ISMS 인증 받은곳 10곳도 안돼
금융법률과 중복규제 부담초래
“전자거래 80%넘어 보안 중요”
금융법률과 중복규제 부담초래
“전자거래 80%넘어 보안 중요”
잇따른 사이버공격과 금융당국의 강력한 보안 강화 의지로 금융기관의 정보보호 기능이 크게 강화되고 있지만, 금융거래에 필수로 이용되는 `망'의 보호는 외면하고 있다는 지적이다.
5일 금융업계와 정부에 따르면 정보보호관리체계를 정부가 공인해주는 ISMS 인증을 금융기관들이 사실상 외면하고 있다. 현재 ISMS 인증을 받은 곳은 농협과 비씨카드, 우정사업본부 등 채 10곳이 되지 않는다.
금융기관의 ISMS 인증은 금융거래에 대한 철저한 대비 외에도 이들이 광범위하게 이용하고 있는 인터넷통신망에 대한 보호체계 정립 차원에서 필요하다. 만약 금융기관이 사이버공격을 당했을 경우, 금융거래는 안전하게 보호했지만 망에 대한 취약점이 있다면 일반 국민이 사용하는 모든 망에 해악을 끼칠 수 있기 때문이다.
하지만 시중은행은 물론 증권사나 보험업계도 ISMS 인증을 대부분 받지 않고 있다. 인증을 받은 몇몇 기관도 전사가 아닌, 일부 업무에 받은 것이 전부다.
문제는 ISMS를 받도록 규정하고 있는 법률과 현재 금융기관들을 관할하고 있는 법률이 서로 다르고, 이를 집행하려는 규제 당국의 시각이 엇갈린다는 점이다.
ISMS는 미래창조과학부와 방송통신위원회가 관할하는 `정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 정보통신망법)'에 따라 인증 의무 대상이 정해져 있다. 전자금융거래법 등 별도 금융법률의 관할 아래 있는 금융기관으로썬 규제당국인 금융위원회 등과 중복 규제 요소가 있어 쉽게 따르지 못하고 있는 셈이다.
금융위원회측은 단순히 ISMS 인증에 대해서만이 아니라 정보통신망법 자체를 적용받는 것에 대해 부담을 나타내고 있다. 정보통신망법상 의무인 ISMS를 받아야 한다면 해당 법률에서 규정하는 다른 의무조항도 모두 금융기관들이 준수해야 하고, 이는 현행 금융법률과 중복 규제가 돼 부담을 초래한다는 것이다.
그러나 금융기관의 전자거래 비중이 전체 거래건수의 80%를 넘어설 정도로 인터넷망을 통한 거래가 활성화되면서 금융기관 역시 정보통신망법의 적용을 받아야 한다는 지적이 나오고 있다.
김경환 법률사무소 민후 대표변호사는 "전자거래비중이 압도적으로 높은 금융기관은 이미 정보통신망법의 적용을 분명히 받고 있다"면서 "금융기관이 이제와 소관 법률에 따라 정보통신망법에서 규정한 의무를 준수하지 않는 것은 법리적으로도 맞지 않다"고 지적했다.
그는 이어 "금융법률보다 정보통신망법에서 규정하는 보안 관련 규정이 더 많다. 만약 금융기관에서 보안 사고가 났을 경우 정보통신망법에 의거 처벌하기도 한다"면서 "공공재 성격이 강한 `망'은 금융기관 역시 보호의 주요 주체이며 이를 회피해서는 안된다"고 꼬집었다.
미래부 측은 "금융기관은 물론 은행연합회, 증권협회, 보험협회 등에 망 보호에 관한 안내공문을 보내고 인증을 받도록 독려하고 있다"면서 "금융위와 규제 중복이 없도록 서로 긴밀하게 협의해 기관의 부담은 덜면서 안전하게 금융거래와 망보호가 모두 이뤄질 수 있도록 유도할 방침"이라고 설명했다.
강은성기자 esther@
5일 금융업계와 정부에 따르면 정보보호관리체계를 정부가 공인해주는 ISMS 인증을 금융기관들이 사실상 외면하고 있다. 현재 ISMS 인증을 받은 곳은 농협과 비씨카드, 우정사업본부 등 채 10곳이 되지 않는다.
금융기관의 ISMS 인증은 금융거래에 대한 철저한 대비 외에도 이들이 광범위하게 이용하고 있는 인터넷통신망에 대한 보호체계 정립 차원에서 필요하다. 만약 금융기관이 사이버공격을 당했을 경우, 금융거래는 안전하게 보호했지만 망에 대한 취약점이 있다면 일반 국민이 사용하는 모든 망에 해악을 끼칠 수 있기 때문이다.
하지만 시중은행은 물론 증권사나 보험업계도 ISMS 인증을 대부분 받지 않고 있다. 인증을 받은 몇몇 기관도 전사가 아닌, 일부 업무에 받은 것이 전부다.
문제는 ISMS를 받도록 규정하고 있는 법률과 현재 금융기관들을 관할하고 있는 법률이 서로 다르고, 이를 집행하려는 규제 당국의 시각이 엇갈린다는 점이다.
ISMS는 미래창조과학부와 방송통신위원회가 관할하는 `정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 정보통신망법)'에 따라 인증 의무 대상이 정해져 있다. 전자금융거래법 등 별도 금융법률의 관할 아래 있는 금융기관으로썬 규제당국인 금융위원회 등과 중복 규제 요소가 있어 쉽게 따르지 못하고 있는 셈이다.
금융위원회측은 단순히 ISMS 인증에 대해서만이 아니라 정보통신망법 자체를 적용받는 것에 대해 부담을 나타내고 있다. 정보통신망법상 의무인 ISMS를 받아야 한다면 해당 법률에서 규정하는 다른 의무조항도 모두 금융기관들이 준수해야 하고, 이는 현행 금융법률과 중복 규제가 돼 부담을 초래한다는 것이다.
그러나 금융기관의 전자거래 비중이 전체 거래건수의 80%를 넘어설 정도로 인터넷망을 통한 거래가 활성화되면서 금융기관 역시 정보통신망법의 적용을 받아야 한다는 지적이 나오고 있다.
김경환 법률사무소 민후 대표변호사는 "전자거래비중이 압도적으로 높은 금융기관은 이미 정보통신망법의 적용을 분명히 받고 있다"면서 "금융기관이 이제와 소관 법률에 따라 정보통신망법에서 규정한 의무를 준수하지 않는 것은 법리적으로도 맞지 않다"고 지적했다.
그는 이어 "금융법률보다 정보통신망법에서 규정하는 보안 관련 규정이 더 많다. 만약 금융기관에서 보안 사고가 났을 경우 정보통신망법에 의거 처벌하기도 한다"면서 "공공재 성격이 강한 `망'은 금융기관 역시 보호의 주요 주체이며 이를 회피해서는 안된다"고 꼬집었다.
미래부 측은 "금융기관은 물론 은행연합회, 증권협회, 보험협회 등에 망 보호에 관한 안내공문을 보내고 인증을 받도록 독려하고 있다"면서 "금융위와 규제 중복이 없도록 서로 긴밀하게 협의해 기관의 부담은 덜면서 안전하게 금융거래와 망보호가 모두 이뤄질 수 있도록 유도할 방침"이라고 설명했다.
강은성기자 esther@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
