금융당국이 망분리 규제 개편에 따라 외부 정보기술(IT) 업체 규제 방식을 고심하고 있다. 유럽연합(EU)과 영국 등이 아마존웹서비스(AWS) 등 글로벌 빅테크를 직접 감독하는 것과 달리 국내에서는 금융사를 통한 간접 규율 방식에 무게가 실리고 있다.
11일 금융권에 따르면 금융위원회는 망분리 규제 개편에 따라 금융사와 연계된 클라우드·플랫폼 등 외부 IT 업체에 대한 보안 규율 강화 방안을 검토하고 있다. 금융사와 외부 업체 간 계약에 침해사고 발생 시 책임 소재와 사고 조사 협조 범위를 명확히 규정하는 방식이 거론된다. 인공지능(AI) 활용 확대를 위해 망분리 규제가 완화되면 금융사와 외부 시스템 간 연결이 늘어나 보안 위험도 커질 수 있기 때문이다.
해외 주요국처럼 글로벌 IT 업체를 금융당국의 직접 감독 대상으로 지정하는 방식은 도입하기 어려울 전망이다. 영국은 올 7월 AWS·구글클라우드·마이크로소프트·오라클 등 4개 업체를 금융시스템의 중요 제3자(CTP)로 지정했다. 영란은행(BOE)과 건전성감독청(PRA), 금융행위감독청(FCA)은 이들 업체가 금융권에 제공하는 핵심 서비스의 운영 안정성을 공동 감독한다. 특정 업체에서 발생한 장애나 보안사고가 여러 금융사로 확산되는 위험을 차단하려는 취지다.
EU도 지난해 1월 시행된 디지털운영복원력법(DORA)에 따라 같은 해 11월 AWS·마이크로소프트·구글클라우드 등을 포함한 핵심 정보통신기술(ICT) 서비스 업체 19곳을 감독 대상으로 지정했다. 유럽은행감독청(EBA)·유럽증권시장감독청(ESMA)·유럽보험연금감독청(EIOPA) 등 금융감독기구는 해당 업체의 금융권 관련 서비스에 대해 자료 제출을 요구하거나 현장검사를 실시하고 위험 개선을 권고할 수 있다.
국내 금융당국도 과거 외부 IT 업체에 대한 직접 감독을 추진한 바 있다. 금융위는 2018년 7월 금융권 클라우드 이용 확대방안을 발표하면서 전자금융보조업자에 대한 직접 감독·조사권을 확보하기 위한 법 개정을 검토하겠다고 밝혔다. 이후 금융사와 클라우드 업체 간 계약에 전산사고 등에 대한 책임 관계를 명시하도록 전자금융감독규정을 정비했지만, EU처럼 핵심 IT 업체를 상시 감독할 수 있는 체계는 마련되지 않았다.
금융위 관계자는 “해외에 본사를 둔 글로벌 클라우드 업체 등 비금융사를 금융당국이 한국 금융사 수준으로 직접 감독하는 것은 현실적으로 쉽지 않을 것”이라며 “직접 관리·감독이 아니더라도 사고가 발생했을 때 어느 정도까지 협조해야 한다는 식의 규율을 강화하는 방식을 검토하고 있다”고 설명했다.