2009.3.15에 한국은 “은행감독에 관한 바젤 위원회(Basel Committee on Banking Supervision)” 회원국이 되었습니다. 은행 감독의 글로벌 스탠더드를 한국도 준수하겠다는 의지의 표명이라고 생각합니다.

바젤 위원회는 “전자금융 위험관리 원칙(Risk management principles for electronic banking)“을 제정한 바 있습니다. 금감원은 자신들도 이 위험관리 원칙을 준수해야 하고, 공인인증서/전자서명 사용을 강제하는 것도 바젤 위원회가 채택한 전자금융 위험관리 원칙에 근거한 것이라는 주장을 내세우고 있습니다.

우선 신기한 것은 바젤 위원회 회원국 어디에서도 한국처럼 인증서/전자서명 사용을 “강제”하는 곳은 없다는 사실입니다. (한국을 괜히 “IT갈라파고스”라고 하겠습니까?) 그래서 좀 더 찾아보니, 바젤 위원회의 위험관리 원칙에는 다음과 같은 내용이 있습니다 (pp. 13-14).

은행은 PIN, 암호, 스마트카드, 생체정보, 디지털인증서 등을 포함한 다양한 인증 기법을 사용할 수 있다.
…
어떤 인증 기법을 사용할 것인지는 전자금융 시스템 전반 또는 각 구성 부분이 제기하는 위험에 대한 경영진의 평가에 기초하여 은행이 결정하여야 한다.

은행의 결정권을 박탈하고, 금감원이 특정 인증 기법(디지털인증서는 여러 인증 기법 중 하나에 불과합니다)의 사용을 은행에게 강제하는 것은 바젤 위원회의 위험관리 원칙을 따른 것이 아니라, 그 원칙에 정면으로 반하는 것입니다.

바젤 위원회의 위험관리 원칙에는 더욱 명시적으로 다음과 같이 설명되어 있습니다(pp. 6-7):

본 보고서는 구체적 위험에 대비한 특정 기술 해법을 강제하거나 전자금융 거래의 기술 표준을 정하려는 것이 아니다. 기술적 사안은 금융기관들과 각종 표준화 기구들이 기술 진보에 상응하여 지속적으로 대처할 사안이다… 이런 이유로, 본 위원회는 전자금융 위험관리를 “한가지 획일적 해법으로” 대처하는 것이 적절하다고 믿지는 않는다.

금감원은 인증 기술에 관한 표준화 기구도 아니므로, 여러 인증 기술 중 특정 인증 기술을 “기준”으로 정하여 은행들에게 그 사용을 강요하는 것은 바젤 위원회의 원칙에도 어긋나며, 특정 인증 기술을 “사용하여야 한다”는 내용은 “가이드라인”이라는 명칭의 문건에 포함되기 적절한 것도 아닙니다.

어째서 금감원은 금융 감독에 관한 국제 기구가 채택한 원칙을 왜곡/오역까지 해가며 특정 인증 기술의 사용을 집요하게 강제하고 있는지 참으로 불가사의합니다. 바젤 위원회의 전자금융 위험 관리 원칙을 집필한 자들이 “아무 것도 모르고” 마구 적어댄 것도 아닐것 같고, 적어도 이 분야에서는 국제적으로 전문성을 인정받는 분들이 세심하게 작성한 문서일텐데…

뭔가 우리가 알지 못하는 큰 이해관계가 걸려 있다는 생각이 점점 드는 요즈음 입니다. 그렇지 않고서야 거의 이성을 잃은 것처럼 이렇게 특정 기술 사용을 강제하려들 이유는 상식적으로 없습니다.

공인인증서를 “사용하지 말자”는 것도 아니고, 그것을 사용하고 싶은 은행은 사용하고, 다른 인증 기술을 사용하고 싶은 은행은 다른 선택을 하도록 “허용”하자는 것인데. 허용하기만 하면 아무도 공인인증서는 거들떠 보지도 않을까봐 겁이 나는가 보죠? 공인인증서의 안전성/우월성에 대하여 그렇게 자신이 없나요?

오픈웹이 게시한 바젤 위원회의 위험관리 원칙 파일을 내리라고 하지나 말았으면 좋겠네요.