증권사 전자금융 보안기준 강화

온라인 거래시 OTP·PKI 적용 등 의무화



전자금융거래의 보안기준이 강화된다.
3일 증권 및 관련업계에 따르면 최근 금감원이 전자금융거래의 보안기준 강화방안을 마련하고 업계 의견수렴에 들어갔다.

금감원, 증권유관기관, 증권사 등이 참여한 ‘전자금융거래의 안전성 제고를 위한 TF’에서는 최근 금융사고의 예방차원에서 보안기준 강화방안을 마련했다.

이 보안기준 강화방안에는 증권카드의 위·변조 방지대책, 해킹 및 바이러스 공격 예방대책, 주문자료의 암호화 등이 포함됐다.



■ 증권카드 위·변조 확인시스템 구성
모든 증권카드에는 계좌비밀번호 등의 기록이 금지된다.

하지만 고객 본인임을 확인할 수 있는 비공개된 일정자리 이상의 숫자를 의무적으로 기록해야 한다. 증권카드 거래시 전산시스템의 프로그램과 데이터, 카드에 기록된 숫자를 대조해 위·변조 여부를 체크하게 된다.

신규로 발행되는 증권카드는 카드발급 일련번호, 발급횟수, 발급일자 등의 정보를 이용해 이중으로 위·변조를 확인할 수 있는 시스템을 구성해야 한다.

또 이미 발급된 증권카드 중 전산시스템에서 유효성을 검증할 수 있는 숫자 등으로 검증할 수 없는 증권카드는 시행일 이후 3개월 이내 자동화기기에 의한 사용이 중지된다.

증권카드를 이용한 입출금거래시 계좌비밀번호를 일정횟수 이상 잘못 입력할 경우 카드 사용을 정지시켜야 한다.



■ 온라인 거래에 암호화 의무 적용

바이러스 공격과 특정금융기관에 대한 취약점 분석을 통한 공격 등에 대비해 보안관련 최신 패치프로그램을 즉시 설치하도록 조치하고 자체 감사실을 통해 적정여부를 점검해야 한다.

증권사등은 보안관리 담당자를 2명이상 두도록 조치할 예정이며, 이 담당자들은 해킹예방을 위한 전담교육기관에 3개월 이상 교육을 1회이상 받아야 한다.

홈트레이딩시스템(HTS), PDA등을 통한 무선주문전용단말기 등의 정보도 공개키기반구조의 암호화가 의무화된다.

또 온라인거래시 일회용 비밀번호(OTP)사용도 의무화된다.

이러한 일회용비밀번호는 지점에서만 지급되며 출금이체, 공인인증서 등의 발급 등에 사용하게 된다.

신규 또는 안전카드 부족으로 일회용 비밀번호를 도입할 경우에는 난수표의 숫자가 제3자에게 노출되지 않도록 스크래치방식의 안전카드를 사용해야 한다.



■ 내부통제로 주요정보 유출방지

지점의 영업업무에는 해당지점에 한해 지점공통 비밀번호로 조회업무만 수행할 수 있으며 직원별로 작업가능한 화면이 제한 관리 돼야 한다.

물론 타지점의 계좌 및 거래정보는 다른 부서 등에서 조회, 주문, 출금, 이체 등의 업무를 할 수 없도록 통제된다.

전산관리 부서의 직원이 사용하는 모든 비밀번호는 월 1회이상 정기적으로 변경돼야 한다.

사이버 거래 등을 위한 회원가입은 반드시 지점을 통해 가능하며 온라인상에서 가입은 금지된다.

하지만 온라인전문증권사는 온라인상에서 본인여부를 확인할 수 있는 정보사항을 확인한후 회원가입이 가능하다.

일부 영업점 등에 운영되는 사이버룸은 네트워크와 통신망 등은 분리돼야 한다.

또 이메일, 메신저 사용 등도 통제된다.



장시형 기자 zang@fntimes.com