오픈웹 소송의 ‘법리적’ 의미

약 3년 가까이 소요된 오픈웹 소송은 원고 패소로 결론이 났습니다.

이 소송은 인터넷 기반의 어떤 서비스를 제공하는 자를 상대로 해서, 이용자가 선택한 특정 이용환경에서도 서비스를 제공해 달라는 요구를 한 것입니다. 법원은 서비스 제공자에게 그러한 “법률적” 의무를 지우는 것은 적절하지 않다고 판단하였습니다.

법원의 이러한 판단은 인터넷을 기반으로 이루어지는 다양한 서비스의 기술적 특성을 고려해 볼때, 법 제도와 법원의 판결 및 행정권력을 동원해서 이래라, 저래라 하는 것은 현명하지 않다는 고려가 깔려있는 것이라고 평가합니다. 비록 현재는 어떤 이유에서건 공인인증서비스가 MS IE 에서만 제공되고 있지만, 그것도 업계의 자율적 판단에 맡겨두는 것이 옳고, 법원이나 행정권력이 개입해서 이래라 저래라 하는 것은 기술의 특성상 시대착오적인 오류만을 남길 위험이 더 크다는 예측과 우려가 작용한 것이라고 이해할 수 있습니다.

공인인증기관 스스로의 자유로운 사업판단으로 서비스 제공여부를 자율적으로 결정하면 된다는 피고의 주장을 받아들인 이번 대법원 판결이 앞으로 인터넷 기반의 여러 다양한 서비스 제공자들의 운신의 폭을 더욱 넓게 보장하고, 더 자유롭고 다양한 서비스의 등장을 촉진하는 계기가 될 수 있도록 모두가 노력하면 될 것입니다.

예를 들어, 쇼핑몰이나 금융기관의 경우에도, 각 서비스 제공자가 스스로의 자유로운 사업 판단으로 현재 전 세계적으로 통용되는 수준의 보안 조치를 취하면서 서비스를 제공하면 될 것입니다. 쓸데 없이 행정권력이나 법원이 개입해서 공인인증서를 사용하라느니, 키보드 보안 플러그인을 반드시 사용하라느니 강제하는 것은 적절하지 않습니다.

특히 공인인증서의 경우에는 공인인증기관이 그 사용에 필요한 서비스와 소프트웨어를 제공하는 환경에서는 그렇게 제공된 소프트웨어를 은행이나 쇼핑몰이 사용하면 될 것입니다. 공인인증기관이 공인인증서 사용을 지원하지 않는 환경에서는 공인인증서 없이 금융거래를 하면 되는 것입니다.

공인인증 서비스를 제공해야 할 “법률상 의무”를 지고 있는 공인인증기관(이점은 아무 논란이 없습니다)도 자유로운 사업판단으로 공인인증서비스를 제공할지 말지를 스스로 판단할 수 있다고 대법원이 판결하였으므로, 공인인증기관도 아닌 은행이나 쇼핑몰이 공인인증서 이용에 필요한 소프트웨어를 스스로 만들어야 할 “의무”가 있을 리는 없습니다.

따라서, 쇼핑몰이건, 은행이건 새로운 서비스를 보다 광범한 이용환경(예를 들어 아이폰, 아이팟, 스마트 폰 등)에서 국제 수준으로 안전하게 제공하고자 하는 곳이 있으면, 이제 아무런 부담없이 자율적이고, 국제적인 기술 수준에 맟추어 자신의 서비스를 설계하고, 보다 광범한 고객층을 상대로 국제적으로 사업을 펼치면 되는 것입니다. (MS IE 사용자에게는 지난 10년 간 해왔던 수준의 서비스를 계속 제공하면 되지 않겠습니까?)

법원이나, 행정 관료가 “법 규정”이나 “시행 세칙” 조문을 내세워 이래라 저래라 참견하고, 딴지를 거는 일은 이번 대법원 판결로 확정적으로 거부된 것이라고 생각합니다.

대법원 판결문은 http://openweb.or.kr/uploads/openweb_judgment.pdf 에 있습니다.

금융결제원 담당자 및 그 소송대리인들께 축하와 치하의 말씀을 드립니다.

, ,

트랙백. 45 Comments

오픈웹 소송 상고심 판결

대법원에 상고한 오픈웹 소송의 판결 선고 기일이 9월24일(목) 오후2시 대법원 2호법정에서 있을 예정입니다.

대법원(http://www.scourt.go.kr) 나의 사건 검색 기능을 이용하시면 확인하실 수 있습니다. (사건번호는 2009다28998, 당사자는 금융결제원을 입력하시면 됩니다)

트랙백. 32 Comments

“한국형” 보안 기술의 취약점

문제의 핵심은 “전자서명”에 있는 것 같습니다.

공무원들과 보안업체 종사자들은 전자서명이 부착된 거래가 더 안전하다는 “확신”을 가지고 있고, 지난 10여년간 한국웹은 바로 이 확신을 지탱해 주기 위하여 모든 이용자들이 ActiveX를 덕지 덕지 설치해 왔습니다.

그러나, 과연 이 “확신”이 기술적, 논리적 근거가 있는 것인지를 꼼꼼히 살펴 볼 필요가 있습니다.

첫째, 외국에는 이런 확신이 없습니다. 외국이 전자서명 기술을 몰라서, 전자서명 기술은 한국의 보안업체들만 구현할 줄 알아서, 외국은 보안이 허술해도 괜찮아서 그렇다고 생각하십니까? 한국이 “IT 강국”이라서 ㅎㅎ? 그것은 아니라고 저는 생각합니다.

둘째, 실제로 전자서명을 추가로 요구하면 과연 더 안전할까요? 엉성하고 막연하게 “그래도 없는 것 보다는 조금이라도 낫지 않겠는가”라는 식으로 얼버무릴 것이 아닙니다. 꼼꼼하게, 논리적으로 그리고 기술지식에 근거하여 따져보아야 합니다.

아래에서 언급할 키보드 보안이 만일 없다고 가정한다면, “전자서명만을 추가한다고 해서” 더 안전해 지는 것은 아닙니다. 왜그런가 하면,

  • 쇼핑고객의 컴퓨터가 이미 뚫렸다면, 인증서 개인키 파일과 개인키 암호 또한 이미 유출되어, 공격자가 그것을 확보하여 고객의 전자서명을 마음껏 만들 수 있으므로, 금융기관이 전자서명을 아무리 요구해 본들 헛발질에 불과합니다.
  • 쇼핑고객의 컴퓨터가 뚫리지 않았다면, 고객이 입력하는 정보또한 유출되지 않습니다(교신 암호화가 제대로 이루어진다면). 따라서 전자서명을 추가로 요구하는 일은 무의미한 “옥상옥”에 불과 합니다.
  • 전자서명이 “보안”에는 별 도움이 되지 않지만, 은행이 “책임”을 면하는데는 그래도 도움이 좀 될 거라고 한발 물러서시는 분들이 이제는 많이 생겼습니다. 전자서명에 대하여 그동안 가져왔던 거의 종교적 확신이 흔들리는 분들이라고나 할까요. 그러나, 은행이 책임을 면하는데 전자서명이 별 도움이 되지 않는다는 점은 지난 포스팅에서 이미 설명드렸습니다. 실제로 은행이 “전자서명이 되어 있다는 이유로” 사고 거래의 책임을 면하는데 성공한 사례도 제가 알기로는 없습니다. 있으면 댓글로 알려주시기 바랍니다.

셋째, 전자서명에 더하여 키보드 보안까지 강제하면 더 안전해 질까요? 여기서도 꼼꼼히 따져볼 필요가 있습니다. E2E 키보드 보안 어쩌구 하면서, 그것이 무슨 만병통치약인 것처럼 떠들고 있지만, 실은 별 근거가 없습니다. 그 이유는,

  • 쇼핑고객의 컴퓨터가 이미 뚫렸다면, E2E 보안을 아무리 강제해도, 인증서 개인키 파일 자체의 유출을 막을 방법은 없습니다. 인증서 암호 또한 (비록 금융사이트에 접속해 있는 동안에는 E2E 보안 플러그인이 작동하므로 개인키 암호가 유출되지 않지만) 고객이 다른 웹사이트에 접속해서 이런 저런 카페나 블로그, 이메일 계정 등에 로그인 암호를 입력할 때, 그 입력값은 고스란히 노출됩니다. 대부분의 고객들은 다양한 계정의 로그인 암호와 인증서 암호를 동일하게 지정해 두기 때문에 결국 인증서 암호까지 이 방법으로 유출되는 경우가 많고, 이것은 금융기관이 E2E 보안 아니라, 무슨 별의별 수를 써도 막을 길이 없습니다.
  • 쇼핑고객의 컴퓨터가 뚫리지 않았다면 E2E 보안은 처음부터 쓸데 없는 짓입니다. 공격자는 입력값을 가로채 갈 수 없습니다.(교신 암호화만 제대로 하면 됩니다)
  • 즉, 고객의 컴퓨터가 뚫린 상태건, 뚫리지 않은 상태건 간에, E2E 키보드 보안은 별 쓸모가 없습니다. E2E 보안 솔루션을 열심히 개발하여 판매하시려는 업체분들께는 매우 죄송합니다. 금융기관들은 여전히 이 제품을 계속 구입하고 있으니, 당분간은 계속 파실 수 있을 것입니다,

넷째, 고객 컴퓨터가 뚫렸는지를 검사하고 그 취약점을 틀어막기 위해서는 “본격적인 정품 안티바이러스 프로그램”을 자발적으로 설치하도록 권장하는 수 밖에 없습니다. 그러나,

  • 고객의 자발적 설치를 못믿겠으며, 확인할 수 없다는 이유로 현재 금융권은 강제 설치를 시도합니다.
  • 그러나, 강제 배포하는 “슬림화된 안티바이러스 플러그인”은 메모리 해킹 툴을 간략하게 몇초동안 스캔하는 빈약한 기능 정도 밖에 없고, 그것마저 금융 사이트를 벗어나면 꺼집니다. 따라서 이 플러그인도 별로 쓸데는 없습니다 (보안 업체 분들께는 죄송합니다만, 그런 프로그램을 아무리 팔아본들, 고객의 컴퓨터가 안전해 질 가능성은 없습니다. 만일 안전해 졌다면 7.7 DDoS 사태 같은 일은 일어나지 않았겠지요.)
  • 금융기관들은 이제라도 이용자들에게 본격, 정품 안티바이러스 프로그램(상시로 작동하는 제대로된 정직한 제품)을 무료로 내려받을 수 있는 곳을 제발 좀 안내해 주시기 바랍니다. 여기에 있습니다. http://www.boho.or.kr/pccheck/pcch_02.jsp?page_id=2 이런 훌륭한 제품들이 있다는 사실을 왜 안내해 주지 않고 잠자코 계십니까? 그렇게 하는 것이 금융기관 영업에 도움이 됩니까?

결국, 외국이 모두 채용하는 방식(국내 보안업체들이 무조건 위험하다고 목청 높여 반복 주장해왔던 방식)은 ActiveX를 덕지덕지 처바르는 “한국형” 결제 방식보다 결코 허술한 것이 아니라고 저는 생각합니다. 즉, 국내 방식이 결코 더 안전한 것이 아닙니다. Amazon.com, 외국의 Ebay 사이트 등이 제공하는 “엄청나게 간단해 보이는” 솔루션이 한국의 “엄청나게 번거로운” 솔루션 보다는 더 안전하다고 저는 생각합니다. 유저들에게는 매우 번거롭고, 해커들은 손쉽게 비집고 들어올 수 있는 방식이 바로 한국의 보안 솔루션 이라고 저는 생각합니다.

해커들에게 제일 부담스러운 것은 본격적인 정품 안티바이러스 제품입니다(실시간 감시 기능이 “상시” 작동하는). 금융사이트에 접속해 있는 동안만 잠시 켜지고, 그 사이트를 벗어나면 자동으로 꺼지는 “강제 설치 안티바이러스 플러그인”은 해커들에게는 웃음거리 밖에 안됩니다.

금융기관 한 곳이라도 이상 설명드린 내용을 본격적으로 검토했으면 좋겠습니다. 현재의 (전자서명+키보드 보안+안티바이러스 플러그인) 방식의 결제가 사고거래 방지에 결국에는 별 도움이 되지 않는 기술적 이유는 분명히 있습니다.

외국의 보안 전문가들이 기술을 몰라서 전자서명을 안하고, E2E 보안 플러그인을 아예 개발조차 하지 않고, ActiveX 를 사용하지 않는 줄 아십니까?

외국의 금융거래는 허술하게 대강하기 때문이라고 진짜로 믿고 계십니까?

지난 10여년간 한국에서만 해 온 괴상한 방식이 기술적으로도 취약했고, 논리적으로도 허술했다는 점을 언젠가, 누군가는 인정하고, 그것을 폐기하고 선진적 방법으로 전환할 것입니다. 과연 누가 그일을 먼저 시작하느냐가 문제일 뿐이라고 저는 생각합니다…

제 책(”한국웹의 불편한 진실”)에 관한 서평과 인터뷰 등이 꽤 긍정적으로 나와서 다행입니다.

http://column.inews24.com/php/news_view.php?g_serial=432327&g_menu=043301

http://www.hani.co.kr/arti/culture/book/368941.html (8월1일자 한겨레 북섹션 full page 로 다룸)

http://bloter.net/archives/15694 (8월5일자 인터뷰)

제 책이 서적 판매 전문 사이트인 Yes24.com 에서 현재 주간 베스트 8 이군요…
http://www.yes24.com/24/Category/BestSeller?CategoryNumber=001001003&SumGb=02

제 자랑을 하려는 것이 아니라, 전반적인 분위기와 담론 형성의 추이를 말씀드리고 싶어서 소개했습니다.

,

트랙백. 31 Comments

금융권의 오해

지난 10여년 간 “우물 안 개구리” 식의 기술 선택을 고집해 온 금융권 (및 그들에게 보안 솔루션을 판매해 온 보안업계)의 반복된 주장은 7.23.자 시사저널에 잘 요약되어 있습니다 (http://www.sisapress.com/news/articleView.html?idxno=49587):

금융권에서는 ‘보수적으로 움직일 수밖에 없다’라고 강변한다. 전자금융거래법에 따르면 개인용 침입차단시스템과 키보드 해킹방지 시스템을 설치하도록 지시했다. 하지만 그런다고 해킹이 원천 봉쇄되는 것은 아니다. 한 지방은행 IT 부서 책임자는 “보안 문제로 고객과 분쟁이 생길 경우를 감안하면 은행 잘못이 아니라는 점을 입증하기 위해서라도 강제적으로 설치하는 것이 낫다”라고 설명했다

그러나, 전자서명을 강제하고, 보안프로그램 설치를 강제하는 행위가 “은행 잘못이 아니라는 점을 입증”하는데 과연 도움이 될까요? 사실은 정 반대입니다. 고객이야말로, 은행이 하라는대로 온갖 프로그램을 덕지 덕지 자신의 컴퓨터에 설치했으니, 오히려 “고객의 잘못이 아니라는 점이 입증”될 뿐입니다.

실제로도 사고 거래가 발생하면, 은행이 지금 상황에서는 책임을 면할 방법이 없습니다.

전자서명이 사용되었다고 해서 은행이 당장 책임을 면하게 되는 것은 아닙니다. 이 점은 누구보다도 은행이 잘 알고 있습니다. 모든 거래(사고 거래까지 포함해서)에는 반드시 전자서명을 요구하므로, 사고 거래에도 고객(피해 고객)의 전자서명이 부착되어 있음은 물론입니다. 그러나, 이렇게 고객의 전자서명이 되어 있다고 해서 그 거래를 무조건 “고객의 책임”으로 돌릴 수 있는 것은 아닙니다. 이 점은 경찰(사이버 수사대)과 은행이 모두 동의합니다. 고객의 컴퓨터가 공격자에게 장악된 상태에서는 인증서 개인키 파일과 인증서 암호가 당연히 유출됩니다. 국내에서 사용되는 공인인증서의 대부분은 복제 가능한 형태로 저장되어 있고(복제 및 추출이 불가능한 PKCS#11 형태로 저장된 공인인증서는 아직 극소수에 불과합니다), 인증서 암호의 유출을 막아보려고 은행이 아무리 키보드 해킹 방지 프로그램을 강제로 설치해 본들, 은행 사이트를 벗어나는 순간 이 프로그램은 작동을 종료하므로, 고객이 다음, 네이버, 기타 여러 사이트에 로그인 할 때 입력하는 비밀 번호 값은 고스란히 공격자가 입수할 수 있게 되는데, 대부분의 경우 바로 이런 비밀번호들과 고객의 인증서 비밀번호가 일치하므로, 결국 은행 혼자서 아무리 키보드 해킹 방지 프로그램을 강제 설치해도 헛수고에 불과한 것입니다.

따라서 고객이 해당 거래에 대한 책임을 져야 하는지는 “전자서명이 되어 있느냐” 여부에 따라 결정되는 것이 아니라, 자기 컴퓨터가 공격자에게 장악당하도록 하는데 고객이 어느 정도로 부주의하게 기여했느냐에 따라 결정됩니다. 바로 이 부분에서 고객은 “은행이 시키는대로 모든 보안프로그램을 설치했다”고 주장할 수 있게 되므로, 법원이 보기에는 고객에게 “중대한 과실”이 있다고 판단하기 어려운 것입니다.

법원이 고객에게 “중대한 과실(잘못)”이 있다고 판단할 여지가 있는 거의 유일한 상황은 고객이 자신의 보안카드를 스캔하여 하드 디스크나 이메일 계정에 저장해 두는 경우입니다. 보안 프로그램 설치를 강제하면, 고객은 설치하지 않을 수 없고, 이런 프로그램을 모두 설치한 고객에게는 어떠한 잘못도 없다는 주장만이 점점 더 설득력이 있게 됩니다.

은행이 사고 거래에 대한 책임을 면하는데 조금이라도 도움이 되는 것은 전자서명이 아니라, 보안카드 입니다.

ActiveX 플러그인 형태로 강제 설치하는 보안프로그램(보안접속 프로그램, 키보드 해킹 방지, 개인 방화벽, 안티바이러스)은 실제로는 불필요하거나(보안접속은 웹브라우저가 이미 훨씬 더 강력하게 할 수 있습니다), 아무 소용이 없는 것들(이 프로그램들은 은행 사이트만 벗어나면 모두 종료되는데, 실제로 고객의 컴퓨터가 공격당하는 시점은 은행 사이트에 접속해 있는 동안이 아닙니다) 입니다.

시사저널은 다음과 같이 은행의 입장을 소개합니다:

은행 관계자는 “고객의 PC에서 백신프로그램이 구동 중인지 원격으로 알아내는 것은 현재 어렵다. 현재 단계에서는 차라리 액티브X를 이용해서 강제적으로 설치하는 것이 가장 확실한 방법이고, 기업의 의무를 다하는 것이다”라고 말했다.

고객이 자발적으로 설치할 수 있는 안티 바이러스 프로그램은 은행사이트에 접속해 있을 때만 켜졌다가 꺼지는 기만적인 “샘플 프로그램” 수준이 아니라, 본격적인 실시간 감시 기능이 상시로 작동하는 비교할 수 없이 우월한 프로그램입니다. 이런 프로그램을 어디서 무료로 내려받을 수 있는지를 안내하기는 커녕, 심지어는 이런 프로그램을 이미 사용하고 있는 이용자들에게 마저, “실시간 감시기능을 꺼두라”고 안내하는 국내의 은행들은 “기업의 의무를 다하는 것”이 아니라, 형편 없는 기술적 무지로 인하여 전국민에게 막대한 타격을 가하는 가해행위를 저지르고 있는 것이라고 생각합니다.

보안업체들은 지금까지 은행에게 판매해 왔던 프로그램을 계속 판매하기 위하여 집요한 노력을 하기 보다는 진정으로 한국의 인터넷 환경에 도움이 되는 길이 무엇인지를 진솔하게 고민하고, 국제적 기술 경향을 배우려는 노력을 기울이시면 좋겠습니다.

혼자서 “IT 강국”인 줄 열광해 왔던 지난 10여년의 잘못된 기술 경향으로 이제는 한국의 인터넷은 세계에서 고립된 “갈라파고스”의 운명에 처해 있다는 지적을 심각히 받아들여야 할 것입니다.

독자(獨自) 진화(進化) 한국IT, ‘갈라파고스’ 될라: http://www.hani.co.kr/arti/economy/economy_general/368046.html

트랙백. 17 Comments

오픈웹 소송 상고이유서

항소심 판결은 http://lawlec.korea.ac.kr/up/appellate_judgment_kim.pdf 에 있습니다.
텍스트 버전은: http://openweb.or.kr/uploads/appellate_judgment_kim-utf8.txt (snowall 님께서 수고해 주셨습니다. 고맙습니다. http://snowall.tistory.com/1359 )

5월22일 제출된 상고이유서는 http://lawlec.korea.ac.kr/up/2nd_appeal_kim_brief_pub.pdf 에 있습니다.
텍스트 버전은 여기: http://openweb.or.kr/uploads/2nd_appeal_kim_brief.txt

상고이유서는 5월25일에 금융결제원에 송달되었으므로, 곧 금융결제원의 답변서가 제출될 것입니다. 답변서를 받는 대로 게시하겠습니다.

, ,

트랙백. 64 Comments

금융권에 드리는 제안

은행 거래의 절반 가량은 이미 온라인으로 이루어지고 있습니다. 앞으로 온라인 영업 부문의 중요성은 더욱 늘어날 것입니다.

은행 등 금융권은 과연 이 트렌드에 대처하는데 필요한 ‘역량’을 갖추고 있는지요? 큰 구도를 이해하고, 장기적 비전과 전략을 수립하는데에는 ‘경영학/인문학 배경’의 기획 인력이 생각해 낼 수 있는 수준의 막연한 플랜 만으로는 역부족일 것입니다. 금융권은 무엇보다도 분리 발주 능력을 스스로 갖추어야 한다고 생각합니다.

분리 발주 역량

금융 거래 웹사이트를 “통짜로” 어느 업체에게 맡기고, 그저 “잘 좀 만들어 달라”는 수준의 발주에 머물러 온 것이 지난 10여년 간의 현실이었습니다. 그 결과는 무엇입니까? 마케팅 면에서도, 보안 설계 면에서도, 다양한 고객 환경 지원 면에서도 모두 ‘어중간’ 한 수준의 온라인 뱅킹 서비스에 머물고, 천편일률적, 그 나물에 그밥 스타일의 웹페이지를 모든 은행들이 떠 안고 있는 것입니다.

은행 등은,

  • 자신이 무엇을 필요로 하고, 무엇을 원하는지를 분명하게, 그리고 구체적으로 정리하고 제시할 능력
  • 응찰 업체들의 역량을 정확하게 평가하고 선발하는 능력

을 스스로 갖추어야 합니다. 수주 업체가 이일을 대신해 줄 수는 없습니다.

그런 능력을 자체 구비하고 있는 국내 은행이 실제로 있습니까?

온라인 금융 사업을 기획하고 발주하는 데에는 다음 세가지 요소에 대한 어느 정도의 지식과 역량이 필요합니다. 은행이 실제로 이들 요소를 스스로 “구현”할 역량을 갖추라는 것이 아니라, 이들 각 부문에서 은행이 “원하는 것이 무엇인지”를 스스로 정리하고 “발주”하는데 필요한 수준의 역량이 필요하다는 말씀을 드리는 것입니다.

(a) 마케팅/커뮤니케이션 부문

온라인 영업은 “컴퓨터 모니터 스크린”이라는 매체에서 은행과 고객 간의 모든 의사소통이 이루어집니다. 은행이 웹페이지를 통하여 고객에게 전달하고자 하는 마케팅 메세지들이 무엇인지, 어떻게 제시되는 것이 가장 효과적인지, 고객들에게 가장 큰 만족과 편리함을 주며, 은행에게도 가장 유리한 디자인은 무엇이어야 하는지…

실제로 각 스크린 별로 페이지가 어떻게 ‘디자인’되어야 하는지는 ‘웹디자이너’에게 맡길 일이 아니라, 마케팅/광고/커뮤니케이션 전문 에이전시에게 발주를 하는 것이 옳습니다. 은행의 요구 사항을 어떻게 하면 가장 효과적으로 고객에게 전달할 수 있는지를 알 수 있는자는 커뮤니케이션 전문회사이지, 웹디자이너가 아닙니다. 웹페이지 소스코드를 알 필요가 있는 것이 아니라, 고객의 심리와 은행의 요구를 정확히 간파하고 이 둘을 연결하고 구현하는 능력이 필요한 부분입니다.

물론, 은행부터 먼저 자신의 요구 사항이 무엇인지를 정리하고 제시할 능력이 있어야 하겠지요. 웹페이지를 통한 신규 고객 영입 가능성에 주목할 것이냐, 기존 고객에게 더욱 편리하고 다양한 서비스를 제공하는데 치중할 것이냐, 오프라인 점포의 비효율을 온라인 영업을 강화함으로써 대처하는데 주목할 것이냐 등의 경영 전략에 따라서, 웹페이지의 디자인과 메세지 제시의 강조점이 달라질 것입니다. 은행의 영업 전략을 구체화하고, 그것을 반영하여, 은행이 궁극적으로 고객의 모니터 스크린이라는 제약된 공간에서 제시되기를 원하는 메세지가 과연 무엇인지를 응찰자에게 분명하게 제시할 ‘기획 능력’은 은행 스스로가 갖추어야 합니다. 그래야 ‘발주’라도 제대로 할 수 있지 않겠습니까?

(b) 보안 설계 부문

은행이 고객에게 제공하는 서비스는 거래(transaction)와 관련되는 부분과, 정보/마케팅 등 순전히 informational 한 부분으로 나눌 수 있습니다. 보안 설계는 오로지 거래에 관한 것이고, 은행의 거래는 비교적 단순한 구조입니다.

이 부분 설계를 담당하는 분들은 마케팅을 알 필요도 없고, 웹표준을 알아야 할 필요도 없습니다. 스타일에 대한 고려는 전혀 필요가 없습니다. 모든 군더더기를 제거한 채, 오로지 필드(field) 명칭과 필드 입력란 등의 요소만으로 설계 작업이 이루어지면 됩니다. 즉,

id

password

amount

등으로만 작업이 이루어지면 되므로, 국내는 물론 전 세계의 보안 업체들을 상대로 발주하기 용이한 분야입니다.

보안 설계를 담당한 업체가 완성된 솔루션을 발주자에게 납품하면, 발주자는 독립된 다른 보안 컨설팅 업체를 선정하여, 이 솔루션에 대한 점검(vetting)을 수행하도록 할 필요가 있습니다. 따라서 설계를 담당한 업체는 독립된 점검에 필요한 한도에서 필요한 정보나 documentation 등을 제공할 준비가 되어 있어야 하겠지요(물론, Non-Disclosure Agreement 를 맺고).

어느 한 업체가 납품한 보안 솔루션을 은행이 무방비 상태로 그냥 믿고 채용하는 것은 위험할 수 있습니다. 자기가 납품한 보안 설계를 독립된 제3자가 검증하는데 필요한 수준의 정보도 제공할 수 없으니, “무조건 자기만 믿으라”는 업체는 애초에 믿을 만한 업체가 아닙니다.

요컨대, 보안 설계는 그것을 구현하는 업체와 검증 하는 업체가 분리되어야 합니다.

(c) 코딩 부문

이 부문은 마케팅 지식도 필요 없고, 보안 지식도 필요 없습니다. 디자인 감각도 필요 없습니다. 코딩을 하시는 분들이 페이지 디자인을 하도록 기대하는 것은 애초에 잘못된 기대입니다.

코딩은 오로지 html, css 등의 웹 표준 기술을 원숙한 수준으로 구사함으로써,

  • 모든 기기, 모든 플랫폼에서 서비스 접근과 이용에 지장이 없도록 확보하는 작업
  • 마케팅/커뮤니케이션 팀이 확정한 디자인을 가장 효율적인(bandwidth를 가장 적게 사용하는) 방법으로 미려하게 구현하는 작업
  • 장애인의 이용에 불편이 없도록 확보함으로써, 장애인 차별 금지법에 저촉될 소지를 없애는 작업
  • 을 전담하는 부문입니다.

보안 업체가 코딩도 하고, 페이지 디자인도 적당히 해치우는 경우, 결국 전체적으로는 이류, 삼류의 결과물 밖에 내 놓을 수 없습니다. 이른바 SI(System Integration) 업체가 “통짜로” 어떤 프로젝트를 수주한 다음, 보안 솔루션을 적당히 구입하여 편입하고, 디자인도 그럭저럭 어디에 하청줘서 해치운 다음, (마케팅이나 커뮤니케이션 측면은 아예 고려조차 안 한 상황에서) 웹사이트 전체를 통짜로 납품하는 사태는 모두에게 불행합니다.

지금까지 이런 관행이 지겹게 반복되어 왔던 이유는, 은행 자체가 “발주”할 역량 조차 제대로 갖추지 못했기 때문입니다. 자기가 무엇을 원하는지도 모르고, 어느 업체를 선별해서, 무슨 일을 시켜야 하는지도 모르는 딱한 지경에서, 이른바 “대기업”에게 맡기면 “알아서 잘 해 주겠지”하는 심리로 돈만 왕창 퍼주는 사태…

부탁해요~

은행들은 스스로에게 물어보시기 바랍니다: 온라인 뱅킹, 온라인 영업과 관련하여, 은행이 지금까지 과연 자신에게 이익이 되는 결정을 해 왔는지요? 어떤 기술적 선택들이 있었는지 은행이 알고나 있었습니까? 그 중 어떤 선택을 누가 포기했는지, 왜 포기 했는지, 그 결과로 은행이 얻은 것은 무엇이고, 잃고 있는 것은 무엇인지에 대하여, “은행의 입장에서” 정확히 판단해 왔는지요? 그럴 능력과 역량이 있었는지요?

지금이라도 은행들은 e-business를 담당하는 부서에 대하여 근본적인 개혁과 획기적 지원을 할 필요가 있습니다. 능력에 맞는 파격적 대우, 그리고 무엇보다도, 은행 조직 내에서 e-business 부문에 대한 장기적 비전과 입지(적절한 인사상 대우)를 확보해 주어야 은행의 이익을 제대로 지켜낼 수 있는 소중한 인재를 은행이 확보하고 양성할 수 있습니다. 다른 어떤 업체가 은행의 이익을 지켜주지는 않습니다.

은행 전산부서는 그저 거쳐가는 곳이고, 지점장 되는 것만이 지상 목표인 그런 조직에서, 어떻게 온라인 뱅킹 영업/기술의 전문적 안목과 역량을 갖춘 인재가 생겨날 수 있겠습니까? 온라인 영업이 은행에게 그렇게 중요하다면, 그에 걸맞는 인사 조직 구조의 개혁도 필요하지 않겠습니까?

, , ,

트랙백. 13 Comments