금융당국 뒤로 가는 IT보안

1년 이상 사고없으면 심의 면제,,"시대착오적 발상" 지적

[아시아경제 조태진 기자]앞으로 일정기간 보안 사고가 없었던 금융기관은 금융감독원의 보안심사를 받지 않아도 된다. 또 고객 정보보호 및 금융거래정보 시스템을 도입할 경우에는 '금융사고 이력'과 상관없이 심사가 면제된다.

하지만 보안위협 요인이 날로 고도전문화되는 상황에서 시장 선제적 대응을 약화시킬 수 있는 정책 추진이 시대착오적인 발상이라는 지적이 나오고 있다.

28일 금융권에 따르면 금감원은 최근 1년 동안 전산망 장애 등 보안 관련 사고를 일으키지 않은 업체에 대해서는 금감원장 주도의 보안성 심의를 면제해주는 내용의 전자금융감독규정 시행세칙 개정안을 확정했다.

개정안에 따르면 보안성 심의 대상을 신청일 기준 1년 이내 금융사고 발생회사로 제한했다. 금융거래정보 송수신, 정보보호시스템 도입, 정보처리시스템 업무 외부주문은 심의 대상 업무에서 아예 제외했다.

예컨대 지난해 3월 이후 보안사고가 없었던 시중은행의 경우 금융거래ㆍ정보보호 시스템을 업그레이드 하거나 스마트폰 금융거래 어플리케이션을 도입하려할 때 금감원의 보안 검열을 거칠 필요가 없게 된 것이다.

이에 대해 금감원 관계자는 "전혀 새로운 전자금융서비스를 도입하는 경우가 아니라면 보안 수준이 검증된 업체에 대해서는 심사 기준을 완화해 업무 효율성을 높여주자는 취지"라며 "감독규정 시행세칙 일부 조항이 전자금융감독규정으로 이관된데 따른 조치이기도 하다"고 말했다.

실제로 금융위는 감독규정 시행세칙에 포함된 30여개 조항을 전자금융감독규정으로 격상시키면서 일부 업무에 대해 직접 보안성 심의에 나서기로 했다.

하지만 금융위에 보안 전문인력이 턱없이 부족한데다 업무 수행능력도 미진해 금감원에서 수행했던 노하우를 충족시키기는 무리라는 지적이다. 금융위는 지난 1월 금융IT 보안사고 예방 기능을 강화하기 위해 전자금융팀도 신설하고 관련 인력을 4명 증원했다.

보안업계 한 관계자는 "지난해 농협, 현대캐피탈 사례에서 보듯 전자금융 사고가 금융시장에 미치는 여파는 상당하다"며 "모바일 금융거래가 확산되면서 신종 해킹 출연 가능성이 높은데 사전 보안심의를 완화하는 것은 '소 잃고 외양간 고치기'식 대응이라고 밖에 볼 수 없다"고 목소리를 높였다.

한편, 금감원은 업계를 대상으로 보완 의견을 접수한 뒤 내부위원회 심의를 거쳐 오는 5월 중으로 시행할 계획이다.