핀테크 기업이 알아야 하는 금융보안원 eKYC 가이드라인

핀테크 기업이 알아야 하는 금융보안원 eKYC 가이드라인

‍

금융보안원은 금융권의 보안을 전담하는 기관으로 핀테크 기업의 보안 관리체계 마련과 점검을 지원합니다. 비대면 금융 서비스가 확산되면서 전자적 고객신원확인 시스템의 보안성 확보가 더욱 중요해졌습니다. 금융위원회가 제시한 비대면 실명확인 가이드라인에 따르면 금융회사는 5가지 확인 방법 중 2가지 이상을 중첩하여 사용해야 합니다. 실명확인증표 사본 제출과 영상통화 또는 안면인식 기술 활용과 접근매체 전달과정 확인과 기존 계좌 활용과 기타 준하는 방법이 이에 해당합니다. 금융실명제 시행 후 오랫동안 유지해 온 대면 확인 원칙이 변경되면서 비대면 실명확인을 이용한 계좌개설이 지속적으로 증가하고 있습니다.

‍

핀테크 서비스 취약점 점검 체계

‍

금융보안원은 핀테크 기업을 대상으로 핀테크 서비스 취약점 점검을 실시합니다. 취약점 점검은 웹 4개 분야 12개 항목 40개 세부항목과 모바일 5개 분야 17개 항목 48개 세부항목으로 구성됩니다. 모바일 앱의 경우 중요정보 보호와 거래정보 위변조와 클라이언트 보안과 서버 보안과 인증 등을 점검받습니다. 금융보안원에서 개발한 점검도구를 이용하여 원격으로 테스트가 진행되며 점검 수행 및 결과 정리는 약 2주의 시간이 소요됩니다. 핀테크 기업은 이 점검항목을 기준으로 개발 보안 요건을 도출해야 합니다.

‍

안면인식 기술 도입 시 체크리스트

‍

비대면 실명확인 가이드라인에서는 안면인식 기술을 영상통화의 대체 수단으로 허용합니다. 안면인식 기술은 실명확인증표의 사진과 고객이 촬영한 얼굴 사진을 대조하여 거래자 본인 여부를 확인하는 방식입니다. 금융기관이 안면인식 솔루션을 도입할 때는 솔루션의 정확도와 안정성과 사용성과 보안성을 종합적으로 검토해야 합니다. 조명과 각도와 사용자 변화 등 다양한 환경 조건에서도 얼굴 인식이 일관되게 유지되는지를 확인합니다. 글로벌 얼굴인식 테스트 인증 여부와 라이브니스 탐지 기능 보유 여부도 중요한 검토 사항입니다.

‍

금융결제원 신분증 안면인식 공동시스템

‍

금융결제원은 금융회사의 비대면 실명확인 시 신분증 도용 여부를 확인할 수 있도록 신분증 안면인식 공동시스템을 구축했습니다. 금융위원회 금융 분야 보이스피싱 대응방안에 따라 비대면 계좌개설 시 본인확인 절차를 강화하기 위해 추진되었습니다. 고객이 스마트폰으로 촬영한 신분증 사진과 본인 얼굴 사진을 제출하면 시스템을 통해 사진 특징점을 추출하고 비교합니다. 신분증 안면인식 서비스를 이용하는 금융회사는 계좌개설 등 비대면 실명확인 업무에 동 서비스를 적용해 금융사고를 사전 예방합니다. 공동시스템 활용 여부는 금융회사의 자율적인 선택사항입니다.

금융보안원의 보안성 평가와 인증

‍

금융보안원은 전자금융감독규정에 따라 금융기관의 보안체계를 정기적으로 평가합니다. 전문가로 구성된 평가단이 금융기관에 직접 들어가 보안체계 구축 여부를 평가하는 것입니다. 개인정보보호위원회로부터 금융회사 대상 정보보호 관리체계 인증 및 인증심사를 수행하는 민간 인증기관으로 지정되어 동 업무를 수행하고 있습니다. 클라우드 서비스 제공업체 안전성 평가도 금융보안원의 주요 업무로 금융 영역에 공통적으로 필요한 평가항목을 정하고 있습니다. 금융보안원의 평가를 완료하면 금융기관이 클라우드를 도입할 때 절차를 크게 단축할 수 있습니다.

금융보안 교육과 전문인력 양성

‍

금융보안원은 금융회사 임직원을 대상으로 금융보안과 기술 등을 주제로 온라인과 오프라인 강의를 제공합니다. 금융권 정보보호 전문자격증인 금융보안관리사 제도를 운영하고 있습니다. 금융보안아카데미를 통해 금융보안 전문인력 양성에도 힘쓰고 있습니다. 금융 산업의 디지털 전환이 진행되면서 보안 전문인력의 필요성이 더욱 커지고 있기 때문입니다. 금융보안원은 금융분야의 정보공유 분석센터 역할을 담당하며 금융권 사이버 위협정보를 원활하게 공유합니다.

‍

통합보안 관제와 침해사고 대응

‍

금융보안원은 다수 금융기관을 대상으로 통합보안 관제를 수행합니다. 디도스를 비롯한 해킹 등의 공격 징후는 금융보안원에서 먼저 캐치하여 금융기관으로 연락하는 경우가 많습니다. 침해사고 발생 시 사후 조사와 악성코드 분석과 금융회사 대상 사이버공격 대응 훈련 등의 업무를 수행합니다. 매년 높은 수준의 인텔리전스 보고서를 발표하고 있으며 해외 정보기관 등에서도 공식적으로 인용할 정도로 높은 공신력을 자랑합니다. 금융회사 대상 디도스 공격 발생 시 공격 트래픽을 우회시키고 정상 트래픽만 금융회사 홈페이지에 들어가도록 하는 디도스 공격 비상대응센터도 운영하고 있습니다.

‍

금융위원회는 온라인 금융거래 증가와 정보통신기술 발전을 감안하여 비대면 실명확인을 허용했습니다. 제도 도입 이후 비대면 실명확인을 이용한 계좌개설 건수는 지속적으로 증가하고 있습니다. 법인의 대리인인 임직원도 비대면 실명확인을 거쳐 법인 계좌를 개설할 수 있도록 가이드라인이 개편되었습니다. 외국인이 비대면으로 실명확인 후 계좌를 개설하는 경우 외국인등록증을 사용할 수 있게 되었습니다. 신분증 진위확인 서비스도 도입되어 금융회사가 비대면 실명확인 시 이용할 수 있으며 금융위원회와 금융보안원은 비대면 실명확인 가이드라인을 지속적으로 보완하고 있습니다.

‍

‍