[디깅노트] 한양증권 해킹, 책무구조도는 작동했나

본문

한양증권의 개인정보 유출 사고는 외부 솔루션을 사용하는 금융회사의 책임 범위를 다시 꺼내 들었다. 한양증권은 이번 사고가 다우기술이 공급한 그룹웨어 솔루션의 보안상 문제로 발생한 것으로 파악하고 있다. 공급사의 기술적 취약점이 침입 원인을 설명할 수 있어도 고객정보를 보유하고 해당 시 공급사의 기술적 취약점이 침입 원인을 설명할 수 있어도 고객정보를 보유하고 해당 시스템을 업무에 활용한 한양증권의 관리영역까지 대신 설명해주지는 못한다. 한양증권은 10월28일 관련 해킹 보도를 확인한 직후 다우기술에 사실관계 확인을 요청하고 접근 차단과 자체 점검에 착수했다. 29일 자체 로그 분석 과정에서 이상 징후를 발견했고 같은 날 정보 유출 사실을 확인했다. 고객정보 15건과 임직원 관련 정보 2건, 일반 개인정보 14건이 포함됐다.

공격자가 어떤 취약점을 이용했는지와 별개로 금융회사가 개인정보를 어떤 형태로 보관하고 접근권한을 어떻게 통제했는지는 한양증권 내부통제의 영역이다.

유출 건수가 31건에 그쳤다는 사실도 주민등록번호와 계좌번호가 포함됐다는 정보의 민감도를 낮춰주지는 않는다. 6월17일에는 임원 책무구조도안을 승인했고 9월17일에 책무구조도 관리시스템 구축 사실을 대외적으로 알렸다. 책무구조도는 이런 업무별 책임을 사고 전에 나눠놓기 위해 도입했다. 책무구조도는 사고가 난 뒤 책임을 설명하기 위한 문서가 아니라 사고가 나기 전 누가 무엇을 관리했는지를 남기는 장치다. 공급사의 기술적 취약점이 침입 원인을 설명할 수 있어도 고객정보를 보유하고 해당 시스템을 업무에 활용한 한양증권의 관리영역까지 대신 설명해주지는 못한다.한양증권은 10월28일 관련 해킹 보도를 확인한 직후 다우기술에 사실관계 확인을 요청하고 접근 차단과 자체 점검에 착수했다.