NO-ACTION OPINION · 13020 비조치의견

보안솔루션 설치 제한 완화

금융안전과 · 2015-05-11

회신

출처 · 원문 발췌

기조치(수용)

□ (건의배경) ‘15.3월 이후 감독당국은 온라인 카드결제시 보안솔루션*을 사용하여야 하는 일반결제 대신 간편방식을 사용토록 지도(간편결제 관련 사전인증이 금지되고 보안솔루션 설치가 제한)

* 키보드 보안, 방화벽 보안, 백신 보안

ㅇ 그러나 그동안 사용해오던 보안솔루션 설치를 제한하고 전면적인 간편결제 방식으로 이행함에 따라 앞으로 고객신용정보 유출, 카드 부정사용, 해킹사고가 급격히 증가할 것으로 우려되며 다음과 같은 운영상 문제점 노출이 예상

- 보안솔루션 사용없이 업무를 처리하라는 것은 이용자에게는 보안솔루션 설치 생략에 따른 편의를 제공하겠다면서 그로 인한 사고 발생시에는 금융회사에게만 책임을 묻겠다는 상황

* 백신 미설치 상태에서 정보유출 사고 발생시 금융회사 책임으로 귀결

- 보안솔루션을 설치하지 않는다면 결국 FDS로 사고를 방지해야하지만 FDS가 만능은 아니며, 아직까지는 FDS 활용을 위한 탐지 데이터 수집이 미흡하고 FDS 활용을 위한 추가 준비시간도 필요

- 보안솔루션을 설치하지 않을 경우 카드 부정사용 원천을 추적할 수 없어 신속한 대응이 곤란

* (예) 보안솔루션 설치시 사고 진원지로 중국내 IP 특정 및 동 IP 이용 거래정지 등 대응을 신속하게 할 수 있지만 FDS의 거래패턴 분석으로는 이와 같은 업무처리가 불가

- 보안솔루션을 설치하지 말라는 것은 무장해제와 마찬가지로서 오히려 그동안 안전하게 운영되던 금융시스템 불안을 야기시키는 결과 초래

□ (건의사항) 간편결제 이행에 따른 사고 예방 및 FDS 고도화 등 예방솔루션 구축을 위한 안정화기간이 필요한 점을 감안하여

ㅇ 간편결제에 대한 한시적인 인증 및 보안솔루션 설치 금지조치 완화

□ 지난 2월 개정한 전자금융감독규정은 보안프로그램의 설치의무를 폐지*한 것으로써, 보안프로그램의 설치 금지를 의미하는 것은 아닙니다.

* (개정 이전) §34②3. 해킹 등 침해행위로부터 전자금융거래를 보호하기 위해 이용자의 전자적 장치에 보안프로그램 설치 등 보안대책을 적용할 것(다만, 고객의 책임으로 본인이 동의하는 경우에는 보안프로그램을 해제할 수 있다)

ㅇ 동 조치는 보안규제 패러다임 전환(사전규제→사후점검 및 책임강화) 및 기술중립성 원칙에 따라 금융회사에게 보안·인증기술 선택의 자율성을 부여한 것입니다.

□ 한편, 카드업계는 전자상거래 결제 간편화를 위해 사전인증이 필요한 일반결제 이외에 ID/PW만으로 결제가 가능한 간편결제를 추가 도입하였고, 간편결제 도입에 따른 부정결제를 방지하기 위하여 다양한 보완장치*를 마련한 것으로 알고 있습니다.

* (‘14.9.23 금융위·금감원 보도자료 참고) 환금성사이트 사전인증 유지, 간편결제 ID/PW 변경 및 결제내역 등을 SMS로 통보, 등록된 주소 이외로 배송시 사전인증, 소비자가 원할 경우 사전인증 선택 가능 등

ㅇ 이외에도, 전 카드사는 이미 FDS를 운영중에 있으며 일부 카드사의 경우 설치하지 않는 방식의 FDS도 도입하여 해외의 간편결제와 동일한 수준의 결제서비스를 제공하고 있습니다.

ㅇ 현재, 금융보안원에서 FDS정보공유시스템 구축을 추진중으로써, 카드업권간 FDS정보공유가 가능해지면 간편결제에 대한 보안수준이 더욱 높아질 것으로 기대됩니다.

매칭된 조문이 없습니다.

법적 효력은 발행기관 원문에 있으며 본 페이지는 참고용입니다.