금결원에 대한 공인인증기관 지정을 취소시키고자 합니다.

아마도 오픈웹쪽에서는 강공책을 선택한 것 같군요. 제가 보는 느낌은 배가 배꼽보다 더 커지고 있는 느낌인 것이, 이 문제는 원래 윈도우즈의 플랫폼 독점에서 기인했는데 엉뚱하게도 사태가 한국의 은행들이 이 독점력에 편승해서 그들의 시장 독점, 특히 온라인 인증 및 결제 분야를 독점하겠다는 시도를 드러낸 꼴이 되어 버린 것 같습니다. 그리고 이들은 플랫폼 종속성과 보안을 시장독점의 도구로 이용하고 있구요. 보안상 이유로 키로거 방지 프로그램이 액티브엑스로 자동으로 설치되어야 한다는 금결원의 주장은 사실상 쉽게 보아 넘길 주장이 아닙니다. 싫든 좋든 간에, 한국에서 온라인 뱅킹 서비스를 하려면 현재로서는 키로거 방지 프로그램을 배포해야 하는 것이 현재 한국의 상황입니다. 이런 요건을 플랫폼 종속성과 교묘히 연결시키고 이를 통해 추가 비용지출이나 경쟁 서비스의 출현을 막으려는 금결원의 시도는 분명 반시장적 행위입니다. 뒤집어보면, 금결원이 완전한 공기업이었다면 이런 경우를 당했을 때 공무원들의 아주 전형적인, 정부의 예산 지원 부족 핑계를 대거나 해당 부서의 인력 부족이니 조만간 검토하겠다는 식의 뻔한 답변이 나오겠지요.

그런데, 현실적인 문제는 이렇습니다. 일단 오픈웹이 금결원의 공인인증기관지정 취소를 추진하는 것은 맥을 잘 짚었다고 봅니다. 그들 말대로, 공인인증서비스가 적자라면 서비스 인가 취소를 시켜 주면 오히려 고마와야 할 테고, 반대로 공인인증 서비스가 이익이라면 합당한 절차를 구비해서 (여기에는 플랫폼 표준 지원도 포함되겠지요) 서비스를 하면 그만일테니까요.

하지만 적어도 제가 보기에는 이 문제의 본질은 국내 은행들의 인증 및 결제시장 독점을 위한 카르텔 형성입니다. 그렇다면, 결국은 이 문제가 공정위 소관의 반독점 소송으로 이어질 수도 있는 문제인데, 반독점소송은 현실적으로 피고 독점기업의 반독점행위를 입증하기가 만만치 않다는 심각한 문제가 있습니다. 우선, 시장점유율은 반독점 소송의 근거가 당연히 되지 못합니다. 일단, 금결원외에 경쟁사만 해도 여럿이 있고, 소비자가 어떤 피해를 받았는지 입증하기도 곤란하며, 새로운 경쟁사의 신규 시장 진입을 방해했다는 점도 의심은 가지만 증거를 내놓기는 쉽지 않습니다.

즉, 현실적으로 반독점 문제는 위협 카드로 쓰는 것이 좋다고 봅니다. 따라서, 오픈웹쪽에서는 금결원의 반독점시장행위에 대한 증거를 지금부터라도 철저히 수집하는 것이 필요하고, 상황에 따라서 현재의 소송에 대한 만족스러운 합의가 불가하다면 공정위에 반독점 소송을 진행할 수도 있다는 점을 심각하게 주지시켜 주는 것이 필요하다고 봅니다. 하지만, 개인적으로 볼 때 이 문제가 공정위의 반독점소송까지 확대되면 승소를 하더라도 지나치게 시간이 오래 걸리고 따라서 승소한 뒤의 사회적 이익이 그다지 없을 것이라고 봅니다. 게다가, 카르텔은 법적이나 행정적인 조치로 깨뜨리더라도 재결합을 막기가 쉽지 않습니다. 특히나, 카르텔의 뒤에 이해관계가 비슷한 은행들이 있다는 점을 감안하면 더욱 쉽지가 않을 것으로 예상됩니다. (카르텔은 은행간의 경쟁관계가 있으면 붕괴하기 쉽지만 공인인증이나 결제시장에서 은행들이 경쟁관계에 있다고 보기는 어렵습니다.)

그리고, 다른 한편으로 규제나 소송을 통한 해결책이 아닌 시장 친화적인 해결책의 가능성도 고려해 보시길 제언해 봅니다. 왜냐하면, 독점 문제는 정부가 끼어서 해결할 수도 있지만 역시나 사회적으로는 경쟁을 통해 독점문제를 해결하는 것이 가장 쉽고 바람직하기 때문입니다. 이렇게 시장이 경쟁을 통해 활성화되려면 결국은 시장의 규칙을 정하는 기본 법령이 문제가 되는데 (자본주의 경제가 돌아가려면 사유제산제가 법적으로 뒷받침 되어야 하듯이) 결제 시장에도 기본적인 property right가 정확히 정의되어야 할 필요성이 있습니다. 이 부분은 아마도 경제학자들의 참가가 중요하겠지요. 어쨌든, 현재 금결원이라는 은행 독점 카르텔의 형성이 가능했다는 사실을 본다면 무엇인가 시장에 이들의 독점을 쉽기 만들어주는 기제가 숨어 있을 가능성이 높다고 봅니다. 예를들어, 비슷한 분야로 미국과 같은 경우 금융시장의 신용정보는 점수와 산정 방식과 같은 기본적인 규칙은 정부에서 (아마도 연방정부일겁니다.) 정해두고, 몇몇 서비스 업체들은 이를 따라야 합니다. 여기서 당연히 정부의 역할은 가능한한 최소화되고 기업의 자유도는 가능한한 최대화 시키는데 여기서 디자인의 묘수는 정부의 최소한의 역할 중에서 property right를 정확히 정의하고, 기업간의 경쟁을 촉발시킬 메커니즘은 철저히 정부의 몫이 됩니다. 그리고 이 법을 정의하는 데는 당연히 입법부를 통과해야 할 겁니다.

따라서, 오픈웹도 마찬가지로 결제 시장에서의 경쟁을 촉발시키는 기본 법률을 구상해서 이것을 입법시키고, 이를 통해 결제 시장의 경쟁을 촉발시킴으로서 시장 독점의 문제를 해결할 수도 있습니다. 이 방법이 좋은 점은 굳이 소송이라는 시간과 비용이 많이 드는 방법이 필요 없고, 금결원의 반대를 무릅쓸 필요도 없으며, 소송에 졌을 경우를 대비할 필요도 없다는 장점이 있습니다. 게다가, 여론까지 잘만 따라준다면 내년 차기정부가 들어선 뒤 바로 국회를 통과하기도 쉬울 수 있지 않겠습니까. (참고로 비슷한 예로 전 서울대 총장인 정운찬씨의 제안을 참고로 해 봤으면 합니다. 정운찬씨의 아이디어는 교육 시장에서 대학교간의 경쟁을 촉발시키기 위해 기본적으로 대학 자율화를 통해 property right를 정확히 정의해주고, 그 다음 학생 모집이나 교수 모집에서 학교간의 경쟁을 촉발시켜 그 과정에서 전체적으로 한국의 학교 수준을 끌어올리자는 시장적인 접근입니다. 실제 정운찬씨의 대학 자율화라는 단어를 듣고 시장과 경쟁이라는 단어를 떠올리는 사람들은 얼마 되지 않는 것 같습니다)

현재 저도 이 문제를 접한지 얼마 안되어서 공인 인증이나 결제시장에서 경쟁을 촉발시키려면 어떤 기제가 필요한지 정확히 알 수는 없습니다만 이 부분은 경제학자들이 전문이니 도움을 얻을 수 있으리라고 봅니다. 오픈웹을 추진하는 분이 신문 기사에서 읽은 기억으로는 김기창 교수님이라고 알고 있는데... 이 분이 법대 전공으로 알고 있습니다. 어쨌든, 독점 문제는 법적으로만 해결하기에는 무리수가 많고, 경제학적 정책이나 시장 메커니즘 디자인이 중요해지니 소송에 지나친 노력을 들이는 것 외에 경제학자들의 도움을 빌어 독점 문제가 최소화되는 시장을 디자인하고, 이를 뒷받침하는 법령의 통과를 추진해 볼 필요성도 있지 않나 싶습니다.

익명글은 합리적인 댓굴이든 말든 관리자의 마음에 안들면
다 삭제되는건가요?

지극히 당연하면서도 무미건조한 답변이라고 보이네요.

정통부 입장에서는 금결원이던 다른 인증기관이던 법에 의해서 정보보호
진흥원의 점검을 받았으므로, 자기네들은 할일을 다했고, 금결원의
인증소프트웨어를 사용하던지 아니면 비MS 계열의 다른 소프트웨어를
제공하던지의 여부는 정통부와는 무관한 '은행'이 결정할 내용이므로
정통부에서는 뭐라할 소지가 아니다..

그리고, 은행은 사기업이므로 금결원의 MS인증을 사용하던 아니면
비MS계열의 소프트웨어를 사용하던 그것은 은행에서 알아서 할일이다.

지극히 당연한 이야기라고 보이는군요.

그리고, 금결원은 은행하고 적어도 법적으로는 무관한 관계이므로,
이에 대해서는 하자가 없다...

뭐 딱히 틀린말은 없어보이네요. 법적으로 하자가 있는지 없는지는
법대교수께서 좀더 살펴보십시오. 어쨌던, 사기업(적어도 은행은
공적자금이 들어갔던 말던 법적으로 사기업입니다)이 자기네 맘에드는
업체를 고른데 대해서는 할말이 없어보이는군요.

불공정거래나 담합으로 금결원을 고소고발하고자한다면 이는 피해를 본
(실질적으로 피해를 본) 소비자나 혹은 관련인증기업이 고발하지 않으면
불가능해보이는군요.

제가 보기에는 아주 바람직한 정통부의 답변이군요.

P.S. 아마 오픈웹이 하는데 별로 지원안한 익명글이므로 조만간 삭제되
겠지요? 듣고 싶은 말만 듣고 보고싶은 글만 보고 싶은 사람들이 많으니까.

제가봐도 정통부의 답변이 별로 독특하지 않은데요... 당연한 답변이라고 봅니다. 어쨌건, 정통부의 답변이 은행과 금결원의 관계까지 언급하고 있는 것으로 봐서 적어도 오픈웹에서 정통부쪽에서 민원을 제기한 배경까지 잘 이해하고 있는 것으로 보이고 허투른 답변은 아니라고 생각합니다.

구체적으로 빼도박도못하는 증거를 명확히 제시하지 않고 정통부를 통해 금결원을 움직이는 것은 당연히 무리라고 봅니다. 게다가, 은행간의 카르텔이 의심되는 상황이지만 결국 반독점 관련 사안들은 증거를 찾기가 보통 어려운 일이 아닙니다. 오히려, 제가 보기에 신경이 쓰이는 부분은 이렇게 일이 진행되다가는 은행도, 금결원도, 정통부도 모두 오픈웹의 적이 될 수도 있다는 점입니다.

이것 역시 무미건조하고 당연한 얘기가 되겠지만 금결원의 공인인증기관 지정을 취소하려면 확실한 근거와 적절한 절차에 대한 준비가 없이는 불가능하다고 봅니다. 저는 오픈웹이 금결원의 공인인증기관 지정 취소를 일단 맥은 잘 잡았다고 보지만 이것은 오픈웹이 소송이나 법적 제재를 통한 강공책을 선택했다는 전제 아래서이고, 여전히 시장친화적인 방안으로의 접근이 더 효과적일 것이라고 개인적으로 생각하고 있습니다.

여전히 유효한 것 중의 하나는 은행들은 여전히 이익에 따라 움직이는 사기업이라는 점입니다. 플랫폼 중립적인 솔루션 제공의 아이디어는 좋지만 그렇게 했을 때 은행들이 얻는 이익은 무엇인지요? 뒤집어 얘기해서, 이미 플랫폼 중립적 솔루션 제공이 충분히 이익이 될만한 사업이면 은행들이 뛰어들지 않을 이유가 없으며 이렇게 되면 카르텔이 깨지는 것도 한순간이겠지요. 적어도 이 부분에서 오픈웹은 왜 그것이 은행들의 사익 증진에 도움이 될 수 있는지 근거를 제시해 줄 수 있어야 합니다. 어정쩡쩡한 사회적 공익 운운은 듣기좋은 구호 이상이 되기 어렵습니다.

이곳의 많은 이야기들이 현실에 대한 정확한 이해 없이 이루어지고 있는 듯이 보입니다. 적어도 저의 생각에서는요.

대부분의 은행에서 사용하는 인증서 관련 클라이언트 소프트웨어는 은행이 소프트포럼 등의 특정 업체에서 구입 혹은 사용계약을 체결한 제품입니다. 그 클라이언트와 연계되어 동작하는-예를 들어 주고 받는 데이터의 암호화을 처리하는- 서버측 소프트웨어 역시 동일한 업체의 제품이고요. 키보드 해킹 방지 프로그램이니, 파이어월 프로그램이니 다 은행이 각 솔루션 업체에서 사다가 붙이는 것 입니다.

인터넷에서 인증서를 사용하는 서비스를 제공하는 회사에서 어떠한 인증 관련 소프트웨어를 사용할지는 그 회사의 자유지요. 여러분이 인터넷 뱅킹을 이용할때 사용하는 소프트웨어는 - 예를 들면 농협 인터넷 뱅킹 홈페이지에 들어갈 때 트레이에 나오는 자물쇠 아이콘에 해당하는 프로그램 - 공인인증업체의 가입자 설비라기 보다는 그저 은행이 제공하는 프로그램일 뿐입니다. 그프로그램이 해당 법률 상의 가입자 설비이고 공인인증업체에서 의무적으로 제공해야 할 것이라면 인터넷뱅킹을 위해 설치해야 할 프로그램이 공인인증업체(6개) 만큼 늘어야 하지 않을까요? 그렇다면 공인인증업체들이 그 소프트웨어를 무상으로 제공할 이유가 없을테니 인터넷 뱅킹 수수료가 좀 늘어나야 되겠군요.

여러분이 인터넷 뱅킹을 사용하는 모든 과정에서 금융결제원이 관여된 것이 있다면 단 하나, 처음 공인인증서를 발급 받을 때 뿐입니다. 그 후 인터넷 뱅킹이 이루어지는 과정에서 사용되는 모든 소프트웨어 들은 은행과 그 계약 업체의 책임하에 있습니다.

물론 이 사건에 있어서 금융결제원의 대응이 소송에 참여하는 분들의 심기를 건드리는 것을 알고 있으나, 사건의 본질을 좀 더 명확히 하는게 좋을 듯 합니다.

제가 전자서명법을 살펴본 바로는, 전자서명 및 암호화 관련 클라이언트 측 프로그램과 공인인증기관은 아무런 관계가 없습니다. 인증서를 이용한 전자서명이나 공개키 기반 암호화는 공인인증기관이 제공하는 공인인증업무에 해당하지 않기 때문입니다. 공인인증기관이 수행해야 하는 업무는 인증서를 발급하고, 인증서가 유효한지 검증할 수 있도록 하는 것이 주입니다.(전자서명법 제2조 (정의) 참고)

비유를 하자면,공인인증기관은 도장을 파주고, 나중에 도장이 진짜 도장인지 확인해 주는 역할을 할 뿐 입니다.
전자서명 관련 클라이언트 프로그램에 대해 공인인증기관이 책임을 지라고 하는 것은 도장을 파준사람한테 그 도장을 찍을 때 사용하는 인주까지 책임지라는 말이 되겠죠.

물론 금융결제원을 비롯한 공인인증기관은 인증서 관리(인증서 폐기, 인증서 재발급, 인증서 이동 등등)를 익스플로러가 아닌 웹브라우저에서도 할 수 있도록 지원해야 할 의무가 있고 그것을 지키지 못하고 있는 것은 시정되어야 합니다.

하지만 다시한번 말하건데, 인터넷 뱅킹을 쓸 때 설치되는 엑티브X 프로그램에 대한 책임은 그 프로그램을 개발한 업체과 그 프로그램을 선택한 업체에 있는 것입니다. 시대에 뒤떨어지는 은행쪽 IT인력들의 인식 부족과 액티브X 말고는 다른 기술을 제공할 능력이 없던 업체들에게 돌아가야 할 비난의 화살이 공인인증업체에게 가는 것이 안타깝네요.

처음에 은행에 액티브X 기반의 클라이언트 모듈을 팔아먹고는 이제와서 "우리는 이미 리눅스에서도 사용할 수 있는 클라이언트 모듈을 개발해 놨다"라고 발뺌하는 솔루션 개발 업체들이 얄미울 뿐입니다.