내년부터 개인신용정보도 클라우드서 활용

[한국금융신문 정선은 기자] 내년부터는 금융사가 개인신용정보도 클라우드에서 활용할 수 있게 된다.

금융위원회는 지난 5일 정례회의를 열고 이같은 내용의 '전자금융감독규정 개정안'을 심의·의결하고 내년 1월 1일부터 시행한다고 7일 밝혔다.

개정안에 따르면 개인신용정보․고유식별정보도 클라우드에서 이용 가능해진다.
그동안 금융회사나 전자금융업자는 개인신용정보나 고유식별정보같은 중요 정보를 포함하지 않은 비(非)중요정보만 클라우드에서 이용 가능했는데 규제가 풀린 것이다.

일단 사고 발생시 법적 분쟁, 소비자 보호, 감독 관할 등을 고려해 개인신용정보 처리는 국내 소재 클라우드에 한해 우선 허용된다. 국내에 전산센터가 있는 아마존, IBM, MS 등도 해당된다.

다만 금융분야 특수성을 반영해 데이터보호와 서비스 장애에 대해 안전성 기준을 세웠다. 정보시스템 가동기록 보존, 중요정보 암호화 등 데이터 보호 등이 이뤄져야 한다. 또 클라우드 이용시에도 주요 전산장비 이중화 및 백업체계를 구축해야 한다.

클라우드에 대한 내부통제도 강화해야 한다. 금융회사가 클라우드 서비스의 안전성을 평가하고, 자체 정보보호위원회 심의 의결을 거치도록 했다.

정보의 중요도에 따라 클라우드 이용 현황을 감독당국에 보고하고, 법적책임, 감독·검사 의무 등을 계약서에 명확히 해야 한다.
이번 규제 완화로 금융회사는 인공지능(AI) 상담, 상품개발, 데이터 분석 등을 위해 클라우드에서 개인신용정보를 이용할 수 있다.

다만 자체 보안 수준을 강화해야 한다. 보고의무를 강화하고 현장 방문을 포함해 금융회사와 감독당국의 조사·접근권을 확보하도록 했다.

금융회사는 클라우드 이용 업무에 대해 정보의 중요도를 평가하고, 개인신용정보 처리 여부 등을 사전확인하도록 했다.

금융보안원이 금융회사의 클라우드 안전성 평가를 지원한다.
금융회사 안에 자체 정보보호위원회를 두고 클라우드 위·수탁 운영기준 등을 심의·의결해 관리하고 감독하도록 했다. 금융회사의 정보보호최고책임자를 위원장으로 하며 의결사항은 감독당국에 보고해야 한다.

클라우드 제공자는 금융회사에 중요정보는 국내 한정하는 등 데이터의 물리적 위치를 알리고, 정보보호 의무와 서비스 장애 방지대책 등을 이행해 사고를 예방토록 했다.

사고 발생시 비상대응을 위해 국내 전산센터 내 필수 운영인력이 상주하도록 하고, 장애 발생 사실은 신속하게 통지하고 대응해야 한다.

또 손해배상, 재판관할 사항 등은 계약서에 명시해서 금융회사와 클라우드 제공자간 법적 책임관계를 명확화 하도록 했다.

고객 피해 발생시 금융회사가 이용자에 대해 직접 손해를 배상하고, 클라우드 제공자는 연대 배상책임을 부담한다. 고의나 과실로 인한 서비스 품질 저하나 장애가 발생하면 클라우드 제공자가 금융회사의 손해를 배상한다. 금융회사와 감독당국의 현장방문 접근권도 계약서에 명시토록 했다.

또 클라우드 이용계약 시정·보완 요구권, 클라우드 사업자에 대한 자료제출 요구권을 통해 관리 감독이 이뤄진다. 금융위 측은 "국내외 클라우드 운영 상황, 해외 사례 분석 등을 토대로 클라우드 제공자에 대한 감독당국의 감독·조사권을 보다 강화는 법개정을 추진할 것"이라고 말했다.

외부 통신망과 분리 차단되도록 하고 사고 발생시 원인 파악을 위해 정보시스템 기록을 보존한다. 범죄 수사를 위한 외국 정부의 정보제공 요청시 국내법 위반 소지가 있을 경우 거부도 가능하다.

내년 개정규정 시행에 앞서 금융위는 이달 중 '금융권 클라우드 서비스 가이드라인' 개정안을 마련할 방침이다.