금융권 자율보안체계 작동 개시… 보안 강화

금융당국, 규제 아니지만 보안 위해 이행 실태 확인할 수도

보안원, 금융사 보안성심의 지원…9월엔 핀테크 서비스도

금융감독원이 세운 자체보안성심의 기준에 맞춰 금융회사들은 대응방안을 마련하는 등 보안성심의 폐지 공백을 최소화하기 위한 자율보안체계가 작동에 들어갔다.

금감원 관계자는 10일 "금융회사의 개별 자율보안체계를 중심으로 부족한 부분을 보완하는 선에서 규제가 아닌 지원을 할 예정"이라며 "보안성심의 폐지 후 혼선이 있을 것으로 보여 일정 시간 뒤 보안성심의 실태를 파악할 계획"이라고 밝혔다.

금감원은 보안성심의 폐지 공백을 최소화하기 위해 ▲거래 당사자 인증 ▲거래정보의 기밀성·무결성 및 부인방지 ▲정보처리시스템 보호대책 ▲고객 단말기 보호대책 ▲정보유출 방지대책 ▲이상금융거래 방지대책 ▲시스템 가용성 확보 및 비상대책 ▲시스템 설치장소에 대한 물리적 접근통제 등 금융사 자체 보안성심의 기준을 제시, 금감원에 결과 보고서를 제출하도록 했다.

이는 전자금융감독규정 제36조에 따른 것으로, 이 기준 외에도 전자금융업무 유형에 따라 자체적으로 심의기준을 추가·수정할 수 있다.

규정 36조는 금융회사 또는 전자금융업자는 정보통신망을 이용해 이용자를 대상으로 신규 전자금융업무를 수행할 때 자체 보안성심의를 실시해야 하며, 신규 전자금융업무가 제공 또는 시행된 날로부터 7일 이내에 자체 보안성심의 결과 보고서를 금융감독원에 제출해야 한다는 내용을 명시하고 있다.

이 관계자는 "금융회사들이 새로운 전자금융사업 시 어떤 기술을 적용했고, 소비자들을 보호할 수 있는 시스템을 구축했는지 등 기본적인 것을 파악하기 위해 전자금융 서비스 시작 이후 자체보안성심의 결과를 받기로 했다"며 "제출한 보고서에서 불충분한 내용 등에 대해서 감독당국의 권한 내에서 자료를 요청할 수는 있겠지만, 규제로서의 접근이 아니기 때문에 피드백 또는 후속조치를 요구하진 않을 것"이라고 강조했다.

금융당국은 자율보안체계를 유지한다는 주된 방침에는 변함이 없지만, 금융 소비자들의 안전한 금융 서비스 이용을 위해 보안성심의 이행실태에 대한 확인 가능성을 시사했다.

금감원 관계자는 "대형사의 경우, 금감원에서 보안성심의를 할 당시에도 자체 보안성심의 프로세스가 있었다"며 "심의를 할 수 있는 인프라·인력 등 여건이 충분하기 때문에 보안성심의 공백이 상대적으로는 덜할 것"이라고 내다봤다.

하지만 중·소형사에 대해 "대형사와 달리 인적·물적 제약이 있을 수 있기 때문에 보안성심의 관련 실태조사 등을 통해 부족한 부분에 대한 권고 또는 보완책 등을 제시할 예정"이라며 "규제를 하겠다는 것이 아닌 제도가 잘 정착했는지를 확인하고 보완하는 차원이 될 것"이라고 전했다.

종합적 금융보안서비스 제공을 위해 지난 4월 설립된 금융보안원은 보안성심의 공백 최소화를 지원하기 위해 개별 금융사들로부터 보안성심의를 위탁받고 있다.

금융보안원 관계자는 "은행·증권·카드·보험 등 금융회사들이 요청한 보안성심의를 원이 지난달부터 대행하고 있다"며 "금융사들이 요청하면, 원의 자체 심의 기준·절차에 따라 금융IT보안평가팀에서 보안성심의를 진행하고 있다"고 말했다.

이어 "평가 기간은 신청 당시 원내 인력·인프라 상황에 따라 다르지만, 금융회사들의 요청 기한에 최대한 맞추려 노력 중"이라며 "결과 보고서에는 서비스의 보안에 대한 평가 및 보완해야 할 점 등의 피드백이 포함된다"고 설명했다.

또 금융 서비스에 대한 보안성심의 외에도, 핀테크 기술을 대상으로 한 보안성심의 프로세스도 만들고 있다. 이는 이달까지 준비해 오는 9월부터 지원될 예정으로, 수요가 많은 보안 기술부터 보안 방식별로 체계를 구축하고 있다.

금융권에서도 자체 보안성심의 기준에 따른 점검 및 외부 위탁 등으로 보안 강화를 중시하고 있다. 복수의 금융권 관계자는 "사내 보안성심의는 금감원 심의 폐지 전부터 존재했고, 그 프로세스를 적용해왔다"며 "최근 사전규제에서 사후책임으로 바뀌었기 때문에 자체 보안성심의가 전보다 강화된 측면은 있다"고 전했다.

이들 관계자는 "대체적으로 보안성심의를 사내에서 진행하고 있지만, 핀테크 서비스 등 신규 수요나 다른 방식의 심의가 필요하다고 판단될 시에는 관련 체크리스트를 보강하고, 외부 업체 등에 위탁할 방침"이라고 덧붙였다.

금융당국은 사전규제에서 사후책임으로 규제가 완화된 만큼 금융회사들이 더 큰 책임감을 가져야 한다고 조언했다. 금감원 관계자는 "보안성심의 폐지 이전에도 금융사고 발생 시 금융회사들의 책임이 있었지만, 규제가 완화로 자율보안체계가 중시되는 상황에서 금융사들은 사후책임에 대해 명확히 인지해야 한다"며 "고객에게 안전한 서비스 제공을 위한 철저한 보안 관리가 필요하다"고 당부했다.

한편, 보안성심의는 금감원이 금융회사 및 전자금융업자 등이 신규 전자금융서비스를 수행하거나 전산센터를 구축·이전 시 전자금융 부정사용 예방·금융정보 유출방지·명의도용 방지 등의 적정성을 심의하던 제도로 지난 7월 1일부로 폐지됐다.

박종진 기자 [e-mail]

<세계파이낸스>