대부분 DB암호화 등 보안시스템 구축 소홀
은행보다 상세한 개인정보 보유 피해 우려
은행보다 상세한 개인정보 보유 피해 우려
은행 등에만 국한돼 금융권 내에서 비교적 `해킹 무풍지대'로 여겨졌던 보험업계에 한화손해보험 고객정보 16만명 유출이라는 첫 대형해킹 사례가 나오면서 보험업 전반에 대한 IT보안 체계를 강화해야 한다는 목소리가 높다. 하지만 업계의 대응수준은 이에 크게 못 미치고 있는 것으로 나타났다.
20일 디지털타임스가 생명보험ㆍ손해보험 15개사를 조사한 결과, 대다수 보험사들은 데이터베이스(DB)암호화 등 보안 시스템 구축에 소홀한 것으로 나타났다. 본지는 15개 업체 사내 최고정보보호책임자(CISO) 유무, 고객정보 DB암호화 여부, 내부 보안시스템 정책 등을 조사했다.
본지 조사 결과, 대다수의 보험사는 DB암호화를 포함한 보안 시스템 강화에 소홀한 모습이었다. 특히 삼성생명, 삼성화재, 한화생명 등 대형사를 제외한 중소형사나 외국계 보험사의 경우 구체적인 DB암호화 작업에 착수하지 못한 경우가 대부분이었다. 대형사의 경우에도 수백만명에 달하는 고객 DB에 대한 암호화 작업이 쉽지 않아 DB 전체 중 부분 암호화만 진행됐거나 현재 암호화를 위한 준비 단계에 머무르고 있었다. 조사 대상 모든 보험사가 금감원의 권고에 따라 최고정보보호책임자(CISO)를 사내에 두고 있었지만 이마저도 다른 업무와 겸임하는 경우가 50%를 넘었다.
동양생명의 경우에는 지난해 2월 정보보호파트를 사내에 신설하고 외부 문서 유출 방지용 DRM(디지털저작권관리), DLP(데이터유출방지) 솔루션을 구축하는 등 다양한 정보보안 정책을 구사하고 있었다. 사내 PC에서 USB 등 이동형기기를 이용할 경우 정보보호파트에 허가를 얻어야 할 정도로 사내 정책을 강화했다.
삼성화재도 암호화 조치를 완료하고 자체 모의 해킹을 1년에 수 차례 실시하는 등 정보보안 조치에 비교적 적극적인 것으로 조사됐다. `보험사 대형 해킹 1호'라는 불명예를 안게 된 한화손보의 경우도 보안서버를 신규로 도입하고 자체 보안성심사를 강화하는 등 와신상담에 나서고 있다.
전문가들은 금융권 해킹 중에서도 생보사의 경우 고객DB가 뚫릴 경우 진단, 입원, 특정 부위 수술 여부 등 세부적인 질병 정보가 고스란히 노출될 수 있어 은행권 개인정보 해킹보다 더 심각할 수 있다고 지적했다. 손해보험 분야도 차량정보 등 주민번호, 휴대폰 이외의 개인식별정보가 노출될 수 있다.
금융권 컨설팅 경험이 많은 한 보안 전문가는 "끊임없이 새로운 타깃을 찾아다니는 해커들의 특성상 금융권에서 다음 타깃은 증권, 생보사 등에 맞춰질 수 있다"며 "특히 민감한 고객정보를 많이 보유한 보험사의 경우 고객정보 관리에 만전을 기해야 할 것"이라고 조언했다.
또 다른 보안업계의 관계자는 "보험사의 경우 앞서 사고가 빈번했던 은행권에 비해 보안에 대한 투자나 인식이 아직 약한 것이 사실"이라며 "보험사에서도 해킹에 의한 고객정보 유출 등 본격적인 사례가 등장한만큼 DB암호화와 자체 정보보안 인력 강화 등을 경영진이 앞장서 챙겨야 한다"고 말했다.
신동규기자 dkshin@
20일 디지털타임스가 생명보험ㆍ손해보험 15개사를 조사한 결과, 대다수 보험사들은 데이터베이스(DB)암호화 등 보안 시스템 구축에 소홀한 것으로 나타났다. 본지는 15개 업체 사내 최고정보보호책임자(CISO) 유무, 고객정보 DB암호화 여부, 내부 보안시스템 정책 등을 조사했다.
본지 조사 결과, 대다수의 보험사는 DB암호화를 포함한 보안 시스템 강화에 소홀한 모습이었다. 특히 삼성생명, 삼성화재, 한화생명 등 대형사를 제외한 중소형사나 외국계 보험사의 경우 구체적인 DB암호화 작업에 착수하지 못한 경우가 대부분이었다. 대형사의 경우에도 수백만명에 달하는 고객 DB에 대한 암호화 작업이 쉽지 않아 DB 전체 중 부분 암호화만 진행됐거나 현재 암호화를 위한 준비 단계에 머무르고 있었다. 조사 대상 모든 보험사가 금감원의 권고에 따라 최고정보보호책임자(CISO)를 사내에 두고 있었지만 이마저도 다른 업무와 겸임하는 경우가 50%를 넘었다.
동양생명의 경우에는 지난해 2월 정보보호파트를 사내에 신설하고 외부 문서 유출 방지용 DRM(디지털저작권관리), DLP(데이터유출방지) 솔루션을 구축하는 등 다양한 정보보안 정책을 구사하고 있었다. 사내 PC에서 USB 등 이동형기기를 이용할 경우 정보보호파트에 허가를 얻어야 할 정도로 사내 정책을 강화했다.
삼성화재도 암호화 조치를 완료하고 자체 모의 해킹을 1년에 수 차례 실시하는 등 정보보안 조치에 비교적 적극적인 것으로 조사됐다. `보험사 대형 해킹 1호'라는 불명예를 안게 된 한화손보의 경우도 보안서버를 신규로 도입하고 자체 보안성심사를 강화하는 등 와신상담에 나서고 있다.
전문가들은 금융권 해킹 중에서도 생보사의 경우 고객DB가 뚫릴 경우 진단, 입원, 특정 부위 수술 여부 등 세부적인 질병 정보가 고스란히 노출될 수 있어 은행권 개인정보 해킹보다 더 심각할 수 있다고 지적했다. 손해보험 분야도 차량정보 등 주민번호, 휴대폰 이외의 개인식별정보가 노출될 수 있다.
금융권 컨설팅 경험이 많은 한 보안 전문가는 "끊임없이 새로운 타깃을 찾아다니는 해커들의 특성상 금융권에서 다음 타깃은 증권, 생보사 등에 맞춰질 수 있다"며 "특히 민감한 고객정보를 많이 보유한 보험사의 경우 고객정보 관리에 만전을 기해야 할 것"이라고 조언했다.
또 다른 보안업계의 관계자는 "보험사의 경우 앞서 사고가 빈번했던 은행권에 비해 보안에 대한 투자나 인식이 아직 약한 것이 사실"이라며 "보험사에서도 해킹에 의한 고객정보 유출 등 본격적인 사례가 등장한만큼 DB암호화와 자체 정보보안 인력 강화 등을 경영진이 앞장서 챙겨야 한다"고 말했다.
신동규기자 dkshin@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
