금융권-핀테크 주요 관심사 `망분리`, 규제 완화 규모와 폭은?

실시간
뉴스

법제도/정책

금융권-핀테크 주요 관심사 '망분리', 규제 완화 규모와 폭은?

디지털데일리 발행일 2021-12-27 10:27:11

이상일

URL복사

[디지털데일리 이상일기자] 새해 금융권 망분리 규제 완화의 폭은 얼마나 될까?

금융권은 물론 핀테크, 빅테크 업체들이 새해 금융감독당국의 규제 중 가장 관심 있게 보고 있는 분야가 바로 금융권 망분리 규제 완화다.

금융위원회는 최근 업무보고를 통해 2022년 금융회사 자율성 확대 및 이용자보호 강화를 위해 금융보안 규제체계를 합리화하겠다고 밝히며 일환으로 망분리 규제 합리화 방안을 마련할 계획이다.

망분리 규제에 대한 금융권의 시각은 제각각이다. 하지만 적어도 금융 보안 측면에선 금융사의 보안 리스크를 줄이는데 일정부분 역할을 한 것이 사실이다. 또한 이미 금융사들은 망분리 의무화에 따라 전산센터에 대한 물리적 망분리와 본점과 지점에 대한 물리적, 논리적 망분리 사업을 완성한 상태다.

지난 2013년 금융전산 망분리 가이드라인 발표를 통해 은행 등 1금융권이 도입을 시작한 이후 망분리를 전제로 한 금융권의 업무 시스템은 이미 정착이 된 상태다. 또 비조치의견서 등 금융규제 완화를 통해 내부망과 외부망을 연계하는 연계 솔루션도 고도화됐다.

여기에 최근 금융권의 재택근무 증가로 인해 재택근무를 위한 망분리 규제 완화가 추진되면서 올해 1월 1일 ‘전자금융감독규정시행세칙’이 개정‧시행되어, 금융회사 임직원의 업무용 단말기에서 전용회선과 동등한 보안수준을 갖춘 통신망을 이용, 내부 업무용시스템으로 원격접속이 가능해졌다.

이러한 과정을 거쳐 적어도 금융권에서의 망분리 적용은 보안을 전제로 이용성 향상도 적절하게 유지되고 있다는 평가다.

문제는 금융권에 준하는 망분리 규제를 받아야 하는 빅테크, 핀테크 업체들이다. 업무망과 인터넷망을 하나로 사용하던 이들 기업들은 금융 허가사업에 뛰어들면서 망분리 규제에 놓이게 됐다. 금융 서비스에 디지털을 접목시켜 혁신을 꾀하는 이들 기업들 입장에선 기민한 대응과 빠른 상품 출시 등에 초점을 맞추고 있는데 망분리가 이를 저해한다는 불만이 팽배했었다.

최근 제4대 협회장 및 임원 후보 등록 공고를 내고 회장·부회장·이사·감사 등 제4대 이사회 구성을 위한 임원 구성에 돌입한 한국핀테크산업협회의의 내년도 주요 과제도 망분리 규제 완화에 방점이 찍혀 있다.

하지만 핀테크와 빅테크 업체가 원하는 수준의 망분리 규제 완화가 이뤄질 지는 미지수다. 금융위원회는 망분리 규제 완화에 단서를 달았다. “우리 금융의 특수성을 고려해야”하다는 것이다.

여기서 말하는 우리 금융의 특수성은 타 업종 대비 높은 사이버 공격 수준과 금융공동망, 마이데이터 시스템 등으로 각 금융사는 물론 빅테크, 핀테크를 연결하는 높은 네트워크 연계성(Inter-connectedness)을 꼽고 있다.

실제 금융사의 내부 시스템을 외부로 연계하는 외부 연계 채널의 복잡도는 날로 증가하고 있다. 업계에선 외부 연계를 담당하는 채널계에서의 사고가 발생할 경우 우리나라 금융시스템에 미치는 영향도 클 것으로 보고 있다.

때문에 금융당국도 ‘금융보안에 관한 원칙 중심의 규제체계 정립’을 전제로 규제 합리화 방안을 마련한다는 입장이다. 원칙 중심의 규제 체계는 준수해야 하는 사항을 일반적인 원칙 수준에서만 제시하고, 그 이상의 것은 금융사가 자율적으로 조정하도록 하는 형태다.

업계에서는 이러한 원칙 중심의 규제체계가 어떤 형식으로 작용할지 관심을 두고 있다. 망분리라는 전제를 유지하고 망연계 솔루션 확대, 망간 정보 전달의 권한을 개인 등에 부여할지 등을 금융사가 자체적으로 판단할지, 아니면 금융보안이라는 큰 틀에서 망분리 규제에 대해서도 유연하게 금융사가 대응할지 여부가 그것이다.

현재 까지도 망분리는 여전한 금융권 보안의 필수 요소로 자리매김하고 있다. 지난 23일 핀테크, 금융권, 유관기관, 금융당국 등은 금융 2022년 1월 1일 마이데이터 전면시행에 대비해 IT리스크 합동훈련을 실시했다. 금융당국은 마이데이터 허가시 망분리, 침입차단·방지시스템 등 엄격한 개인정보보호·보안기준을 충족하는지 심사하고 있다.