외주직원에 의한 고객정보 유출 가능성 미리 지적돼
"예견된 사고…부실대책, 솜방망이 처벌 반복 않아야"
KB국민·롯데·NH농협카드가 개인정보 유출한 시점 이전부터 금융당국에 의해 개인정보유출의 위험성이 확인됐었다는 주장이 제기됐다.
이에 따라 금융당국의 관리부실 문제와 해당 카드사들의 미온적 대응 등이 도마 위에 오를 전망이다.
18일 민주당 강기정 의원이 금융감독원으로부터 제출받은 자료에 따르면 KB국민카드, 롯데카드, NH농협카드는 정보유출 직전 실시한 종합검사 및 IT 부문검사에서 외주직원에 의한 고객개인정보 유출 위험성을 지적받았던 것으로 드러났다.
금감원은 지난 2012년과 2013년 농협은행(NH농협카드), KB국민카드, 롯데카드 등에 대한 종합검사와 IT부문검사를 각각 실시해 개인정보보호와 관련된 항목에서 개인정보보호 강화 및 개선 조치를 각 회사에 전달했다.
금감원은 2~3년 주기로 금융회사들을 대상으로 경영에 관련된 전반적인 사항과 전산시스템의 구축과 운영 등 정보기술 경영 및 IT감사 등에 대해 종합검사를 실시하고 있다. 아울러 IT부문만을 대상으로 한 'IT부문검사'는 비정기적으로 실시된다.
당시 금감원이 카드 3사에 요구한 내역을 살펴보면, 2012년 농협은행(NH카드)의 경우 ▲외부메일을 통한 송·수신을 모두 허용해 이메일을 통한 개인정보 유출 우려 ▲외부메일에 대한 통제 및 모니터링 강화 ▲정보보호최고책임자(CISO)의 지정과 역할 부여 등이 있었다.
이어진 2013년 IT 부문검사에서는 ▲전반적인 IT운영업무 수탁업체에 대한 통제·관리 소홀로 전산장애 사고가 발생 ▲'을'의 위치에 있는 농협은행이 '갑'의 위치에 있는 농협중앙회에 IT업무를 위탁하는 비정상적인 구조 지적 ▲외주 인력에 대한 관리와 통제 허술 등을 지적했다.
2012년 KB국민카드의 경우 IT부문검사에서 ▲외주용역직원에게 업무수행에 필요한 고객정보 접근권한 보다 과도한 권한 부여 ▲ 원 PC 또는 단말기 등에 고객정보 저장여부 모니터링 및 사후점검 실시 요구 ▲ 객정보 검색 및 조치 결과에 대한 정기적 모니터링 및 점검 등이 요구됐다.
2013년 롯데카드에 대한 종합검사에서는 ▲전산 상품·용역 구매 시 수년간 그룹 계열사인 롯데정보통신과 수의계약을 체결 경쟁 입찰로 개선 요구 ▲ 규상 IT 정기감사를 매년 실시하도록 규정하고 있음에도 불구하고 2010년과 2011년에 정기감사 미실시 등이 지적됐다.
이에 대해 강기정 의원은 "이번 카드사 개인정보 유출은 금감원 검사 결과 이미 예견됐던 사고였다"면서 "금융당국의 부실대책, 솜방망이 처벌이 반복되지 않도록 보다 철저한 원인규명과 재발방지 대책이 나와야 한다"고 주장했다.
