全카드사 통틀어 처음…롯데카드, 해킹사고 후 ‘절치부심’

정보보호 투자액 및 전담 인력, 법적 권고치 상회
대규모 보안 투자 계획, 성실히 이행 중

/롯데카드

지난해 대규모 해킹사태를 겪은 롯데카드가 업계 최초로 정보보호 자율공시에 참여했다. 공시 의무 대상이 아님에도 정보보호 투자 금액, 전담 인력 현황 등을 공개하면서 정보유출 사고 이후 보안 강화와 신뢰 회복에 속도를 내는 모습이다. 다음달 금융당국의 제재 결과 발표를 앞두고 정보보호 개선 의지를 대외적으로 드러내고 있다는 분석이다.

1일 한국인터넷진흥원(KISA) 정보보호공시종합포털에 따르면 롯데카드는 지난해 정보보호부문에 125억 7377만원을 투자했다. 이는 전체 정보기술부문 투자액(1283억 6954만원)의 9.8%로, 전자금융거래법상 가이드라인 7%를 웃도는 수준이다.

정보보호 전담 인력도 총 36.5명(내부 28.1명, 외주 8.4명)으로, 전체 IT인력 383.4명의 9.5%를 차지했다. 정보보호산업법 시행령 및 금융당국 가이드라인상 정보보호 전담인력 비율 권고기준은 IT 인력의 5% 이상으로, 롯데카드의 전담 인력은 두 배에 달한다.

롯데카드는 지난해 9월 해킹 사고로 고객 297만명의 정보가 유출된 바 있다. 이에 롯데카드는 향후 5년간 정보보호 분야에 1200억원 규모를 투입하고, IT 전체 예산 가운데 정보보호 비중을 현재 10% 수준에서 15%까지 확대하겠다는 계획을 밝혔다. 이번 공시를 통해 계획을 성실히 수행하고 있음을 입증한 것으로 보인다.

정보보호 투자뿐 아니라 내부통제에도 노력을 쏟고 있다. 임직원 정보보안 교육과 정보보호위원회 정기 회의 진행, 내부인증체계(FIDO) 강화 솔루션 도입, 침해사고 대응훈련 등을 통해서다. 특히 IT 재해복구 모의훈련 등 점검 시스템도 마련했다.

임직원들의 보안의식 제고를 위한 정기 점검도 함께 진행 중이다. 매월 '정보보호의 날' 기간을 지정해 정보보호의 중요성을 상기하고 있다. 또 'LOCA SECU Letter(로카 시큐 레터)'게시를 통해 임직원들은 월마다 발생한 정보보안 관련 이슈들을 공유하고 있다. 내부 불시 보안점검도 꾸준히 진행 중이다.

롯데카드는 해당 사고로 금융위원회의 제재를 앞두고 있다. 당초 영업정지 4.5개월 및 과징금 50억원의 중징계안이 결정된 바 있지만, 재논의를 거쳐 다음달 중순 이후 최종 결과가 확정될 것으로 전해진다. 제재 수위가 어떻게 결정되냐에 따라 롯데카드 영업에 막대한 영향을 줄 수 있어 주목된다.

한편 정보유출 사고가 있었던 우리카드 및 신한카드를 비롯해 여타 카드사들은 전날 마감된 정보보호 자율공시에 참여하지 않았다.

롯데카드 관계자는 "해당 공시가 의무 대상은 아니지만, 정보보호 현황을 투명하게 공개하고, 책임감 있게 정보보호를 이행하기 위해 카드사 중 처음으로 자율 공시했다"고 설명했다.