리더기, 단말기 변경 인증 시험시 EMV인증서 갱신요건 완화

회신

출처 · 원문 발췌

불수용

본문

요청 내용

□ (건의배경) 최초 신용카드 단말기(또는 리더기) 보안 인증시 EMV* 인증서를 제출**하고 있으며, 유효기간 3년이 경과하여 변경·갱신 시에도 동일한 EMV 인증을 거치고 제출하여야 함

* Europay Mastercard Visa의 약어로 유로페이 마스타카드 비자 등 세계 3대 신용카드 관련회사가 공동으로 제정한 IC카드 관련기기의 국제기술 표준을 말함. EMV규격에 맞아야 전세계 어디에서나 쓸 수 있는 호환성을 가짐

** 해당 기기가 EMV 규격 상 작동에 문제가 없다는 것을 확인하는 절차

*** 유효기간 3년 경과하여 갱신 시 1회당 2천~3천만원 비용부담

ㅇ EMV인증은 보안성과는 무관한 시험임에도 불구하고 ‘신용카드 회원의 정보보호’를 위한 요구사항에 포함되어 있음

ㅇ EMV인증 시험이 기술적으로 어렵거나 복잡하지 않음에도 불구하고 인증기관이 한정된 과점시장이 형성되어 인증비용이 지나치게 높음

ㅇ 여신전문금융업감독규정 제 26조의 3(신용카드 단말기 기술수준)에 따르면 안전성 및 신뢰성에 대한 세부기준을 여신전문금융업협회장이 정하는 기술기준에 따르도록 하고 있음

ㅇ 위 조항 때문에 여신금융협회가 단말기의 안전성 및 신뢰성과는 무관한 EMV인증을 요구함에도 불구하고 지속적으로 인증비용을 부담하고 있음

□ (건의내용) EMV인증은 보안과는 무관하므로 보안인증 요건에서 제외하거나, 최초 시험 시에만 요구하고, 변경 시험 시 면제하는 등의 제도 완화가 필요함

ㅇ 안전성 및 신뢰성에 대한 세부기준을 여신전문금융업협회장 대신 금융당국이 정하도록 하거나

ㅇ VAN사 자체적으로 인증요건을 지키도록 하고, 인증요건 위반으로 문제가 발생할 경우 VAN사가 손해에 대한 책임을 지는 방식을 검토바람

□ (현장소통반 대응) 금융위에 검토 요청

판단 이유

□ EMV인증은 카드와 단말기가 EMV규격대로 구현되었는지 확인하기 위한 것으로 보안과 무관하지 않으며, 여신전문금융업법에 따라 신용카드 단말기를 여신금융협회에 등록하기 위해서는 신용카드 단말기 시험업무 수탁기관에서 시험(이하 ‘협회 인증 시험’)을 통과하여야 하며, 시험 결과가 기술기준에 적합하는 경우 인증 및 등록 처리(인증서 유효기간 5년)

ㅇ 협회 인증 시험은 ‘민감한 신용카드 정보'가 신용카드 단말기에서 암호화 되고, 평문으로 저장되지 않는지 등을 검증하고 있으며, 카드와 단말기간 거래의 안정성·호환성 등에 대한 검증은 EMV 인증서보유 여부로 확인

□ [EMV인증서] 협회 인증 시험은 최초/변경/갱신/사용연장 시험으로 구분되며, 최초/변경시험 시에만 유효한 EMV인증서를 요구하며, 갱신/사용연장 시험과 다르게 변경 시험의 경우 단말기 내·외부의 보안 기능에 변경 사항 발생하는 경우 수행되므로 변경된 단말기도 카드와 단말기 간 거래의 안정성·호환성 등에 문제가 없는지 검증이 필요하므로 유효한 EMV인증서가 필요

□ [VAN사 책임] 신용카드 단말기는 정보보호 관련 문제 발생 시 카드 거래 장애 및 정보 유출 등 국민의 실생활과 밀접한 사고로 이어지는 바,

ㅇ 피해 예방의 측면에서 VAN사가 자율적으로 인증요건을 지키기보다, 객관성·중립성을 가진 기관에서 인증 제도를 운영하는 것이 바람직함

관련 법령

4. 영업·업무규제 >신용카드·체크카드>VAN사

연결

관련 근거

더 찾아보기

기관 원문

법적 효력은 발행기관 원문에 있으며 본 페이지는 참고용입니다.

다음 탐색