[카드런 공포] ④先사고後수습 언제까지...개인정보유출, 답이 없다

사상 초유의 카드사 개인정보 유출 사고가 신용평가회사인 코리아크레딧뷰(KCB)직원의 범행으로 밝혀지자, 내부자 위협을 통제할 수 있는 강력한 처벌이 필요하다는 목소리가 커지고 있다.

21일 고려대학교 정보대학원 이경호 교수는 “오늘 날의 금융산업은 각 사별로 고객의 구매패턴을 포함한 개인 정보를 확보해 관리하는게 중요하다”면서“개인 정보를 각 카드사들이 중간 관리자인 KCB에 보내 모아 관리하는 구조는 문제가 있었다”고 지적했다.

만약 고객이 A사에서는 연체 기록이 없고 카드론으로 큰 금액을 이용해도 갚는데 무리가 없다면 신용도가 높게 유지된다. 하지만 B사에서는 적은 금액도 연체하며 구매 패턴이 불규칙할 수 있다. 이러한 경우를 대비해 각 카드사는 KCB에 고객의 개인정보를 넘기고 KCB는 얻은 정보를 바탕으로 고객의 신용도를 평가한다.

이 교수는 “이러한 구조를 이용하다보니 내부 직원이 정보를 빼내 고객 정보를 건당 50원, 100원씩으로 책정해 사고 팔아도 돈이 된다”면서“산업의 구조를 바꾸지 않는다면 사고는 재발할 수 밖에 없다”고 설명했다.

이 교수는 내부자 위협을 통제하기 위해서는 보안에 대한 경영진의 의식 전환이 필요하다고 강조했다. 그는 “국내는 금융 감독기관이 보안에 대한 기준을 정해주고 회사는 이 기준에 맞게 시스템을 구축, 운영하면 유출 책임에서 벗어나게 된다”면서 “이 때문에 형사 처벌을 건너뛰고 민사인 집단 소송이 진행되는 현재의 구조는 잘못된 것”이라고 강조했다.

미국의 경우 뉴욕 증시에 상장된 기업의 내부 통제를 규정하는 법안이 존재한다. 내부에서 사고가 발생 시 벌금을 피해 규모만큼 부과하는 징벌적 과징금 제도가 있다. 사고가 재발하면 피해규모의 제곱으로 벌금 규모는 커진다.

이 교수는 “금융기관이 스스로 책임지고 만약에 유출이 발생하면 회사 문을 닫을 정도로 선진국 수준의 강력한 처벌 규정이 필요하다”고 강조했다. 이어 “이번 사건을 계기로 근본적인 대안을 만들고 장기적 협업 구조를 만들어 내야 유출 논란에 따른 소비자들의 혼란을 종식시킬 수 있을 것”이라고 덧붙였다.