[녹색경제신문 = 한순구, 유자인 기자]

국내 주요 금융사와 대형 플랫폼의 개인정보 보호 체계를 떠받쳐 온 암호키 관리 핵심 솔루션을 둘러싸고, 공급사인 MDS인텔리전스와 모회사 MDS테크에 대한 논란이 커지고 있다. 국제 표준을 앞세워 시장을 선점한 보안 솔루션이 약 2년의 유예기간을 두고 사실상 단종(EOS·EOL) 수순에 들어갔다는 지적이 나오지만, 회사 측은 명확한 설명을 내놓지 않고 있다.

문제는 이 솔루션의 고객군이다.
MDS인텔리전스는 자사 홈페이지를 통해 케이뱅크, 토스, MG손해보험 등 금융사와 대형 플랫폼 기업들을 주요 고객·파트너로 공개하고 있다. 업계에서도 해당 암호키 관리 솔루션이 인터넷은행·핀테크·보험사 등 대규모 개인정보를 처리하는 기업들 사이에서 사용돼 왔다는 점은 널리 알려져 있다.

이 때문에 이번 논란은 단순한 제품 정책 문제가 아니라, 금융·플랫폼 서비스의 보안 안정성과 직결된 사안이라는 평가가 나온다.

■ “단종 맞느냐”는 질문에…“연결해주겠다”는 말뿐

본지는 최근 MDS인텔리전스 측에 직접 연락해 “암호키 관리 솔루션을 약 2년의 유예기간을 두고 사실상 단종하는 것이 맞느냐”고 문의했다.

회사 측은 “담당자가 아니라 잘 모른다”며 “관련 부서에 연결해 다시 연락하겠다”고 답했다. 기사 작성 시점까지 연락은 없었다.

업계에서는 이를 두고 “대형 금융사가 고객으로 알려진 핵심 보안 솔루션과 관련된 질문에 ‘모른다’거나 ‘연결해주겠다’는 답만 남기고 침묵하는 것은 책임 있는 태도로 보기 어렵다”는 지적이 나온다.

■ KMIP 국제 표준 ‘국내 최초’…그러나 종료 기준은 불투명

문제의 솔루션은 국제 보안 표준화기구 OASIS가 제정한 KMIP(Key Management Interoperability Protocol)를 준수한 제품이다. KMIP는 글로벌 금융권과 클라우드 환경에서 암호키 관리를 표준화하기 위해 만들어진 규약으로, 보안 인프라의 최상위 계층에 해당한다.

MDS인텔리전스는 이 KMIP 표준을 따르는 국내 최초 상용 솔루션을 내세워 시장을 개척했다. 실제로 케이뱅크·토스·MG손해보험 등 대규모 개인정보를 다루는 금융사들이 고객군에 포함돼 있다는 점은 이 솔루션의 시장 지위를 보여준다.

그러나 업계에 따르면 해당 솔루션의 특정 버전에 대해 약 2년의 유예기간을 두고 EOS·EOL이 적용될 수 있다는 통보가 이뤄진 것으로 알려졌다. 글로벌 보안 업계에서 암호키 관리 시스템은 통상 최소 3년, 보통 5년 이상의 종료 로드맵을 제시하는 것이 관행이다.

■ 소스코드 락인 구조…“금융사 쓰는 KMS는 그냥 못 바꾼다”

암호키 관리 시스템(KMS)은 단순 보안 프로그램이 아니다.
각 서버가 암호키를 직접 저장하지 않고, 중앙 키 관리 시스템을 호출해 암·복호화 키를 받아 사용하는 구조다.

이 방식은 보안상 가장 안전하지만, 동시에 대고객 시스템의 소스코드가 솔루션 API에 깊이 종속되는 구조다. 금융사나 대형 플랫폼처럼 24시간 무중단 운영이 필수인 환경에서는, 솔루션 변경이 곧 전체 대고객 시스템 소스코드 수정과 대규모 배포 작업으로 이어진다.

한 금융 IT 관계자는 “이건 솔루션 하나를 바꾸는 문제가 아니라, 계좌·결제·인증 등 전체 서비스를 다시 손보는 일”이라며 “종료 시점과 방식이 불투명하면 고객사는 사실상 선택지가 없다”고 말했다.

■ 2017년 출시, 고객들…“교체는 이해해도 준비할 시간은 필요”

다수 고객사는 2017년 전후부터 해당 솔루션을 도입해 장기간 사용해 왔다. 10년 가까운 사용 기간을 감안하면 기술 교체 논의 자체는 불가피하다는 시각도 있다.

그러나 업계에서는 “암호키 관리처럼 소스코드 락인이 전제된 솔루션일수록, 공급사가 라이프사이클 정책과 단계적 이전 방안을 먼저 공개해야 한다”고 지적한다.

■ 대기업 레퍼런스 이후 달라진 힘의 균형…“초기 고객이 오히려 약자”

MDS인텔리전스는 현대차, LG전자 등과의 협업을 통해 KMIP 3.0 기반 키 관리 시스템 구축 레퍼런스를 확보해 왔다. 이러한 성과는 MDS테크의 감사보고서에서도 주요 기술 경쟁력으로 언급된다.

그러나 이 시점을 전후로 기존 고객과의 힘의 균형이 달라졌다는 지적이 업계에서 나온다. 초기 시장 형성기에 솔루션을 도입했던 금융사·플랫폼 기업들이, 교체 국면에서는 오히려 ‘떠날 수 없는 고객’이 됐다는 것이다.

보안 업계 한 관계자는 “국내 최초라는 이유로 선제 도입했던 고객들이, 이후 대기업 레퍼런스를 확보한 공급사 앞에서 비용과 리스크를 일방적으로 떠안는 구조가 됐다”고 말했다.

■ 불성실공시법인 ‘실제 지정’ 전력…IPO 추진 중인 회사의 그림자

MDS테크 계열은 과거 불성실공시법인으로 실제 지정된 전력이 있다.
2017년 12월에는 회사 합병 결정 공시 이후 합병 비율을 20% 이상 변경한 사실이 문제 되며, 불성실공시법인으로 최종 지정됐다. 공시의 핵심 전제를 사후에 뒤집은 사례라는 점에서 시장의 비판도 컸다.

또 2020년 7월에는 종속회사 한컴MDS 분할 결정을 모회사인 한글과컴퓨터가 뒤늦게 공시하면서, 한컴그룹 전체가 불성실공시법인으로 지정되는 사태가 벌어졌다. 이 과정에서 MDS인텔리전스 역시 지배구조 재편의 한 축으로 거론됐다.

그럼에도 MDS테크는 2023년 이후 MDS인텔리전스의 IPO 추진 계획을 언론을 통해 밝힌 바 있다.
시장에서는 “과거 불성실공시 전력이 있는 그룹 계열사가 상장을 추진하면서, 대형 고객이 얽힌 핵심 보안 솔루션 종료 문제에 침묵으로 일관하는 것이 과연 적절한가”라는 의문이 제기된다.

■ 남은 질문들

결국 MDS테크 논란과 관련 ▲암호키 관리 솔루션은 사실상 단종 수순이 맞는가 ▲EOS·EOL 유예기간은 정확히 얼마이며 기준은 무엇인가 ▲케이뱅크·토스 등 금융사 고객을 고려한 장기 지원 계획은 있는가 ▲왜 공식 홈페이지·공시·보도자료를 통한 설명은 없는가 등에 대한 의문이 남는다. 

보안기술관련 한 전문가는 "암호키 관리 시스템은 금융·플랫폼 서비스의 최후 보루" 라며 "그 보루를 쥔 기업이 침묵으로 일관할수록, 논란은 기술을 넘어 책임과 신뢰의 문제로 커질 수밖에 없다"고 말했다.