"카드3사 IT 외주업무 보안규정 위반"

카드3사(NH농협카드, 롯데카드, KB국민카드; 이하 ‘카드3사’)가 고객 개인정보가 유출되는 과정에서 실시한 FDS(부정사용방지시스템) 업그레이드 아웃소싱 작업을 하면서 규정상 시행해야할 위탁업무에 대한 보안점검 및 내부 감리를 실시하지 않은 것으로 드러났다.

11일 국회 정무위원회 민주당 김영주의원(서울 영등포갑)이 금융감독원으로부터 제출받은 ‘IT 아웃소싱에 대한 정기보안 점검 실시 내역’과 ‘아웃소싱 프로젝트에 대한 감리보고서 작성 현황’자료에 의하면 카드 3사가 FDS(부정사용방지시스템) 아웃소싱을 실시하면서 외주용역에 대한 보안상태 점검은 물론 감리보고서 조차 작성하지 않았던 것으로 최종 확인됐다.

금감원 자료에 따르면 NH농협카드는 2013년 자체적으로 실시한 내부 감리가 ‘금고정보시스템 구축’ 단 1건에 불과 했다. 국민카드는 관련 용역 종료 이후 보안점검은 실시했으나 일부 미흡한 점을 지적하였음에도 불구하고 최종 점검결과 아무런 문제가 없다는 결론을 내렸고, 롯데카드는 용역은 종료되었으나 안정화 작업이 계속되고 있다는 이유로 내부 감리를 실시하지 않았다.



금융위원회는 지난 2011년 4월 현대캐피탈 고객정보유출 사고와 농협 전산망 마비사태 이후 ‘금융회사 IT 보안강화 종합대책’을 마련하여, 금융회사들의 IT 아웃소싱 부문의 보안을 강화했다. 이 가운데 아웃소싱 업무의 적정성 관리 강화 방안으로 전자금융감독규정을 개정해 위탁업무의 적정성 등에 대한 자체 보안성 검토를 의무화 하고, 외부위탁 IT 개발과 운영에 대한 내부감리를 실시하도록 했다.

김영주의원은 "카드3사가 외부위탁에 대한 보안점검과 감리를 제대로 실시했다면 사전에 개인정보가 유출될 가능성을 막을 수 있었을 것"이라고 지적하며, 기본 규정도 지키지 못한 카드3사의 직무유기를 질타했다. 또한 금융당국이 매번 IT보안 사고가 터질 때 마다 대책을 쏟아 내고는 있지만 실제 현장에서는 무용지물에 그치는 일들이 반복되고 있는 점에 대한 분명한 책임을 져야 할 것이라고 주장했다.