[헤럴드경제=신소연 기자]최근 발생한 카드사의 고객정보 유출은 ‘사고’가 아니라 ‘인재(人災)’라는 분석이 나왔다. 정보기술(IT) 보안강화를 위한 대책이 쏟아지지만 결국 현장에서는 ‘무용지물(無用之物)’이었기 때문이다.

11일 국회 정무위원회 소속 김영주 의원(민주당)에 따르면, 고객정보가 유출된 KB국민ㆍ롯데ㆍNH농협 등 카드 3사는 최근 FDS(부정사용방지시스템) 업그레이드 아웃소싱 작업을 하면서 규정상 시행해야 할 위탁업무에 대한 보안점검 및 내부 감리를 실시하지 않은 것으로 나타났다.

김 의원이 금융감독원으로부터 제출받은 ‘IT 아웃소싱에 대한 정기보안 점검 실시 내역’과 ‘아웃소싱 프로젝트에 대한 감리보고서 작성현황’ 등의 자료에 따르면, 카드 3사는 FDS 아웃소싱을 실시하면서 외주용역에 대한 보안상태 점검을 하지 않은 것으로 나타났다. 이와함께 감리보고서도 작성하지 않아 문제가 심각한 것으로 나타났다.

각사별로 보면, KB국민카드는 용역 종료 이후 보안점검은 실시했지만, 검사 과정에서 미흡한 점을 발견했는데도 최종 점검결과는 아무런 문제가 없다는 결론을 내렸다.

롯데카드는 용역은 끝냈으나 안정화 작업이 계속되고 있다는 이유로 내부 감리를 실시하지 않았다. NH농협카드는 지난 2013년 자체적으로 실시한 내부 감리가 ‘금고정보시스템 구축’ 등 단 1건에 불과했다.

카드사들의 이같은 행태는 금융당국이 IT보안과 관련한 종합대책은 내놓은 후에 이뤄진 것이라 주목된다. 금융위는 지난 2011년 4월 현대캐피탈 고객정보 유출사고 및 농협 전산망 마비사태 이후로 ‘금융회사 IT 보안강화 종합대책’을 발표, 금융회사들의 IT 아웃소싱 부문의 보안을 강화하도록 했다.

당시 금융위는 전자금융감독규정 개정을 통해 위탁업무의 적정성 등에 대한 자체 보안성 검토를 의무화하고, 외부위탁 IT 개발 및 운영에 대한 내부감리를 시행하도록 했다. 하지만 영업 현장에서는 금융위의 이같은 지침이 제대로 이뤄지지 않았다. 즉 이번 카드사 고객정보 유출사고는 시스템 부재로 인한 사고가 아니라 있는 시스템도 지키지 못해 생긴 ‘인재(人災)’라는 것이다.

금융당국의 감독도 ‘수박 겉핥기식’으로 이뤄진 것으로 나타났다. 금감원이 지난해 4~5월 ‘금융 IT 보호업무 모범규준’에 대한 일제 점검에 나섰지만, 이행지도 수준에 그치는 등 문제점을 파악하지 못한 것으로 김 의원 측은 분석했다.

김 의원은 “카드3사가 외부위탁에 대한 보안점검과 감리를 제대로 했다면 사전에 개인정보가 유출될 가능성을 막을 수 있었을 것”이라며 “금융당국도 IT보안 사고가 터질 때마다 대책을 쏟아 냈지만, 실제 현장에서는 무용지물에 그치는 일들이 반복되고 있는 점에 대해 분명한 책임을 져야 할 것”이라고 말했다.

　


carrier@heraldcorp.com