FDS 정보공유를 위한 제도적 가이드 수립 건의

회신

출처 · 원문 발췌

불수용

본문

요청 내용

□ (건의배경) 공인인증서 등 제도적 제약을 폐지하는 과정에서, 그에 대한 대안으로 FDS(Fraud Detection System)의 구축과 이를 위한 정보공유 강화가 필요한 시점이나 이에 필요한 제도적 가이드라인이 규정하는 법령(전자상거래법, 개인정보보호법, 신보법 등)가 상충되는 측면이 있고 내용이 명확치 않아 FDS 정보공유에 애로

ㅇ 또한, FDS가 대응하는 Fraud의 경우, 한 사업자를 공격하면 다른 사업자에게도 그 공격이 확산되는 블랙리스트의 특성으로 인해 사고 사례 및 블랙리스트 공유가 중요하여 금융 ISAC을 중심으로(현 금보원) 공유되고 있으나, 해당 정보가 공인인증서 등의 agent 설치를 통해서만 수집 가능한 MAC 정보에 집중되어 있어 무설치형을 지향하는 간편결제 사업자들이 공유가 된다 하더라도 사용할 수 없는 정보라는 특성이 있음

ㅇ 금융권만 잘한다고 FDS를 잘할 수 있는 것이 아니며, 결제 생태계에 포함되어 있는 모든 참여자가 함께 할 수 있는 범연대적 대응이 필요

ㅇ 금융권이 수집?활용 가능한 정보, PG(Payment Gateway)가 수집?활용 가능한 정보, 간편결제 사업자가 수집?활용 가능한 정보가 참여자의 특성에 따라 상이함으로 업권별 탐지 가능한 위험의 유형을 공유하는 것이 매우 중요하게 대두

ㅇ 대부분의 금융권에 대한 공격은 사업자 내부적 취약성에 의한 공격 보다는 인증 단위에서의 명의 도용을 수반하여 공격이 이뤄지는 비중도 상당수이므로 FDS 강화를 위해서는 본인 인증의 핵심적 역할을 수행하고 있는 통신사의 참여도 필수적임

□ (건의사항) '개인정보 비식별 조치 가이드라인'이 FDS에도 적용될 수 있도록 FDS 정보 공유 범위 등을 규정하는 법적?제도적 가이드의 명확화하고

ㅇ FDS 정보 공유 시, 무설치형의 결제 서비스를 고려한 정보 유형의 다양화* 필요

* 예시

- 단말 : MAC 정보 이와 UUID(안드로이드), Identifier for Vendor(iOS), User Agent 정보 추가

- 이용자 정보 : 회원계정 ID 정보, CI 정보 또는 생년월일&성별 정보(주민번호 앞 7자리)

- 인증 정보 : 본인 인증에 사용된 휴대폰 폰번호 정보

- 접속 정보 : IP 정보 외 GPS 정보

- 쿠키 정보 : 로그인/결제 시점의 사용자 식별 관련된 쿠키 정보

ㅇ 권역별(카드/증권/은행, PG, 간편결제 사업자군) FDS 협의체 운영 구조를 통합**하고, 통신사/인증 기관을 포함하는 '범 협의체 구조'로 대응

** 각각의 권역별 FDS 협의체 운영방식이 문제가 되는 사유

1) 블랙리스트는 금융권만 대응된다고 해결되지 않음

- 공격자는 금융권 정보 탈취 이후, 간편결제 사업자 및 PG 영역으로도 확대 공격

- 반대로 간편결제 사업자 및 PG 영역에서의 피해가 금융사로 확대 공격되기도 함

2) 실명 기반의 확인을 위해서는 통신사, 인증기관이 제공하는 서비스 이용이 필수적이만, 대포폰과 같이 명의 자체가 거짓인 경우 결제도용과 결합하여 더 큰 공격으로 이행됨 (네이버 내부를 대포폰으로 인증하여 도용한 계좌로 등록하여 공격을 시도한 사례도 있었음) 다행히 빠른 탐지로 인해 네이버가 직접적인 피해를 입지는 않았지만, FDS의 정보공유라고 하는 과제가 실질적인 실익을 거두려면 인증기관에서의 대포정보의 공유와 금융권의 대포계좌 및 사고정보 등이 전자결제 생태계에 참여하고 있는 모든 참여자와 공유될 필요

※ (관련법령 또는 지도) 개인정보 비식별 조치 가이드라인(2016.6.30) 금융위원회 등 관계부서 합동

판단 이유

□ FDS 특성상 사고관련 정보를 공유하기 위해서는 식별된 정보를 공유하여야 의미가 있으며, 개인정보를 비식별 조치한 경우 공유 정보를 활용하기가 어렵습니다. 또한 FDS 정보 공유 항목인 IP주소, MAC주소 등은 다른 정보와 결합하여 개인을 식별할 수 있으므로 전자금융업자가 동 정보를 타회사에 제공하여 이용하기 위해서는 정보공유에 대한 고객 동의를 받아야 하는 등 개인정보보호법 이슈로 정보 공유가 어려운 상황입니다.

ㅇ 현재 FDS 정보공유를 위한 법적 근거가 없는 상황으로 향후 FDS를 통한 정보수집 및 공유 근거에 대한 법규 개정 여부를 검토하여 소관부처에 법규 개정을 건의할 계획입니다.

ㅇ 금융회사별로 금융소비자의 편리성을 위해 보안프로그램 설치를 축소하는 등 향후 무설치형 전자금융거래 환경조성 가능성이 높아, 금융보안원에서 운영중인 이상금융거래정보 공유 실무협의체에서 FDS 공유정보 유형의 다양화에 대한 세부사항을 논의할 예정(’17.3월)입니다.

□ 권역별(카드/증권/은행, PG, 간편결제 사업자군) FDS 협의체 운영 통합의 경우, 각 권역별로 제공하는 대고객 서비스가 달라 이에 따른 사고유형 및 활용 가능한 정보가 다르고, 금융회사의 FDS 도입·운영 기간이 대부분 1~2년 정도로 짧아, 금융보안원에서 운영중인 이상금융거래정보 공유 실무협의체의 운영 성숙도를 높인 후에 권역 통합을 고려하는 것이 적절한 것으로 보입니다.

관련 법령

11. 개인신용정보>개인신용정보 관리

연결

매칭된 조문이 없습니다.

더 찾아보기

기관 원문

법적 효력은 발행기관 원문에 있으며 본 페이지는 참고용입니다.

다음 탐색