- 미래금융전략센터 내 신설된 “정보보호 전략컨설팅팀” 주도
I. 정보사고 예방의 중요성 대두
올해 3월말 개인정보보호위원회는 某 카드사에 대하여 가맹점주의 개인정보를 동의없이 마케팅에 활용하였다는 이유로 과징금 134억원 및 시정/공표 명령을 부과한 바 있습니다. 그런데, 그로부터 약 1달만에 某 통신사는 악성코드로 인해 고객들의 유심 관련 일부 정보가 유출되었다고 공지하였습니다. 이와 같이 2025년 들어 정보보호와 관련된 기업의 법적 책임이 그 어느 때보다도 무겁게 부각되고 있습니다. 특히, 금융기관에 있어서 고객의 정보보호는 일반 기업에 비하여 더욱 중요하고, 유출시 그 피해가 훨씬 클 수 있기 때문에 정보보안의 문제는 더욱 중요하게 다뤄질 필요가 있습니다.
II. 금융위원회, IT보안규제 제도 개선
금융위원회는 2022년 급변하는 IT환경과 새로운 보안 리스크에 금융회사 또는 전자금융업자(이하 “금융회사 등”)가 탄력적으로 대응할 수 있도록 ｢금융보안규제 선진화 방안｣을 이미 마련한 바 있습니다. 동 방안은 금융분야에서 클라우드·빅데이터·AI 등 디지털 신기술 활용이 확대됨에 따라 보안 취약점을 이용한 랜섬웨어, DDoS 공격 등 사이버 위협의 유형도 다변화하자, ‘기존 금융보안 규제로는 보안 리스크에 효과적으로 대응하기 어렵다’는 문제의식에서 마련되었습니다.
그리고 올해 2월 5일, 동 방안을 실행하기 위한 1단계 조치로 전자금융감독규정 개정안이 시행되었습니다. 동 개정안은 먼저 금융보안 거버넌스를 강화하기 위해 종래 CISO(Chief Information Security Officer)가 정보보호위원회의 심의·의결사항을 단순히 최고경영자에게 보고하던 것에서 한발 더 나아가, 전자금융거래의 안전성 및 신뢰성에 중대한 영향을 미치는 심의·의결사항에 대하여 이사회에 보고하도록 규정하였습니다. 그리고 금융회사 등이 전사적 차원에서 보안위협을 스스로 진단하여, 복잡하고 다변화되는 위험에 유연하게 대응해 나갈 수 있도록 규제체계를 “규칙(Rule) → 원칙(Principle) 중심”으로 개선(293개의 행위규칙을 166개로 정리)하였습니다.
III. 금융감독원, IT내부통제 강화를 위한 「IT감사 가이드라인」 배포
금융감독원은 위와 같은 “규칙→원칙 중심”의 규제 패러다임 전환으로 IT보안 리스크 관리에 대한 금융회사 등의 자율성이 확대됨에 따라, 이에 상응하는 IT내부통제 체계의 구축 필요성이 증가할 것으로 판단하여, 2월 13일 체계적인 IT내부통제 운영 및 효과적인 IT감사업무 수행을 위한 기준을 가이드라인으로 발표하였습니다.
동 가이드라인은 금융감독원 IT검사 지적사례 및 국제 표준 등을 참고하고 금융업계(금융협회 및 저축은행중앙회, 핀테크산업협회 등) 의견 수렴을 통해 마련하였으며, ➊자체 IT리스크에 맞는 3단계 IT내부통제 체계 구성, ➋사각지대 없는 통제 범위 설정, ➌IT감사 독립성 확보 및 ➍표준 IT감사 방법론 등을 권고사항으로 제시하고 있습니다.
｢IT감사 가이드라인｣ 핵심 내용
➊ (IT내부통제체계) [1단계] IT조직의 내부통제 방안 수립‧이행 → [2단계] IT조직의 자체감사 → [3단계] 감사조직의 IT감사로 이어지는 유기적‧다층적 통제체계
➋ (IT내부통제 범위) 책무구조를 기준으로 IT내부통제 범위 및 수행주체 명확화
➌ (IT감사 독립성) IT감사인의 업무 독립성 확보를 위한 직무분리 및 인력 운용 기준
➍ (IT감사 방법) IT감사계획 수립-실시-보고 단계에 따른 주요 절차 등 업무 기준
금융감독원은 ‘동 가이드라인이 행정지도 등 금융규제에는 해당하지 않으나, 향후 가이드라인 이행여부를 관리할 예정이며, IT실태평가시 기준으로 활용하겠다’는 입장인 바, 금융회사 등은 사실상 동 가이드라인에 따라 IT감사 체계를 구축할 필요가 있을 것으로 보입니다. 만약, 이와 같은 IT감사 체계를 갖추지 못한 상태에서 최근 발생한 카드사 또는 통신사와 같은 정보유출이 일어난다면 금융회사 등은 법적 책임 뿐만 아니라 사회적 비난을 피하기 어려울 것으로 예상됩니다. 이에 따라 벌써 일부 회사들은 단독 또는 컨소시엄을 구성하여 동 가이드라인에 부합하는 IT감사체계를 갖추기 위한 작업을 시작한 것으로 보입니다.
IV. ‘정보보호 전략컨설팅팀’의 역할
법무법인(유한) 태평양은 이달 초 미래금융전략센터 내 '정보보호 전략컨설팅팀'을 신설했습니다. 최근 급증하고 있는 금융기관을 비롯한 기업들의 사이버 보안 위협에 선제 대응하고, 정보보호 정책 정비, 정보보안 리스크 분석 및 대응체계 구축, 정보보안 교육 지원 등 보안 거버넌스 구축 전반을 지원하기 위해 선제적으로 전문팀을 구성한 것입니다. 정보보호 전략컨설팅팀은 기존 미래금융전략센터의 전문가들과 연계하여, ▲현재 회사의 IT 정보보호∙보안 체계 진단 ▲관련 법령에 따른 보완 필요사항 식별 ▲IT 대응 체계 보고서 작성 지원 ▲담당직원 교육 등 IT컴플라이언스를 위한 통합 서비스를 구성하였습니다. 특히 고객의 요청이 있을 경우 외부 전문 보안회사와 기술적인 협업도 지원합니다.
이제 금융회사 등에게 IT보안 문제는 CISO 및 관련 부서만의 업무가 아닌 이사회 및 최고경영층이 직접 정보보호 전략에 참여하고 책임져야 하는 문제로 전환되었고, 단순한 보안 규정 준수를 넘어 회사 스스로 보안 수준을 능동적으로 제고해야 하는 시대로 접어든 것으로 보아야 합니다.
신뢰를 기반으로 하는 금융회사 등에게 보안사고는 치명적입니다. 감독당국이 선제적으로 IT정보보안 관련 내부통제 자율점검을 위한 가이드라인까지 제공한 만큼, 금융회사 등은 법무법인(유한) 태평양의 정보보호 전략컨설팅팀과 같은 준비된 전문가의 자문을 받아 사전에 철저히 준비할 필요가 있습니다.
* * *
법무법인(유한) 태평양의 『미래금융전략센터』는 금융시장의 급격한 변화와 기술의 발전에 발맞춰 고객의 신규 사업모델과 금융기법, 정보통신기술분야에서의 다양한 법률자문을 제공하고 있습니다. 특히, 해당 센터의 구성원들은 금융위원회, 금융감독원, 과학기술정보통신부, 행정안전부, 개인정보보호위원회 등 다양한 유관기관 출신 전문가들로 구성하고 있어, 금융, ICT, 데이터, AI 등에 관한 규제 자문부터 대안모델의 제시, 입법적 해법 등을 아우르는 종합 적인 대응 전략을 제시하고 있습니다. 디지털금융분야에서 발생하는 법적 이슈에 대한 자문 이 필요하신 경우 언제든지 동 전문가들에게 연락주시기 바랍니다.
