방통위 본인확인 기관 정기점검에 따른 조치 계획
올해 방통위는 통신사들을 대상으로 △본인확인 서비스 모듈 관리 강화 △본인확인 결과로 제공되는 정보 최소화 △본인확인 이력 정보 보관 기간 최소화 △본인확인 서비스 이용사 정보관리 강화 △개인정보 처리 동의내용 관리 강화 △소켓방식의 최소화 등의 항목에 대한 개선조치를 요구했다.
방통위는 지난 2012년 SK텔레콤, KT, LG유플러스를 본인확인 기관으로 지정했으며 매년 정기점검을 하고 있다. 올해는 지난 5월 통신사를 대상으로 정기점검을 했다. 통신사와 대행사(8개사)로 구성된 모바일인증표준협회는 지난 7월 방통위 지적사항에 따른 조치계획을 수립해 이달부터 이행작업을 진행하고 있다.
본인확인 기관으로 방통위의 점검을 받는 통신사는 NHN한국사이버결제, NICE평가정보, 다날, 드림시큐리티, 에스씨아이평가정보, 케이지모빌리언스, 코리아크레딧뷰로, 한국모바일인증 등(이상 대행사)을 통하여 휴대폰 본인확인 서비스를 공급하고 있다. 각 대행사는 통신사의 본인확인시스템과 가맹점(서비스 이용사)을 연결하는 역할을 담당하게 된다.
기술적으로 대행사는 가맹점과 통신사의 본인확인 시스템을 연결하기 위해 자체적으로 개발한 모듈을 가맹점과 연결하고 본인확인을 위한 본인확인 정보 입력창을 제공하고 있다. 이때 대행사와 각 가맹점 간의 연동방식은 표준 창 방식, 소켓방식으로 구분돼 개인정보 관리 측면에서 차이가 있다. 이번 점검에서 방통위는 소켓방식 공급의 중단을 요구했다.
표준 창 방식의 경우 본인확인 기관인 통신사의 가이드에 따라 운영되며, 개인정보관리를 본인확인 기관의 관리 하에 있는 대행사가 직접 수행하고 있다. 반면 소켓방식의 경우 각 가맹점에서 개인 고객으로부터 개인정보를 입력받아 이를 대행사에 제공하는 방식으로 구성된다. 본인확인 기관이 개인정보를 관리하는 것과 외부 공격을 차단하는 데에 한계가 있다는 것이 방통위의 지적사항이다.
이에 따라 모바일인증표준협회는 각 대행사와 가맹점 간 연동을 목적으로 배포된 서비스 모듈에 대해 버전 관리 및 취약성 점검의 강화를 주문했다. 또한 취약성 점검 후 업데이트가 필요한 모듈의 경우 즉시 교체를 진행할 수 있는 프로세스 마련을 요구했다. 각 대행사는 올해 12월까지 전체 배포 모듈을 재점검할 예정이다.
통신사 관계자는 "소켓방식 인증 중단으로 인해 발생할 수 있는 고객 혼선을 줄이기 위해 대고객 캠페인 진행 등 충분한 홍보와 조정기간 확보에 힘쓸 예정"이라고 말했다. 김은지기자 kej@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
