ISMS ‘무용론’ 대두되는데... 5대 은행 보안 괜찮을까?

[녹색경제신문 = 김나영 기자] 쿠팡 등에서 대규모 개인정보 유출 사건이 계속되는 가운데 은행권 개인정보 보호관리 체계 또한 점검할 필요가 있다는 목소리가 나오고 있다. 국내 유일의 개인정보보호 관리체계 인증제도인 ISMS와 ISMS-P에 대한 무용론이 제기되고 있는 탓이다. 때문에 일각에서는 금융권에 3대 정보보호 인증 중 하나인 SOC2를 추가 도입해야 한다는 의견이 뒤따르고 있다.

9일 <녹색경제신문> 취재를 종합하면 현재 5대 은행(국민·신한·하나·우리·농협)은 모두 ISMS를 획득한 것으로 확인됐다. 올해 정보보호 공시 등에 따르면, 국민은행은 ISO/IEC 27001(정보보호 경영시스템 국제인증)·27701(개인정보보호 경영시스템 국제인증), ISMS·ISMS-P, APEC CBPR을 취득했다. 신한은행은 ISO 27001 및 ISMS·ISMS-P를 취득했다. 우리은행도 ISO/IEC 27001·27701·27017(클라우드 환경 정보보안 국제인증) 및 ISMS·ISMS-P를 취득했다. 하나은행은 ISMS·ISMS-P, ISO/IEC 27001·27701을, 농협은행은 ISMS-P와 ISO 27001를 각각 취득했다.

문제는 쿠팡·SKT 텔레콤 등 대규모 개인정보 유출 사태를 겪으며 ISMS·ISMS-P 무용론이 불거졌다는 점이다. 쿠팡, KT, 롯데카드 등은 ISMS·ISMS-P 인증을 받은 뒤 이를 내세워 자사 보안 능력을 홍보해왔으나 대규모 정보 유출이 잇따르며 체면을 구겼다. 

현행 ISMS-P는 총 101개 항목을 기준으로 기업의 보안 수준을 평가한다. 기업은 자체 평가보고서를 작성해 규정·지침·절차서 같은 증빙 자료를 제출하고, 인증기관은 서류와 인터뷰, 일부 현장 점검을 통해 기준 충족 여부를 확인하는 방식이다. 이 과정이 기업이 제출한 '문서' 중심으로 이뤄져 실제 업무를 평가하는 실효성은 없다는 게 ISMS·ISMS-P 무용론의 핵심이다. 

때문에 금융권 안팎에서는 5대 은행 역시 막대한 시장지배력과 고객 기반 등을 고려해 ISMS·ISMS-P 이상의 추가 인증을 도입해야 한다는 의견이 나온다. 특히 보안업계 일부에서는 각 은행이 3대 정보보호 인증 중 하나인 SOC2를 도입해야 한다는 주장을 내놓고 있다.  

SOC2는 미국공인회계사회(AICPA)와 국제감사인증기준위원회가 발급하는 인증이다. ISO 27001과 ISMS와 함께 3대 정보보호 인증으로 꼽힌다. 네이버의 경우 2012년 SOC 인증을 획득해 매년 갱신 중이다. 2012년 국내 최초로 SOC2(보안 중심), SOC3(서비스 운영 투명성중심) 인증을 동시에 획득했다. 몇몇 해외 은행들도 국가별 인증과 국제 표준 인증에 더해 SOC 보고서를 외부 감사로 받아 고객·파트너에게 제공하고 있다.

이와 관련해 한 시중은행 관계자는 "SOC2 등 별도의 정보보호 관리체계 인증 검토는 하지 않았다"며 "SOC2는 주로 해외 클라우드 서비스 사업자 등을 대상을 한 국제심사 기준으로, 국내 금융권에서는 법적·제도적으로 요구되는 항목은 아니다"라고 전했다. 이어 "추가적인 제도 변화나 감독 기준이 마련될 경우 그에 맞춰 적절히 검토·준비할 계획이다"라고 덧붙였다. 

다만 일부 전문가는 추가 인증 도입에 앞서 각 금융기관이 ISMS 인증 심사 시 제출한 계획을 준수하는 게 우선이라는 의견도 제시했다.

김형중 고려대학교 정보보호대학원 교수는 "현재 보안 시스템이 복잡하고 기술 등이 상전벽해 수준으로 달라지고 있는 만큼 금융기관이 보안시스템을 때맞춰 업데이트하는 것은 어렵다”며 “ISMS 인증 받는 데 1년이 걸리는데 지금보다 강화되면 기업 성장의 발목을 잡게 된다”고 말했다. 

이어 “사실상 기업들이 가이드라인을 준수할 수 있도록 하는 게 중요하다”며 “지금처럼 'ISMS가 문제다'라는 시각은 기업에 면죄부를 줄 수 있다”고 강조했다.