고객정보 직원 PC 저장땐 암호화 적용 의무화
2009년 02월 5일 / 이유지 기자 yjlee@ddaily.co.kr (디지털데일리)

금융감독원이 5일 발표한 ‘2009년 IT 및 전자금융 중점 감독·검사 방향’에 따라 앞으로 금융사가 취급, 저장·관리하는 고객정보유출을 방지할 수 있는 방안을 마련하기 위한 움직임이 더욱 활발해질 전망이다.

기존까지 고객정보보호 관련 전자금융 보안 정책은 주로 네트워크 보안시스템 설치와 고객이 인터넷뱅킹 사이트에 정보를 입력·전송하는 단계에서 고객의 금융정보가 악성코드 감염이나 해킹 등에 의해 유출되지 않도록 전자금융거래시 해킹방지프로그램을 사용하거나 일회용비밀번호(OTP) 등을 의무적으로 사용하는데 집중됐다.

하지만 올해에는 금융사 직원이 고객정보나 금융거래정보를 보관하는 것을 원칙적으로 금지하는 한편, 업무상 불가피하게 저장해야 하는 경우에는 고객정보 암호화 적용을 의무화했다.

이에 따라 금융사가 취급하고 있는 주민번호, 계좌번호 등 고객정보를 전송하거나 직원 노트북이나 PC에 저장할 때는 반드시 암호화해야 하며, 인터넷 접속대상 제한, 방화벽 우회 인터넷접속 차단 등의 기술적 조치를 취하도록 했다.

또한 금융정보가 보관된 DB는 내부망에만 설치토록 하고, 취약점이 노출될 수 있는 공개용 서버는 내부망과 분리한 별도의 DMZ 구간 내에서만 설치하도록 하는 엄격한 통제절차도 적용토록 했다.

내부직원과 아웃소싱 상주직원의 서버 등 시스템 접근통제도 크게 강화하도록 의무화해 관련 기술 조치 적용이 필요할 것으로 예상된다.

직원의 시스템 접근통제를 위해서는 직원의 직무에 따른 서버 접근권한 차등화하고, 인증서·MAC주소 등 강화된 인증
수단을 이용해야 한다. DB접속권한 제한이나 DB작업내역 자동저장, 외부반출 통제 등 아웃소싱 직원의 자료유출 경로 차단을 위한 대책도 수립해야 한다.

이에 따라 은행 등 금융사들이 서버를 중심으로 일부에만 적용됐던 문서보안(DRM) 등 파일 암호화 솔루션이나 데이터유출방지(DLP) 솔루션, DB암호화 및 접근통제·감사, 로그관리, 계정관리 솔루션 수요가 늘어날 것으로 예상된다.

금융감독원은 외부에서 내부 네트워크로 침입을 막을 수 있는 네트워크 보안시스템 설치 이외에 금융사 무선랜에 대한 불법 접속시도 행위를 예방·대응할 수 있도록 사용자 인증, 암호화(WPA2), 불법접속 감시·차단 등의 보안시스템을 구축할 것을 요구했다.

하지만 금융회사의 무선랜을 통한 예금 입·출금, 자금이체 등 금융거래는 원칙적으로 금지된다.