보안성심의 폐지, 금융보안원 중심 민간 자율 보안체계 구축

금보원·금융협, '금융 보안 가이드' 마련 추진…민간 의견 경청

금융당국, '사후책임' 강화…법 엄격히 적용·책임보험금 현실화

금융감독원 보안성심의가 완전 폐지되면서 향후 금융보안은 전적으로 민간의 결정 및 책임에 따라 이뤄질 전망이다.

이는 금융보안 패러다임을 사전규제에서 사후책임으로 바꾸겠단 지난 1월 금융당국의 IT·금융 융합방안 발표 이후 5개월만이다.

금융당국 관계자는 1일 "금융감독원에서 전담해오던 보안성심의는 이날부로 폐지됐다"며 "현재 진행 중인 보안성심의도 없다"고 밝혔다. 이어 "현재로선 금융당국이 금융보안 가이드라인을 주도할 계획이 전혀 없다"고 덧붙였다.

금감원의 마지막 보안성심의는 지난 4월말 이뤄진 삼성페이 서비스와 관련된 삼성카드 등 9개 카드사가 신청한 심의였다. 삼성페이는 오는 9월 출시 예정이다.

보안성심의가 완전히 폐지된 이날부터 금융보안 영역은 전적으로 금융회사와 IT기업, 보안회사, 핀테크업체 등 민간 기업의 자율과 금융보안원·금융협회 등 민간기구의 의결에 맡겨질 전망이다.

금융당국이 지난달 19일 발표한 금융IT부문 자율보안체계 확립 방안에 따르면 보안 관련 민간의 자체 점검 및 책임이 강화됐고, 금융협회와 금융보안원 등 민간기구가 보안 체계 등을 구축하고 금융당국은 관리·감독에 집중하는 형태로 금융보안이 관리된다.

금융보안원은 이에 따라 현재 금융 서비스와 핀테크 기술 등의 분야에 대해 보안 심사를 지원할 계획을 갖고, 해당 시스템 구축을 진행하고 있다.

금융보안원 관계자는 "자율보안체계 확립 방안에 따라 핀테크 기술 보안수준 진단 체계를 구축 중"이라며 "오는 8월까지 준비해 9월부터 지원할 계획으로, 수요가 많은 보안 기술부터 체계를 만들고 있다"고 말했다.

이 관계자는 "보안원은 다양한 신기술이 등장함을 고려해 하나의 체계가 아닌 보안 방식별 각각의 검사 체계를 구축하려고 한다"며 "금융권과 핀테크·보안업계의 상당수 수요가 있는 보안 방법부터 우선적으로 체계를 만들고, 진단을 시작한 뒤에도 지속적으로 신기술에 대한 검사 시스템을 늘려 갈 것"이라고 덧붙였다.

핀테크 기술 관련 보안 진단은 금보원 내 핀테크보안팀에서, 인터넷뱅킹·모바일뱅킹 등 금융 서비스에 대해서는 금융IT보안평가팀에서 진행하게 된다.

금보원 관계자는 "금감원에서 기존에 하던 것과 다른 점은 보안 방식별 검사 체계를 미리 구축해 적용한다는 점도 있지만, 금융·IT·핀테크사들의 요청이 있을 시에만 점검을 지원하는 것"이라며 "이는 믿을만한 기구의 공인을 원하는 금융사와 그런 금융사를 대상으로 기술의 안정성을 입증해 보여야 하는 핀테크·IT사들의 입장을 각각 충족할 수 있는 방법"이라고 설명했다.

핀테크업계는 이와 같은 금융보안원이 추진하는 보안 진단에 대해 환영의 입장을 표했다.

핀테크 스타트업 관계자는 "금융보안원에서 가이드를 심의를 한다고 했을 때 또 다른 금융 규제라고 생각했다"면서도 "막상 금감원이 보안성심의 폐지를 결정하자 금융권과 제휴를 위해서는 금융사별 체크리스트에 따라 보안 시스템 구축을 해야 되는데, 기준이 천차만별이라서 스타트업들에겐 오히려 장벽이 더 높아진 느낌이었다"고 지적했다.

이 관계자는 "하지만 금융보안원이 나서서 핀테크 기술에 대해 점검을 해주고, 이를 핀테크 회사와 금융사에 제공해 검증·제휴할 수 있는 환경을 만듦으로써 금융과 핀테크업계 모두가 윈윈(win-win)할 수 있는 형태의 시스템으로 자리잡을 것"이라고 기대했다.

금보원은 또 금융권·핀테크업체 등 민간과 논의해 금융보안 관련 가이드 제정을 추진하고 있다.

금보원 다른 관계자는 "신규 보안기술·인증수단 등에 대한 보안 가이드라인을 만들기 위해 원내에서 자체적으로 준비 중에 있다"며 "향후 금융협회를 비롯한 금융권과 보안 관련 핀테크·IT기업 등과 논의해 규제가 아닌 참고할 수 있고, 필요한 가이드를 자율적으로 확립해 갈 것"이라고 전했다.

금융당국은 이렇듯 금융보안을 민간자율에 맡기면서 사전규제를 완화하고, 감시체계를 강화해 기업의 사후책임을 강화할 계획이다.

금융당국 관계자는 "취약점 분석·평가보고서 등을 받고, 시장 모니터링을 통해 관리·감독할 것"이라며 "이를 통해 이상징후 발견 등 점검 필요 시, 상시 검사 또는 개선 권고 등을 해나갈 것"이라고 밝혔다.

이 관계자는 또 "금융보안원과 금융협회가 주축이 돼 추진할 금융보안 가이드라인 제정에 필요하다면 태스크포스팀 구성 등 협의 기반 조성은 금융당국이 지원할 수도 있다"고 말했다.

금융당국 다른 관계자는 "현재 개정을 준비중인 전자금융거래법에 사후 책임에 대해 새로이 추가할 내용은 없지만 신용정보보호법 등 보안사고와 관련된 기존 법률, 시행령, 규칙 등을 엄격히 적용할 것"이라고 전했다.

이어 "또 금융사들이 금융보안사고 등을 대비해 가입하는 책임보험금의 경우, 현재까진 최저 금액으로 가입해온 경향이 있는데, 앞으론 회사별로 과거 금융사고에 대한 규모 등을 고려해 사고 발생 시 실질적인 배상이 될 수 있게끔 적정한 금액에 가입하도록 권고할 것"이라고 강조했다.

박종진 기자 [e-mail]

<세계파이낸스>