금융보안 규제 개선…저축은행ㆍ여전사, 재해복구센터 설치 의무화

금융위 전자금융감독규정 개정안 규정변경 예고
전자금융사고 시 책임이행보험 한도 상향
감독규정 정비를 시작으로 '금융보안 선진화'
내부통제ㆍ보안 리스크 관리 금융사 자율성 확대
법률개정 통해 자율보안 상응 책임성 강화할 것

(자료제공=금융위원회)

자체 전산을 이용하는 저축은행 12곳과 총자산 2조 원 이상인 여신전문회사 10곳 등에 대해 재해복구센터 구축이 의무화된다. 또한, 금융당국은 금융보안 규제를 '원칙' 중심으로 개선해 금융권의 자율보안 토대를 마련하기로 했다.

1일 금융위원회는 이 같은 내용을 담은 '전자금융감독규정' 개정안에 대한 규정변경을 예고했다.

이번 규정 개정을 통해 일부 중소금융사 및 전자금융업자 등에 대한 재해복구센터 설치와 업무복구 목표시간 설정 등이 의무화된다. 2022년 카카오 데이터센터 화재 이후 재해·전자적 침해 등으로부터 금융전산 복원력 강화와 신속한 소비자 피해구제 필요성이 커진 데 따른 조치다.

현재 중소금융회사 중 카드사와 중앙회 전산을 이용하는 일부 저축은행만이 재해복구센터를 구축할 의무가 있었다. 앞으로는 일정 기준을 충족하는 여신전문회사, 저축은행, 전자금융업자도 의무적으로 재해복구센터를 구축해야 한다. 총 거래액이 2조 원 이상인 전자금융업자 36개사, 총자산 2조 원 이상의 여전사 10개사, 자체 전산을 이용하는 12개 저축은행이 대상이다.

금융위 관계자는 "기준안을 따를 경우, 58개사가 의무대상에 편입되지만, 이 중 47개사가 재해복구센터를 이미 구축했다"며 "규제 부담이 크지 않을 것으로 보인다"고 했다.

전자금융사고 시 책임이행보험의 한도도 상향한다. 여전사, 보험사, 저축은행은 기존 1억 원에서 2억 원으로 올린다. 최근 3년간 전자금융사고가 자주 발생한 자산 2조 원 이상 금투업자의 경우, 최저보상한도를 기존 5억 원에서 10억 원으로 개선한다. 이 밖에 최고경영자, 이사회 등의 금융보안 의사결정 관여도도 높여 금융권 전반의 금융보안 거버넌스를 두텁게 한다.

금융위는 이번 감독규정 개정을 통해 금융사의 자율적 판단영역을 확대하고 적극적인 보안 투자를 끌어내기로 했다.

현행 전자감독규정은 상황에 따른 유연한 보안대응을 어렵게 한다는 지적을 받아왔다. '규칙' 중심인 탓에 보안방법을 특정해 같은 목적을 달성하거나 보안을 강화할 수 있는 다른 방법에 대한 가능성을 차단했다. 또, 규정상 의무만 준수하면 모든 보안책임을 다한 것이라는 인식 등 금융사의 소극적 행태를 초래한다는 지적도 잇따랐다.

특히 인공지능(AI), 클라우드 등 기술변화 및 고도화하는 사이버 위협에 효과적으로 대응하기 위해 금융보안체계의 유연성을 높이고 회복력 강화에 중점을 둔 제도 개선이 필요하다는 주장이 제기돼 왔다.

금융위는 금융사 스스로 새로운 리스크에 유연하게 대응할 수 있도록 기존 행위규칙 293개를 166개로 줄였다. 규정 형식도 사전통제적ㆍ열거적 형식이 아닌, 원칙과 목적을 제시하는 방향으로 개선하고 세세한 부분은 금융사가 스스로 결정할 수 있게 했다. 예컨대 사용자 비밀번호 설정 방식의 경우 기존에는 '주민등록번호, 동일숫자, 연속숫자 등은 비밀번호로 등록이 불가하다'는 등 세부규칙이 있었지만, 규정 개정을 통해 금융사가 스스로 안전하다고 판단되는 비밀번호 및 인증수단 관리방식을 도입해 사용자 비밀번호를 설정할 수 있도록 허용했다.

감독규정 개정안은 3월 12일까지의 규정변경 예고기간 이후 금융위 의결 등을 거쳐 공고 시부터 시행된다. 상반기에 감독규정 개정이 완료될 예정이다. 다만, 재해복구센터 설치 등 일부 조항에 대해서는 금융회사의 준비 기간을 고려해 시행시점을 일정기간 유예하는 등 경과규정을 마련한다. 개정안 시행 후 최소 6개월 이상의 유예기간을 부여할 계획이다.

금융당국은 이번 감독규정 정비를 시작으로 중장기적인 법률개정과 함께 자율보안으로의 전환을 추진할 방침이다. 금융당국 관계자는 "법률개정을 통해 자율보안에 상응하는 내·외부 책임성을 강화하고, 위험도에 비례한 금융보안 규제체계를 마련할 것"이라며 "궁극적으로는 금융사 스스로 위험관리 계획을 수립, 당국에 철저히 보고하고 당국은 계획의 적정성과 이행 여부를 검증하는 '자율보안체계'를 확립할 것"이라고 설명했다.