[DB보안] 고객정보 유출 카드사, 영업정지 기간 및 과징금 대폭 증가 (6개월, 1억원)

금융위원회, 개인정보보호법, 여신전문금융업법, 개인정보 과징금, 개인정보 영업정지, 카드사 영업정지, 국민카드, 롯데카드, 농협카드, TDE, HSM, 오라클, 데이터베이스, DB보안, 오라클 TDE , FIPS 인증, 데이터베이스 보안, 탈레스, Thales HSM, nCipher, 개인정보유출사고, 개인정보유출사고사례

빠르면 올해 5월부터 개인정보를 유출한 카드회사는 최대 6개월 간 영업 활동이 정지되는 등의 개인정보 유출사고에 대한 처벌이 대폭 강화됩니다. 24일 열린 국무회의 에서는 지난해 3월에 발표된 개인정보 보호 종합대책의 후속조치 등을 담을 여신전문금융업법 시행령 개정안을 통과시켰습니다. 

금융위원회에서 발표한 여신전문금융업법 시행정 개정안에는 개인정보보호 종합대책 후속조치, 비카드여신전문금융회사 지배구조개선, 소비자보호 강화 등을 내용을 포함하고 있습니다. 금융위원회에서는 "신용카드업자가 개인정보유출 등의 신용질서를 어지럽히거나 소비자보호에 미흡할 경우 제재수순을 법상 최고수준으로 강화했다" 고 밝혔습니다.

개정된 법안에서는 신용카드사가 소비자 개인정보 보호에 미흡하거나 관련 사고를 일으킨 경우에는 최대 6개월간 영업이 정지되고 1억원의 과징금이 부과되는 등의 기존보다 처벌의 수위가 높아집니다. 기존에 처벌 강도는 최대 3개월 영업정지와 5천만원의 과징금으로 기존보다 약 2배 이상의 제재가 가해진다고 볼 수 있습니다.

개인정보 접근권한에 대한 통제 수단 미흡도 문제지만 결정적으로 이러한 중요 정보들이 전혀 암호화되지 않은채 쉽게 유출되었다는 사실은 전 국민에게 충격으로 다가왔습니다. 특히 가장 민감한 개인신용거래정보와 근간을 이루는 각종 개인정보를 국내 메이저 금융업체에서 암호화도 하지 않고 방치하였다는 사실은 국내 DB보안의 허술한 관리 실태를 잘 나타내주고 있습니다. 

이를 근본적으로 해결하기 위해서는 DB암호화를 통해 DB가 유출되더라도 절대 해독할 수 없게 암호화하는 것이 반드시 필요합니다.

※ 참고 자료 : 2014년도 카드회사 개인정보 대량 유출사건

개 요

2013년 6월 경 KCB 신용평가사 직원 한 명이 카드사로 파견을 나가 주요 카드사 (국민, 롯데, 농협)의 고객 개인정보를 유출시켜 대출광고업자와 대출모집인에게 정보를 넘겼다. 하지만 카드사는 7개월동안 인지를 못하였다가 2014년 1월에 검찰의 발표로 알려지게 되었다. 그리고 KCB 신용평가사 직원과 정보를 구입한 대출광고업자를 검찰에 구속 기소하고 정보를 구입한 대출모집인을 불구속 기소하였다. 

피해와 후속조치

이로 인해 대한민국 국민 2명 중 1명꼴로 개인정보가 유출되는 큰 피해가 발생하였다.

KB국민카드 : 5,300만 건 유출

롯데카드 : 2,600만 건 유출

NH농협카드 : 2,500만 건 유출

중복을 제외한 피해 고객 수 : 2,000만 명

카드사들은 즉시 사과문을 올리고 개인정보 유출 여부를 확인할 수 있게 하였으며, 카드사들은 부정 사용 될 시 전액 보상을 하겠다고 발표하였다. 또, 금융감독원은 비 카드사인 16개 금융회사로부터 불법유출된 것으로 의심되는 개인정보 건수는 127만건이며, 중복을 제외한 고객수는 약 65만명 수준이라고 설명했다.

1월 20일, 손경익 NH농협카드 부사장, 심재오 KB국민카드 사장, 박상훈 롯데카드 사장 등이 이 사건에 책임을 지고 모두 사표를 냈다.

한편, 소비자 100여명이 1월 20일 첫 집단 소송을 제기하였다. 금융소비자연맹도 공동소송을 위한 피해자를 모집하고 있어 카드사 책임을 묻는 소송이 잇따를 전망이다. 고객정보가 유출된 카드3사는 2014년 2월 17일부터 그 해 5월 16일까지 부분 영업정지 처분을 받았다.

※ 최근 5년간 주요 금융회사 개인정보 유출사고 현황 <자료 : 금융감독원, 창원지검>

많은 기업들이 사용하고 있는 Oracle 서버에서 안정적인 암호화 방법으로 최근에는 Oracle TDE 방식에 HSM을 연동하는 방식을 많이 도입하고 있습니다.

TDE + HSM방식은 통합된 암호화 기능으로 데이터 유출을 방지하고 최상의 보안 등급으로 데이터베이스를 보호할 수 있으며 암호화에 따른 성능저하도 방지할 수 있습니다. 세계적인 보안솔루션 기업 Thales E-security의 HSM인 nCipher HSM은 국내 최고의 MRO기업인 아이마켓코리아에서 유통하는 HSM 보안 솔루션 제품으로 최상의 보안 표준인 FIPS 인증을 받은 제품입니다.

어렵고 까다로운보안 환경에서도 중요한 데이터를 안전하고 보호할 수 있으며, 고도의 보안 환경에서 입증되어 공공분야 및 보안에 민감한 조직에 적합하며, 전문가의 검증을 통해 법규 및 규제를 준수해야하는 조직에 적합합니다.

또한, 데이터베이스 암호화의 접근제어를 통해 보안 운영자와 관리자의 역할을 구분하여 정책을 적용할 수 있습니다. 

1. 하드웨어 키 보호 기능 - TDE 마스터 키의 복제 방지를 위하여 변경이 불가능한 환경에서 안전하게 저장하는 기능

2. 철저한 키 관리 - 스마트카드 인증으로 키의 접근을 철저하게 통제

3. 안전한 관리 - 다양한 위협에 취약한 서버관리자들에 대한 의존 제거

Thales HSM nCipher는 오라클 11g와 원활하게 통합할 수 있는 장점이 있으며 TDE와의 구성 절차가 테스트 완료되어 문서화 되어 있습니다.

1. 원활한 적용 - nCipher와 Oracle의 철저한 테스트를 완료하여 고급 보안 옵션과 신속한 적용을 지원합니다.

2. 쉽고 빠른 연동 - TDE와 구성이 테스트 완료되어 완벽한 문서화를 지원합니다.

nCipher HSM은 웹 및 애플리케이션 서버를 포함한 선도기업의 애플리케이션, 데이터베이스 및 공개키 기반 구조와 처음부터 쉽게 연동할 수 있습니다. 

1. 가상 환경 지원 - nCipher의 네트워크 기반의 HSM을 사용하여 가상 서버 상에 하드웨어 기반의 키 저장소를 추가할 수 있습니다.

2. 뛰어난 성능 - 하드웨어 가속화로 암호화 처리에 따른 병목 현상을 제거할 수 있습니다.

3. 장애 조치 기능 - 하나의 nCipher HSM에서 장애가 발생할 경우 자동으로 다른 HSM에서 완벽하게 대체할 수 있습니다.

4. 비용효율적인 자원 - 다수의 서버에서 nCipher 네트워크 기반의 HSM을 공유함으로써 하드웨어 라이센스 및 운용 비용의 절감효과를 가져올 수 있습니다.

Oracle 11g 고급 보안 옵션은 nCipher HSM 지원하고 TDE 마스터 키를 안전하게 관리할 수 있습니다. 

환경설정은 아래와 같이 가능합니다 

1. nCipher netHSM  - 네트워크 기반 모듈

2. nCipher nShield - 단독 서버의 PCI/PCIe 인터페이스 카드 

※ Microsoft windows, Sun Solaris, HP-UX, IBM AIX 및 Linux로 운영되는 서버의 암호화 서비스를 제공합니다.

추가로 Thales HSM의 오라클 암호화 방식에 대한자세한 사항은 아래를 참고해주시기 바랍니다.

참고자료 : Orcale 암호화 방식의 차이 http://itblog.imarketkorea.com/41

            오라클(Oracle) DB 암호화 방법 - TDE와 HSM http://itblog.imarketkorea.com/21

※ 체크사항 : TDE + HSM을 사용하기 위해서는 반드시 오라클 11g R2 버전으로 마이그레이션을 해주어야 합니다. (HSM 11g R2 이하 버전, 컬럼 암호화 방식을 지원하지 않으므로 반드시 HSM 도입전 오라클 11g R2 버전 이상으로 업그레이드 해주시기 바랍니다.

Thales HSM 제품 관련 문의는 아래의 아이마켓코리아 보안장비 담당자에게 연락 주시면 친절하게 상담해드립니다.

(견적 및 도입문의 등)