영세가맹점에 대한 합리적 가격의 다양한 핀테크 서비스 사용기회 제공

회신

출처 · 원문 발췌

불수용

본문

요청 내용

□ (건의배경) 고정형 POS 단말기의 높은 가격으로 인하여, 현재 영세가맹점들은 POS 단말기 대신 CAT 단말기를 사용함으로써, POS 단말기 사용 시 이용 가능한 다양한 어플리케이션 사용의 기회가 제한되는 상황임

ㅇ (문제점) 현재 여신금융협회의 「신용카드 회원의 정보보호를 위한 단말기 시험가이드」 상의 “POS 단말기 유형에 따른 단말기 등록 범위 적용 세부가이드”에 따르면, “일체형 POS 단말기 시험허용에 대한 적용기준” 부분 중 “POS 소프트웨어 및 카드리더기가 하나의 PCB에 설치되어 개발된 형태일 경우”에는 독립적인 보안기능을 가지지 않는 PCB에 설치된 것으로 간주하여 “불허” 한다고 규정하고 있음

- 안드로이드 기반의 일체형 POS 단말기가 여신금융협회의 단말기 인증을 받기 위해서는 POS 단말기가 아닌 CAT 단말기 형식으로 인증을 받아야 함

- 안드로이드 기반의 일체형 POS 단말기는 가맹점에게 제공할 수 있는 많은 편익이 있음에도 CAT 단말기 형식으로 인증을 받아야 하며, 다양한 서비스 어플리케이션을 탑재할 때마다 형상변경인증을 받아야 함

※ POS 단말기는 주문, 배달, 재고관리, 매출관리, 바우처 서비스 등 하나의 단말기로 다양한 서비스 제공이 가능함

- 즉, 영세가맹점들이 합리적인 가격의 일체형 POS 단말기를 사용함으로써 운영비용 절감 및 매출 증대 등의 편익을 누릴 수 있음에도 현재 여신금융협회의 규정으로 인해 사용기회를 잃고 있는 상황임

- 따라서, 여신금융협회의 「신용카드 회원의 정보보호를 위한 단말기 시험가이드」 상의 세부가이드 규정 변경을 통하여 영세가맹점들이 합리적인 가격으로 다양한 핀테크 서비스를 사용할 수 있도록 해야 함

□ (건의내용) 하나의 PCB에 POS 소프트웨어 및 카드리더기가 설치되어 있는 일체형 POS 단말기라고 하더라도, 독립적인 보안기능을 증명할 수 있거나 보안전문업체의 솔루션을 탑재하여 증명할 수 있는 단말기에 대해서는 일체형 POS 단말기로서 테스트를 받을 수 있도록 기회를 보장

판단 이유

<여신전문금융업법 제27조의4의 4항에 따라 신용카드 단말기의 등록 및 기술기준에 관한 업무는 여신금융협회 소관 사항으로

본 건에 대해 여신금융협회의 답변을 받아 전달드립니다.>

□ 건의 내용에 대한 답변

여신전문금융업법에 따른 신용카드 단말기 등록을 위한 「신용카드 단말기 정보보호 기술기준(이하 기술기준)」에 따라 POS 단말기는 POS 소프트웨어와 카드리더기로 구분되며,

「신용카드 회원의 정보보호를 위한 단말기 시험 가이드(이하 단말기 시험 가이드)」에서 ‘일체형 POS 단말기’는 POS 단말기 본체 내에 카드리더기가 내장된 형태의 단말기로 정의하고, POS 소프트웨어 및 카드리더기가 하나의 PCB*에 설치된 경우 독립적인 보안 기능을 가지지 않은 것으로 간주하여 불허하고 있습니다.

* PRINTED CIRCUIT BOARD : 회로부품에 접속하는 전기배선을 절연물 상의 전기 도체로 재현

기술기준에 따라 카드리더기는 유출시 불법복제 카드 제작 등 금융사고로 이어지는 ‘민감한 신용카드 정보’를 카드에서 읽자마자 암호화 처리하여 신용카드 단말기 내부에서 평문으로 존재하지 않게 하는 것이 중요하고, 이 때 사용하는 암호화 키(Key)는 카드리더기(하드웨어) 제조 과정에서 회로기판 등에 물리적으로 안전하게 주입하여 해킹으로 인한 탈취가 어렵습니다.

반면 POS 소프트웨어는 기술발전 등에 따라 상대적으로 해킹 등의 위험에 쉽게 노출될 수 있으므로, 독립적인 보안기능을 수행한 카드리더기로부터 받은 암호화된 ‘민감한 신용카드 정보’만 받아서 처리해야 합니다.

만약 하나의 PCB에 POS 소프트웨어와 카드리더기가 혼재되어 있다면 POS 소프트웨어의 영역이 불명확해지므로 해킹에 취약해질 위험이 커집니다.

POS 단말기 제조사 측에서 주장하는 것처럼 하나의 PCB에 POS 소프트웨어 및 카드리더기가 설치되어 있는 일체형 POS 단말기라고 하더라도 CPU, 메모리 등이 분리되어 있다면 독립적인 보안기능 수행이 가능할 수도 있습니다.

그러나 POS 소프트웨어와 카드리더기가 독립적으로 보안기능을 수행(보안전문업체의 솔루션 탑재 포함)하는 것을 증명하기 위해서는 ?국가기관(혹은 이에 준하는 공신력을 갖춘 기관)에서 운영하는 ‘보안기능이 독립적으로 수행되고 있음을 공식적으로 인증하는 프로세스’를 통과 했다는 증빙*이 있어야 하나 국/내외에 이러한 공식적인 프로세스가 없어서 불가능 하고,

* 예를 들어 모든 CAT, POS 단말기의 경우 시험 전 EMV Level1/Level2 인증으로 신용거래의 안정성 및 호환성을 보증 받고, 금융위원회 혁신서비스로 지정된 업체의 스마트폰 단독 단말기는 CC인증(초기 암호키 저장 프로세스) 및 법령상 지정된 정보보호 전문서비스 기업 2곳 이상의 확인(보안취약점 진단)을 받아야 합니다.

?여신금융협회의 시험업무 수탁기관에서 보안기능이 독립적으로 수행됨이 시험을 통해 확인 되어야 하나, ?정해진 시험 소요일수(20영업일*) 내에서 이를 확인할 수 없고, ?시험일수 추가가 허용 되더라도 일체형 POS 제조사 측에서 제출한 관련된 자료 일체를 검증하는 과정에서 기한이 무기한으로 연장되거나 많은 시험 비용이 부과될 수 있습니다.

* 신용단말기 제조사와 VAN업계의 요구에 따라 적정 수준의 기간/비용 내에서 시험이 완료 될 수 있도록 마련된 기준 일수

따라서 하나의 PCB에 POS 소프트웨어와 카드리더기 설치를 허용하는 것은 신용카드 정보 보호 취약성 증가와 여신전문금융업법에 따른 신용카드 단말기 등록을 위한 시험/인증/등록 업무의 효율적인 운영을 종합적으로 고려했을 때 허용하기 어렵습니다.

□ 현장건의과제 내용에 대한 추가적인 사실 관계 확인

일체형 POS 단말기가 현행 기준에 따라 CAT단말기 형식으로 인증 받더라도 단말기에 추가되는 어플리케이션이 신용카드 정보처럼 민감한 정보를 다루지 않는다면 변경시험 없이 신청업체·개발업체의 통제*하에서 CAT 단말기에 설치 가능합니다.

* 형상 변경 사항에 대하여 마이너 버전 변경으로 신청/개발 업체가 자체 관리

이를 통해 CAT단말기로 인증 받은 단말기라도 추가적인 인증 절차 없이 핀테크산업협회에서 언급한 다양한 서비스를 가맹점에 제공할 수 있습니다.

감사합니다.

<본 건은 여신금융협회 소관 사항으로 여신금융협회의 답변을 받아 전달드립니다.>

자세한 내용은 여신금융협회(02-2011-0694)에 문의하여 주시기 바랍니다.

관련 법령

12. IT·정보보안>전자금융거래>기타

연결

관련 근거

더 찾아보기

기관 원문

법적 효력은 발행기관 원문에 있으며 본 페이지는 참고용입니다.

다음 탐색