- 리테일영업총괄부·경영감사팀 신설…데이터 영업·내부통제 강화 나서
- 외주 개발업체 직원 과실로 연계정보(CI)·닉네임 1만7551건 유출
- “디지털 금융 시대 내부통제 범위, 은행 밖 협력업체까지 확대”
우리은행이 데이터 기반 영업과 내부통제 강화를 위한 조직개편을 발표한 가운데 외부 개발업체를 통해 고객 연계정보(CI)와 닉네임 1만7551건이 유출되는 사고가 발생했다.
이름이나 주민등록번호, 계좌번호 등이 아닌 CI와 닉네임이 유출된 만큼 금융권에서는 일반적인 개인정보 유출 사고와는 성격이 다르다는 평가가 나온다. 다만 디지털 금융 사업 확대 과정에서 외부 협력업체 관리가 새로운 내부통제 과제로 떠오르고 있다는 분석도 제기된다.
◇ 내부통제 조직 키웠지만…사각지대 된 외주업체
3일 금융권에 따르면 우리은행은 기존 개인영업전략부와 부동산금융부, 채널전략부, 마이데이터플랫폼부를 통합한 리테일영업총괄부를 신설했다.
리테일영업총괄부는 고객 데이터 분석을 기반으로 리테일 영업 전략을 수립하고 추진하는 컨트롤타워 역할을 수행한다. 기능 간 유기적인 연계를 통해 고객 맞춤형 금융서비스를 제공하고 영업 현장 지원을 강화한다는 계획이다.
내부통제 기능도 강화했다. 우리은행은 기존 본부감사부가 담당하던 글로벌 검사 기능을 검사총괄부로 재편해 국내외 영업조직 검사 기능을 일원화했다.
또 본부감사부 내에는 주요 경영 현안에 대한 적정성을 검증하고 현황을 점검하는 경영감사팀을 신설했다.
우리은행은 이번 조직개편에 대해 “데이터 기반 영업 경쟁력과 내부통제 역량을 균형 있게 강화하는 데 초점을 맞췄다”고 설명했다.
하지만 같은 날 외부 개발업체를 통한 고객 정보 유출 사실도 확인됐다.
◇ CI는 무엇이고 왜 개인정보인가
이번에 유출된 정보는 고객 연계정보(CI)와 닉네임이다.
CI는 ‘Connecting Information’의 약자로 온라인 서비스 간 동일인을 식별하기 위해 사용하는 암호화된 정보다. 이름이나 주민등록번호를 직접 공유하지 않고도 동일 고객 여부를 확인할 수 있도록 만든 일종의 디지털 식별자다.
CI 자체만으로 특정 개인을 식별하기는 어렵다. 다만 다른 개인정보와 결합될 경우 개인 식별이 가능해질 수 있어 개인정보보호법상 개인정보로 분류된다.
우리은행 역시 “유출된 닉네임은 고객이 임의로 설정하는 별칭으로 회원 ID나 로그인 계정 정보는 아니다”라며 “연계정보(CI)는 온라인 서비스 간 동일인을 식별하기 위한 암호화된 정보로, 다른 정보와 결합되지 않는 이상 특정 개인을 식별하기 어렵다”고 설명했다.
이번 정보는 우리은행이 2024년 대체불가토큰(NFT) 플랫폼 구축 프로젝트를 진행하는 과정에서 외부 개발업체에 제공한 데이터였다.
프로젝트 종료 이후에도 업체 직원이 관련 정보를 임의 보관하다 개발자 플랫폼에 공유하면서 외부 유출로 이어졌다는 것이 우리은행 측 설명이다.
우리은행은 지난달 30일 유출 사실을 인지한 직후 정보 접근을 차단하고 개인정보보호위원회 신고를 완료했다. 현재까지 정보 확산이나 악용 사례는 확인되지 않았다.
금융권에서는 마이데이터와 토큰증권(STO), 디지털 자산 사업이 확대될수록 내부통제 범위 역시 은행 내부를 넘어 외부 개발업체와 협력사 관리까지 확장될 수밖에 없다고 보고 있다.
특히 이번 사례는 전통적인 금융사고 예방 중심의 내부통제를 넘어 데이터 위탁과 보관, 폐기 등 디지털 생태계 전반을 관리하는 체계로 내부통제 개념이 확장되고 있음을 보여준 사례라는 평가가 나온다.
답글 남기기