금융위, '클라우드·망분리 규제' 완화···"이용절차 등 간소화"

클라우드 사업자 평가 항목 줄이고

금융보안원의 '대표 평가제'도 도입

개발·테스트 서버, 망분리 예외키로

그래픽=박혜수 기자

앞으로 금융회사가 클라우드를 활용할 수 있는 업무 범위가 명확해지고 이용절차도 대폭 줄어든다. 망분리 규제도 단계적으로 완화된다.

14일 금융위원회는 금융분야의 디지털 전환을 뒷받침하고자 클라우드 활용과 망분리 규제를 개선한다고 밝혔다.

이는 금융사와 핀테크 업계의 의견을 반영한 조치다. 현행 금융 보안 규정에선 금융사가 클라우드 서비스를 이용할 때 업무 중요도와 클라우드서비스제공자(CSP) 안전성을 평가하고 정보보호위원회 심의·의결, 금융감독원 사전 보고 등 복잡한 절차를 거치도록 한다. 그러나 평가 항목이 과도하게 많은 데다 보고 절차도 번거로워 기업의 부담이 크다는 지적이 많았다.

또 망분리는 외부 침입으로부터 전산자원을 보호하고자 내부망과 외부망을 분리하는 네트워크 보안기법인데, 기업·업무의 유형을 고려하지 않은 물리적 규제가 기술 발전을 저해한다는 주장이 적지 않았다.

이에 당국은 클라우드 이용이 가능한 업무범위를 명확히 하고 중복되는 절차를 정비하는 한편, 사전보고를 사후보고로 바꾸는 등 제도를 정비하기로 했다.

먼저 CSP 평가 항목을 141개에서 54개로 축소하고, 비(非)중요업무는 54개 중 필수항목(16개)만 평가하도록 한다. 국내외 보안인증을 획득한 CSP에 대해선 인증 때 평가한 항목을 제외한 항목만 들여다볼 수 있게 할 예정이다.

동시에 같은 CSP에 대해 여러 금융회사가 중복 평가하는 부분을 개선하고자 금융보안원이 대표로 CSP를 평가하고, 금융사가 그 내용을 활용하는 제도를 도입하기로 했다.

아울러 클라우드 활용을 위한 제출서류가 간소화되며, 금감원 사전보고는 사후보고로 전환된다.

이와 함께 당국은 장기적인 관점에서 망분리 규제를 완화한다. 개인신용정보를 보유하지 않거나 금융거래 관점에서 중요성이 낮은 개발·테스트 서버엔 물리적 망분리 규제 부담을 덜어주는 식이다. 2020년 4월에도 카카오뱅크가 규제 샌드박스제도를 활용해 부설 금융기술연구소에 대한 망분리 예외 혜택을 받은 바 있다.

소비자 정보를 다루지 않는 운영시스템, 비중요업무용 클라우드 방식 소프트웨어(SaaS)에도 망분리 예외를 허용한다.

물론 당국은 개인정보 유출 등 보안사고 우려를 최소화하고자 개인신용정보나 계좌거래정보 활용을 금지하는 내부기준을 운영토록 한다는 방침이다.

금융위는 전자금융거래법 시행령과 감독규정 개정안을 이달 중 입법예고하고 내년부터 시행될 수 있도록 한다.

아울러 연말까지 '금융분야 클라우드컴퓨팅서비스 이용 가이드라인'도 개정해 모든 금융권이 실무적으로 참고할 구체적인 절차와 기준도 마련할 계획이다.

금융위 관계자는 "가이드라인 개정 등 제도개선 사항이 조기에 안착될 수 있도록 5월부터 금융위·금감원·금보원·금융협회 합동 유권해석반을 가동해 금융회사 등 이해당사자와 소통하겠다"고 말했다.

이어 "클라우드와 망분리 제도개선은 금융회사 등의 자율 책임에 따른 내부통제 기준 마련 등이 전제돼야 한다"면서 "하반기 중 금융회사 등의 정보보호심의위원회 구성‧운영 현황 등 내부통제시스템을 점검해 나갈 예정"이라고 덧붙였다.