발생했다. 책임을 물으려면 당시 책임 라인에 있었던 사람들이 대상이 돼야 한다. 그러나 지금 문책은 현직 중심으로 이뤄지고 있다. 실제로 처벌을 받게 된 어떤 현직 담당자는 불만을 제기하고 있다.
원칙 없는 문책은 정보보안 담당자들에게 잘못된 시그널을 보낸다. 책임 소재를 정확히 추적하지 않고 무조건 현직에 있다는 이유만으로 자신과 관련 없는 정보유출에 대해 책임을 지게 한다면, 누구나 `현직에 있을 때만 피하자'라는 잘못된 생각을 갖게 될 것이다.
보안에서도 과유불급이 예외가 아니다. 무조건적 DB암호화와 삼중사중의 보안 벽도 터무니없는 원시적 인적 실수와 구멍으로 순식간에 무력화될 수 있다. 마구잡이 식 대책을 쏟아내기 보다 평상심을 갖고 차근차근 최적 점의 보안을 찾는 노력을 해야 할 때다. 비전문적 외부 간섭을 줄이고 보안 담당자의 자율적 판단을 존중해야 한다. 추락한 보안담당자들의 사기를 높이는 것도 필요하다.
이규화 IT융합산업연구소장ㆍ선임기자
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
