금융위, 금융사 클라우드 업체 '간접 규율' 검토 — 영국은 7월 4곳·EU는 19곳 직접 감독 지정

금융위원회가 검토하는 건 금융사와 연결된 외부 IT 업체(클라우드·플랫폼 등)의 보안 규율을 강화하는 방안이에요. 11일 금융권에 따르면, 금융사와 외부 업체가 맺는 계약에 침해사고가 났을 때 누가 책임을 지는지, 사고 조사에 어디까지 협조해야 하는지를 분명히 적게 하는 방식이 거론돼요. 인공지능(AI) 활용을 늘리려고 망분리 규제(금융사 내부망을 외부 인터넷과 끊어 두는 규제)를 완화하면 금융사와 외부 시스템이 연결되는 곳이 늘어 보안 위험도 커질 수 있다는 이유예요.

해외는 업체를 당국이 직접 감독해요. 영국은 올 7월 아마존웹서비스(AWS)·구글클라우드·마이크로소프트·오라클 4개 업체를 금융시스템의 중요 제3자(CTP)로 지정했고, 영란은행(BOE)·건전성감독청(PRA)·금융행위감독청(FCA)이 이들이 금융권에 주는 핵심 서비스의 운영 안정성을 함께 감독해요. 한 업체의 장애가 여러 금융사로 번지는 걸 막자는 취지예요. EU는 지난해 1월 시행된 디지털운영복원력법(DORA)에 따라 같은 해 11월 AWS·마이크로소프트·구글클라우드 등 핵심 ICT 업체 19곳을 감독 대상으로 지정했고, EBA·ESMA·EIOPA 같은 감독기구가 자료 제출 요구와 현장검사, 위험 개선 권고를 할 수 있어요.

읽을 때 주의할 점이 있어요. 지금은 '검토' 단계이고, 언제부터 어떻게 적용되는지는 정해진 내용이 나오지 않았어요. 국내에선 2018년 7월 금융위가 금융권 클라우드 이용 확대방안을 내면서 전자금융보조업자에 대한 직접 감독·조사권 확보를 위한 법 개정을 검토하겠다고 밝혔고, 이후 전자금융감독규정을 손질해 계약에 전산사고 책임 관계를 적도록 했지만 EU처럼 핵심 IT 업체를 상시 감독하는 체계는 만들어지지 않았어요. 금융위 관계자는 해외에 본사를 둔 글로벌 클라우드 업체 같은 비금융사를 한국 금융사 수준으로 직접 감독하는 건 현실적으로 쉽지 않을 것이라며, 사고가 났을 때 어느 정도까지 협조해야 하는지를 정하는 식의 규율 강화를 검토한다고 설명했어요.