금융당국이 보안규제 사각지대에 놓인 자산운용사, GA(법인보험대리점)를 비롯해 금융사 정보를 위수탁하는 클라우드업체까지 전자금융거래법(이하 전금법) 적용대상에 포함하는 제도의 손질을 검토한다. 금융권 전반의 보안투자를 총괄하는 새로운 법규를 제정하기까지 상당한 시간이 소요되는 만큼 선제적 조치로 풀이된다.
20일 금융권에 따르면 금융위원회는 외부 전문가들과 함께 전금법 대상에 자산운용사, GA, 클라우드업체 등을 포함하는 안을 검토 중이다.
금융당국 관계자는 "전자금융거래를 하진 않지만 IT(정보기술) 리소스를 이용해 고객정보를 다루는 회사들은 보안수준을 높여야 하기에 전금법 대상을 확대하는 방안이 논의된다"며 "일부 회사는 실제 금융거래가 일어나지 않기에 법 적용 대상에 어떻게 추가할지가 과제 중 하나"라고 말했다.
전금법에는 금융회사 또는 전자금융업자가 전자금융거래의 안전성 확보 및 이용자 보호를 위해 지켜야 하는 안전성 확보의무가 명시돼 있다. 다만 금융회사라고 해서 반드시 전금법 적용대상은 아니다. 법에서 정의하는 대로 '전자적 장치를 통해 금융상품 및 서비스를 제공'해야 법을 적용받는다. 자산운용사와 GA의 경우 고객이 직접 접속해 이체나 결제 등 전자금융업무를 수행하지 않는다는 이유로 법 적용 대상에서 빠졌다.
문제는 최근 개인정보를 노린 해킹이 급속도로 많아지면서 전금법 사각지대에 놓인 업체들도 표적이 됐다는 점이다. 일례로 지난해 러시아계 해킹그룹이 한 금융권 전산관리업체를 공격해 이 클라우드 서비스를 이용하는 운용사 20여곳의 내부정보가 유출됐다. 또 GA들에 전산프로그램을 제공하는 업체 역시 해킹공격을 받아 일부 GA의 고객 개인정보 유출이 의심되는 사고가 발생했다.
이들 업권의 금융보안 수준은 높은 편이 아니다. 금융보안원 회원사 중 운용사는 전무하고 최근 미래에셋자산운용이 유일하게 금융보안원 회원가입을 협의 중인 것으로 알려졌다. GA의 경우 지난해 11월부터 대형사 14곳이 금융보안원 사원으로 들어갔지만 중소형 GA는 찾아보기 어렵다.
운용사, GA 등을 전금법 대상에 포함해야 한다는 논의는 이전부터 있었지만 최근에는 금융사의 정보를 위탁받는 IT업체들도 적용대상에 포함해야 한다는 논의가 새롭게 나왔다. 금융회사들이 규모나 업종에 관계없이 내부 업무망에 클라우드를 도입하면서 금융사 정보가 외부로 더 많이 넘어가기 때문이다.
전금법 개정은 금융사 보안을 아우르는 디지털금융안전법을 제정하기 전 사전단계로 풀이된다. 올 초 앤트로픽이 개발한 고성능 AI(인공지능)모델 '미토스'의 등장으로 금융권에 사이버 해킹위협이 고조되자 금융당국은 보안규제 정비에 속도를 냈다. 금융위는 망분리 규제를 풀기 시작한 데 이어 하반기 업무보고에선 AI·클라우드 활용확대에 대응해 디지털금융안전법 제정을 핵심과제로 제시했다.
다만 디지털금융안전법은 전금법을 대체하는 입법작업인 만큼 각 업권의 특성과 IT 개발단계, 보유 고객정보 등을 감안해야 하므로 실제로 제정 및 시행까지는 시간이 꽤 걸릴 것으로 보인다. 금융위 관계자는 "굉장히 큰 제도개편"이라며 "징벌적 과징금에 관해선 국회에서 논의가 이뤄지고 이밖에 업계의 의견수렴이 필요한 부분이나 장기적 과제에 대한 법적 검토가 필요하다"고 전했다.