[핀테크 열풍] ‘기밀·무결·가용’ 정보보안 3대요소 강화 필수

금융당국, PCI-DSS 인증 취득 요구… 금융사, 생체인식 기술 상용화 잰걸음

편의성이 최대 장점인 핀테크는 상대적으로 보안성이 취약한 단점을 안고 있다. 일부 비트코인 거래소가 해킹으로 인해 파산하기도 했고 일부 카드사와 은행의 경우 개인고객 정보가 유출돼 골머리를 앓기도 했다.

핀테크는 ‘금융(Finance)’과 ‘기술(Technology)’이 합쳐진 금융서비스로, 태생적으로 기술보안 관련 문제를 가진 시스템이다. 특히 결제, 송금, 크라우드펀딩과 절대적으로 밀접한 관련이 있기 때문에 보안의 취약성은 곧 핀테크의 존폐와 직결된다.

최근 악성코드 기술을 활용해 정보를 탈취하는 방법이 큐싱과 파밍, 스미싱 등으로 변모하고 있으며, 공격 기법이 무작위적 피싱에서 맞춤형으로 바뀌고 있다. 안랩에 따르면 국내 모바일 악성코드 탐지 수는 2012년 26만건에서 2014년 143만건으로 증가, 2년간 444% 가까이 늘었다.

이에 따라 핀테크 활성화의 선결 과제로 기밀성(정보유출 금지), 무결성(정보 위변조 방지), 가용성(정보의 사용)이라는 정보보안 3대 요소가 꼽힌다. 인증방식을 다양화하고, 생체인식 정보를 활용하는 등 전체적인 보안 수준을 강화해야 한다는 것이다.

현재 금융당국은 핀테크 사업의 보안 요구 수준으로 지불카드 산업의 정보보안표준인 PCI-DSS(Payment Card Industry-Data Security Standard) 인증을 취득하게 하고, 이상금융거래탐지시스템(FDS) 도입을 의무화하도록 하고 있다.

PCI-DSS란 카드정보 해킹 및 도난 분실 사고로부터 고객의 신용카드 정보를 보호하기 위해 국제브랜드사(VISA, Mastercard 등)가 공동으로 마련해 운영하는 카드 산업 보안 표준이다. 국내에는 KG이니시스와 페이게이트, LG유플러스, 한국사이버결제 등이 관련 인증을 마쳤다.

여기에 최근 핀테크 관련 기업과 은행들은 국내 공인인증서를 대체할 수 있는 ARS인증과 SMS인증을 넘어서 지문, 홍채, 안면인식 등 생체인식 시스템을 도입하며 보안 강도를 높이고 있다.

인증 방법은 인증 요소에 따라 크게 네 가지로 분류하며 지식기반 인증, 소지기반 토큰 인증, 생체기반 인증, 특징기반 인증 등이다.

국내 금융사들은 지문인식 방법을 중심으로 생체인식 기술을 도입했거나 상용화 여부를 시험 중이다. 우리은행이 2001년 국내 은행 최초로 지문인증 방식을 도입했으며 KB국민은행과 NH손해보험, 새마을금고 등이 지문을 이용해 내부 직원 전산시스템 접근을 제어하고 있다.

외국의 경우 일본 도쿄 미쓰비시 UFJ은행과 오가키교리츠 은행 등은 손바닥 정맥인식 기술을 도입했으며, 영국 바클레이즈 은행과 일본의 미즈호, 미쓰이스미토모, 리소나 은행 등은 손가락 정맥인식 기술을 활용 중이다.