금융당국이 망분리 규제 완화를 필두로 새로운 금융보안 체계를 세우겠다고 천명하면서 금융권 관심이 집중되고 있다.
특히 내년 상반기 중 발표를 앞둔 '디지털 금융보안법' 준비가 한창인데, 법안의 핵심은 망분리 이후에도 민간의 자율적인 보안 체계 안에서 안정적인 금융 서비스를 제공할 수 있는 환경을 만드는 데 집중될 것으로 보인다.
28일 금융권에 따르면 금융위원회는 지난달 금융보안법에 관한 입법 방안을 주제로 한 정책연구용역을 금융보안원에 맡기고 외부 전문가들과 함께 법안 기초 작업을 준비 중이다.
금융위는 '금융 분야 망분리 개선 로드맵'을 발표하면서 디지털 금융보안법 제정을 예고한 바 있다.
망분리 규제는 쉽게 말해 금융회사 내부 전산망에서 인터넷에 접속할 수 없도록 하는 조치인데, 그간 금융 혁신을 저해하는 요소로 지적돼 금융위는 이런 규제를 걷어내겠다고 선언했다.
다만 망분리 규제를 걷어내면 금융당국이 전방위로 교류가 이뤄지는 전산망을 모두 관리·감독할 수 없는 만큼 중장기적으로 민간의 자율 보안 체계를 수립하겠다는 계획을 내걸었다.
아직 법안에 대한 연구용역을 진행 중인 만큼 구체적으로 안이 수립된 것은 아니지만 새 보안 체계의 핵심은 민간 자율 보안 체계의 골격을 만드는 동시에 사후 금융보안 사고 등에 대한 책임 기준을 분명히 세우는 데 집중할 것으로 보인다.
금융당국의 기준에 미치지 못했을 때 제재가 따르는 체계가 아니라 민간에서 자유롭게 보안 체계를 만들고 이에 따른 결과를 직접 져야 하는 생태계를 만들겠다는 의미다.
연구용역 진행 역시 금융회사들이 어떻게 하면 디지털 환경 속에서 안정적인 금융 서비스를 제공할 수 있는지에 대한 논의가 집중된다.
연구용역에 정통한 관계자는 "아직 연구 용역 차원에서 여러 방안을 고민하고 있다"면서 "외부망과 연결함으로 인해 발생하는 서비스 장애, 중단 등 위협에 대한 보안을 강화하는 방법을 논의 중"이라고 말했다.
학계에서는 궁극적인 자율 보안 체계가 만들어지기 위해선 금융보안 사고의 책임에 대한 사회적인 합의가 담겨야 한다고 말한다.
이른바 '제로 트러스트(어떤 프로그램도 안전하다고 믿지 않고, 지속적으로 검증을 요구하는 보안 개념)' 등 망분리 규제를 극복할 수 있는 기준을 잡을 필요가 있다고 제언한다.
권헌영 고려대 정보보호대학원 교수는 "금융당국의 관리·감독이 빠졌을 때 민간 보안 문제에 대한 책임을 어떻게 강화하고, 외부 인공지능(AI) 서비스 등을 어느 수준까지 도입할 것인지, 또 보안사고 관련 검증은 누가·어떻게 할 것인지 등에 대한 다양한 논의가 필요하다"고 말했다.
실제로 그간의 금융보안 사고는 외부·내부 전산망 분리 덕분에 시스템 충격으로 전이되지 않았지만 향후 디지털 전환(DX)이 확대됨에 따라 일련의 보안 사고가 금융시스템으로 전이될 가능성도 크다.
금보원 관계자는 "금융보안법이 나온다면 금융권의 보안 투자가 더욱 활발해지면서 보안도 강화되고, 이용자 측면에서도 더욱 안전하게 서비스를 이용할 수 있는 기반이 마련될 것"이라고 내다봤다.