[기획] 금융보안전담기구 설립 원점 재검토해야

금융위원회의 금융보안전담기구 설립 정책에 대해 졸속 추진이라는 비판이 이어지고 있다. 올해 초 발생한 대규모 카드사 정보유출 사태와 관련해 금융위가 금융보안의 컨트롤타워 역할을 하는 금융보안전담기구 설치를 대안으로 내놓으며 금융보안연구원의 확대개편 방안을 발표했지만 실효성 측면에서 의문이라는 것이다.

또한 지난해 8월 이미 금융위 주도로 컨트롤타워 역할의 금융전산보안협의회가 신설돼 운영 중인 상황에서 전담기구 설립의 추진은 근본적인 문제해결을 외면한 행정편의적 발상이라는 지적이다.

1일 국회도서관에서 새정치민주연합 이종걸, 강기정, 김기준닫기김기준기사 모아보기, 김기식닫기김기식기사 모아보기, 이상직 의원이 주최하고 금융소비자연맹, 전국금융산업노동조합, 전국공공노동조합연맹이 주관한 ‘금융보안전담기구 설립방안, 무엇이 문제인가?’ 토론회에서 이러한 주장들이 제기됐다.
◇ “컨트롤타워와 ISAC 공존해야”

금융위는 지난 2월 금융보안 컨트롤타워 설립을 위해 민간기구인 금융보안연구원에 금융ISAC을 흡수·통합시키는 확대개편 방안을 내놓았다. 정보공유분석센터를 뜻하는 ISAC은 정보보호에 공동대응하기 위해 민간주도의 자발적으로 만들어진 기구다. 1998년 미국에서 첫 등장 후 세계 각 분야에서 활발히 구성 및 운영되고 있다. 우리나라 역시 정보통신기반보호법을 제정해 민간주도 ISAC 설립을 적극 권장하고 있다. 현재 국내에선 금융결제원이 은행, 코스콤이 증권분야의 금융ISAC을 운영하고 있다.

금융위의 금융보안연구원 확대개편 결정에 금융ISAC을 비롯한 관계기관들은 사전협의 없이 날벼락을 맞은 상황이다. 주제발표에 나선 김승주 고려대 정보보호대학원 교수는 “전담기구 설치만이 최선책이냐”며 “둘 중 하나만 남기는 것이 아니라 컨트롤타워와 ISAC 모두 공존해야한다”고 주장했다. 컨트롤타워는 빠른 판단을, ISAC은 새로운 정보를 모아 공유하는 각자의 역할에 충실하며 협업해야 한다는 것이다.

김 교수는 정보통신분야 컨트롤타워인 한국인터넷진흥원(KISA)이 산하의 통신ISAC을 침해사고 대응체계 강화를 위해 독립법인으로 출범시킨 사례에 비춰 “금융은 민·관이 공조해야하는 시대 흐름을 역행하고 있다”고 비판하며 “금융ISAC을 확대할지 금융보안전담기구를 설립할지 혹은 둘 다 수용할지를 원점에서 점검하고 투명하게 결정하는 것이 필요하다”고 제시했다.

또한 “금융보안전담기구의 설립은 극단적 타율규제가 될 수 있다”고 김 교수는 주장했다. 금융보안 패러다임을 타율·규제에서 자율로 전환하겠다고 밝힌 금융위의 발표와 맞지 않는다는 것이다. 정부주도의 획일적인 보안정책이 아닌 금융사들이 스스로 보안위협을 분석하고 보안대책을 세우도록 하는 자율규제 방식이 필요하다는 지적이다.
김 교수에 따르면 현재 우리나라는 보안위험에 대해 정부가 업체들에게 지침을 일일이 명시해주는 방식이다. 이는 규제가 너무 많을 뿐만 아니라 보안사고 발생 시 해당 기업에게 ‘법대로 다했으니 사고는 불가항력이었다’는 식의 여지를 남길 수 있다.

미국을 비롯한 선진국에서는 자율규제를 하는 대신 사고가 발생하면 엄청난 과징금을 부과하기 때문에 기업들이 적극적으로 보안위협에 대책을 마련하고 있다. 관피아 논란에서도 자유롭지 못하다. 김 교수는 “ISAC을 축소시키고 전담기구를 만드는 것이 옳은지 의문”이라 말했다. 금융보안연구원 역대 회장 4명 중 3명은 금감원, 1명은 정치권 출신 인사다.

◇ 화학적 융합 가능할까?

금융보안전담기구를 법적기반 없이 민간기구로 세우는 것에 대해서도 비판이 이어졌다. 이정식 한국노총 사무처장은 “애초 컨트롤타워를 목표로 설립한 금융보안연구원이 제 역할을 하지 못하고 있는 정책실패에 대한 성찰없이 오히려 확대개편 하겠다는 것은 행정편의적인 발상”이라는 입장을 펼쳤다.

그는 “금융위가 주도하여 설치한 금융전산보안협의회가 6개월도 운영되지 않은 시점에서 전담기구 설립 추진을 강행하는 것이 최선이냐”고 반문했다.

또한 이 사무처장은 기관통합을 통한 전담기구 설립에 대해 “금융보안연구원과 금융ISAC을 단순히 합쳐놓은 물리적 융합은 가능하겠지만 시너지 효과가 창출되는 화학적 융합에서 실패할 위험성이 존재한다”고 지적했다. 조연행 금융소비자연맹 상임대표는 “금융보안전담기구를 민간기구가 아니라 공적인 기구나 부서에 설치해야 한다”며 전담기구의 법적 기반에 대해 언급했다. “전담기구가 개별 금융사에 대한 법적 구속력이 없어 관리감독으로서 한계가 있고 은행, 보험, 증권 등 전 금융계의 컨트롤타워 역할에 대해서도 의문”이라는 것이다.

박희준 연세대 교수는 “올초 카드사 정보유출 대란의 1차적 책임은 지금까지 보안에 충분한 투자를 하지 않은 기업들과 이들을 제대로 관리감독하지 못한 정부책임”이라며 “하지만 대안으로 나온 새로운 전담기구 설립이 과연 실효성이 있을지 의문”이라 말했다. 이어 “금융서비스가 계속해서 변화하는 상황에서 금융보안연구원, 금융결제원, 코스콤을 통합했을 때 각 기구들 고유의 전문성이 충분이 담보될 것인가”라며 우려를 표했다.

한편 전요섭 금융위 전자금융과장은 “금융보안전담기구의 신설이 아니라 기능의 재조정”이라 강조하며 “흩어져있는 금융보안 역할을 한 곳에 모아놓고 좀 더 나은 서비스를 제공하려는 것이 목적”이라고 말했다. 현재 은행과 증권으로 나뉜 두 금융ISAC의 수준 차이로 정보공유가 잘 이뤄지지 않아 합치는 것이 바람직하다는 것이다. 또한 화학적 융합에 대한 우려에 대해선 “관계기구 의견을 다 수렴해서 반영될 수 있도록 노력하겠다”고 밝혔다.



김효원 기자 hyowon123@fntimes.com