금융 QA가 읽어야 할 법전, 전자금융거래법 핵심 조항 테스트하기

QA 검증 포인트:
- 사용자 인증:
  - 아이디/비밀번호 외에, OTP, 생체인증, ARS 인증, 보안카드 등 추가적인 인증 수단이 올바르게 동작하는가?
  - 5회 이상 로그인 실패 시, 계정이 안전하게 잠금 처리되는가?
- 세션 관리:
  - 웹사이트나 앱에서 일정 시간 동안 아무런 활동이 없으면, 자동으로 로그아웃 처리되는가?
  - 하나의 아이디로 여러 기기에서 동시에 접속하는 것을 정책에 따라 허용 또는 차단하는가?
- 권한 분리:
  - 일반 사용자가 관리자 전용 페이지나 API에 접근할 수 없는가?
  - 내부 직원이라도 자신의 역할(예: 고객 상담, 개발)에 따라 접근 가능한 메뉴와 데이터가 명확히 분리되어 있는가?

법은 거래 내용이 전송되는 과정에서 위조되거나 변조되지 않도록 ‘무결성’을, 타인에게 노출되지 않도록 ‘기밀성’을 보장하라고 명시합니다.

QA 검증 포인트:
- 암호화:
  - 로그인, 송금 등 모든 중요한 데이터(개인정보, 거래 정보)는 통신 전 구간에서 암호화되어야 합니다.
  - QA는 네트워크 패킷 분석 툴(예: Wireshark) 등을 사용하여, 혹시라도 암호화되지 않은 평문 데이터가 오고 가는지를 확인할 수 있습니다.
- 데이터 위변조 방지:
  - 예를 들어, 10,000원을 송금하는 API 요청을 중간에서 가로채, 금액을 100,000원으로 변경하여 다시 전송하는 ‘중간자 공격’ 시도를 시스템이 차단하는지 테스트합니다.

법은 오류 추적과 책임 소재 파악을 위해, 전자금융거래 기록을 최소 ‘5년’간 보존하도록 의무화하고 있습니다.

QA 검증 포인트:
- 데이터 보존:
  - 5년 전에 발생한 테스트 거래 기록이, 데이터베이스나 별도의 백업 저장소에서 정상적으로 조회되는지 확인합니다.
- 기록의 불변성:
  - 보존된 과거의 거래 기록을 일반적인 방법으로 수정하거나 삭제하려는 시도가 시스템적으로 차단되는지 검증합니다.
  - 모든 변경 이력은 별도의 감사 로그(Audit Log)에 남아야 합니다.

금융 QA에게 ‘전자금융거래법’은 단순한 배경지식이 아닙니다.

그것은 우리가 반드시 준수하고 검증해야 할, 가장 중요하고 변경 불가능한 ‘요구사항 명세서’입니다.

QA는 이 복잡한 법률 문장을, 명확하게 검증 가능한 테스트 시나리오로 변환해야 합니다.

이를 통해 우리 서비스의 ‘법적 안정성’을 보증하는 것이 QA의 중요한 역할입니다.

잘 검증된 시스템은, 사용자가 보이지 않는 곳에서도 자신의 금융 거래가 법의 테두리 안에서 안전하게 보호받고 있다는 신뢰를 줍니다.