금융권, 자율보안 시대…태평양 "보안업체·컨설팅펌과 삼각협력"

[이데일리 송승현 기자] “금융권이 자율보안 체계로 전환하면서 기업들이 ‘어떻게 보안성을 높여야 컴플라이언스를 준수할 수 있는지’ 명확한 기준이 없어져 고민이 깊어지고 있습니다. 예전에는 법률에 지정된 세세한 규정만 준수하면 면책이 됐지만, 이제는 원칙 중심으로 바뀌면서 실질적인 보안 강화 방안을 스스로 찾아야 하는 상황이 됐습니다.”

금융감독원 출신의 김남수 법무법인 태평양 정보보호전략컨설팅팀 부팀장(전문위원)은 28일 이데일리와의 인터뷰에서 이같이 말했다. 태평양은 지난 6월 변호사와 IT 및 금융 전문가가 공동으로 이끄는 독특한 구조의 정보보호전략컨설팅팀을 신설한 바 있다.

태평양 정보보호전략컨설팀장인 윤주호(사법연수원 35기) 변호사는 “예전에는 클라이언트들이 단순히 법률적 컨설팅만 요청했지만, 최근에는 기술적 사안과 향후 대처 방안까지 포함한 통합 컨설팅을 요구하는 고객들이 많아졌다”며 팀 신설 배경을 설명했다.

법무법인 태평양 정보보호전략컨설팅팀 소속 윤주호, 김남수 전문위원. (사진=김태형 기자)

금융권 보안, 원칙 중심으로 변모…자율 책임 강화 추세로

SK텔레콤(017670)의 유심칩 해킹에 따른 개인정보 유출 사고 이후 기업들의 정보보호 투자가 급증하고 있다. 여기에 금융당국이 자율보안 체계 전환을 추진하면서 금융권의 고민이 깊어지고 있다. 앞서 금융위원회는 지난 2월 전자금융감독규정 일부개정규정안 의결 및 시행했다. 이 개정은 금융보안 규제의 패러다임을 ‘규칙’ 중심에서 ‘원칙’ 중심으로 전환해 금융권의 자율보안 토대를 마련하는 것이 핵심이다.

이에 대해 김 위원은 “금융회사들이 예전에 해킹 공격을 받으면서 전자금융감독규정에 망분리 등 세세한 조치들이 강화됐었는데, 작년부터 금융당국이 AI 도입 등 망분리 규제를 완화하는 대신 자율적으로 보안 체계를 강화하라는 방향으로 정책을 완전히 바꿨다”고 설명했다.

그러면서 “지금 준비 중인 디지털 금융보안법도 원칙 중심으로 규정을 바꾸고, 과징금과 벌칙을 강화해 자율성을 주는 대신 책임도 강화하는 방향”이라며 “이런 상황에서 각종 보안 사고까지 터지면서 금융회사들의 고민이 더욱 심화됐다”고 덧붙였다.

법무법인 태평양 정보보호전략컨설팅팀 소속 윤주호, 김남수 전문위원. (사진=김태형 기자)

정보보안, 컴플라이언스 관점서도 부각…태평양, 전담팀 꾸려

이같은 정보보안 중요성에 따라 법무법인 태평양에서도 정보보호전략컨설팅팀을 꾸리고 대응에 박차를 가하고 있다. 윤 변호사는 “보안업체, 컨설팅회사, 로펌이 삼각으로 업무를 하는 방식”이라며 “이 삼각연대가 서로 협력하면서 법무법인이 법규적 관점에서 전체를 조율한다”고 설명했다.

이어 “법무법인의 신뢰감 하에서 다른 업체들과 잘 협의해 최선의 솔루션을 가져달라고 요구하는 기업들이 많아지고 있다”며 “예전에는 법규 컴플라이언스 따로, 기술적 컨설팅 따로 하다 보니 기술적으로는 문제없는데 법규는 다 준수하는지 확신할 수 없었다. 이제는 고객들이 ‘점검한 것이 컴플라이언스 관점에서도 문제없는지’ 로펌에서 확인해달라고 요구하고 있다”고 부연했다.

태평양에서 최고 신기술 분야인 TMT(Tech·Media·Telecom) 전문가로 활동해 온 윤 변호사는 현행 규제 개선에 대한 필요성에 대해서도 목소리를 냈다. 윤 변호사는 “망분리나 비밀번호 설정 규칙 같은 기존 규제들이 과연 AI 시대에도 계속 유지할 필요가 있는지 고민이 있다”며 “미국은 이미 일원화된 비밀번호 작성규칙을 폐기했는데, 우리는 여전히 세세한 규정을 유지하고 있다”고 지적했다.

김 부팀장 역시 “너무 촘촘한 규제가 오히려 금융회사들로 하여금 혁신적인 보안 수단을 고민하지 않게 만들었다”며 “자율보안 체계로의 전환이 실질적인 보안 강화로 이어지려면 적절한 가이드라인과 로드맵이 필요하다”고 강조했다.

끝으로 윤 변호사는 “금융팀과 TMT팀이 중심이 되어 금융 규제와 일반 기업 정보보호를 모두 아우르는 맞춤형 컨설팅을 제공할 것”이라며 “자율보안 시대에 기업들이 실질적인 보안 강화와 법규 준수를 동시에 달성할 수 있도록 지원하겠다”고 덧붙였다.