금융당국이 보안 규제 사각지대에 놓여있던 자산운용사, 법인보호대리점(GA)을 비롯해 금융사 정보를 위수탁하는 클라우드업체까지 전자금융거래법 적용 대상 안으로 들이는 제도 손질을 검토한다. 금융권 전반의 보안투자를 총괄하는 새로운 법규를 제정하기까지 상당한 시간이 소요되는 만큼 선제 조치로 풀이된다.
20일 금융권에 따르면 금융위원회는 외부 전문가들과 함께 전금법 대상에 자산운용사, GA, 클라우드 업체 등을 포함하는 안을 검토 중이다.
금융당국 관계자는 "전자금융거래를 하진 않지만 IT 리소스를 이용해 고객정보를 다루는 회사들은 보안수준을 높여야 하기에 전금법 대상을 확대하는 부분은 이전부터 논의되고 있다"며 "일부 회사는 실제 금융거래가 일어나지 않기에 법 적용 대상에 어떻게 추가할 수 있을지가 입법 과제 중 하나"라고 말했다.
전금법은 금융회사 또는 전금업자가 전자금융거래의 안전성 확보 및 이용자 보호를 위해 지켜야하는 안전성 확보 의무를 열거하고 있다. 다만, 금융회사라고 해서 반드시 전금법 적용 대상은 아니다. 법에서 정의하는대로 '전자적 장치를 통해 금융상품 및 서비스를 제공'해야 법의 적용을 받는다. 자산운용사와 GA의 경우 고객이 직접 접속해 이체나 결제 등 전자금융업무를 수행하지 않는다는 이유로 법 적용 대상에서 빠져있었다.
문제는 최근 개인정보를 노린 해킹이 급속도로 많아지면서 전금법 사각지대에 놓인 업체들도 표적이 되는 사례가 늘고 있다는 점이다. 일례로 지난해 러시아계 해킹 그룹이 한 금융권 전산관리업체를 공격해 이 클라우드 서비스를 이용하는 운용사 20여곳의 내부 정보가 유출됐다. 또 GA들에 전산프로그램 제공하는 업체 역시 해킹공격을 받아 일부 GA의 고객 개인정보가 유출이 의심되는 사고가 발생했다.
이들 업권의 금융보안 수준은 그다지 높은 편은 아니다. 금융보안원 회원사 중 운용사는 전무하고 최근 미래에셋자산운용이 유일하게 금융보안원 회원 가입을 협의 중으로 알려졌다. GA의 경우 지난해 11월부터 대형사 14곳이 금융보안원 사원으로 들어가 있지만 중소형 GA는 찾아보기 어렵다. 금융권 관계자는 "보안도 일종의 투자이기에 효율성과 상충하는 측면이 있어 자율에만 맡기기엔 한계가 있다"고 말했다. 특히 규모가 작은 회사일 수록 인력과 자본 부족을 이유로 보안 투자를 '비용 부담'으로 치부하는 실정이다.
운용사, GA 등을 전금법 대상에 포함해야 한다는 논의는 이전부터 있었지만, 최근에는 금융사의 정보를 위탁받는 IT업체들도 적용 대상에 포함해야 한다는 논의가 새롭게 나오고 있다. 금융회사들이 규모나 업종에 관계없이 내부 업무망에 클라우드를 도입하면서 금융사 정보가 외부로 더 많이 넘어가고 있기 때문이다.
이같은 입법작업은 금융사 보안을 아우르는 디지털금융안전법을 제정하기 전 사전작업단계로 풀이된다. 올초 앤트로픽이 개발한 고성능 AI 모델 미토스의 등장으로 금융권에 사이버 해킹 위협이 고조되자 금융당국은 보안 규제 정비에 속도를 내고 있다. 금융위는 망분리 규제를 풀기 시작한데 이어 하반기 업무보고에서 AI, 클라우드 활용 확대에 대응해 디지털금융안전법 제정을 핵심과제로 제시했다.
기존 금융회사들의 내부통제를 강화하는 전금법 개정도 진행되고 있다. 유동수 더불어민주당 의원이 대표발의한 전금법 개정안엔 중대한 사이버 침해사고 발생시 금융회사의 매출액 3% 이상을 과징금으로 부과하고 CEO와 정보보호최고책임자(CISO)의 책임을 강화하는 안이 담겼다. 해당 법안은 상임위인 정무위 심사 대기 중이다.
디지털금융안전법은 전금법을 대체하는 입법 작업인만큼 각 업권의 특성과 IT 개발 단계, 보유 고객정보 등을 감안해야 하므로 실제로 제정 및 시행까지는 시간이 꽤나 걸릴 것으로 보인다. 금융위 관계자는 "굉장히 큰 제도 개편"이라며 "징벌적 과징금에 관해선 국회에서 논의가 이뤄지고 있고 이밖에 업계 의견 수렴이 필요한 부분이나 장기적 과제에 대한 법적검토가 필요하다"고 전했다.