국외 소재 전산센터 위탁시 금융전산 망분리 예외 적용

업무상 외부망과 연결때도 예외
자체 보안성심의 기준ㆍ절차 반영
국외 소재 전산센터에 정보처리업무를 위탁하고 있거나 업무상 외부통신망과 연결이 불가피한 경우 금융전산 망분리 규제에 예외가 적용된다.

금융감독원은 이같은 내용을 담은 '전자금융감독규정 시행세칙 개정안'을 5일 공시하고 25일까지 의견을 수렴한다고 밝혔다.

금융위원회와 금융감독원은 2013년 3.20 사이버테러 사고 이후 금융보안 대책으로 그해 9월 가이드라인을 발표하고 금융권 망분리 제도를 추진했다. 이 제도는 금융회사의 인터넷 PC와 내부 업무망을 분리하는 것을 내용으로 한다. 외부 사이버공격 시도와 악성코드가 업무망으로 접근하는 것을 막겠다는 의도다.

하지만 제도 시행 후 금융회사들은 다양한 문제와 불편을 금융당국에 하소연했다. 특히 임종룡 금융위원장이 취임한 후 금융당국이 현장의견을 수렴하는 과정에서 망분리에 관한 건의를 여러 건 제기됐다.

이에 금융당국이 예외를 전자금융감독규정 시행세칙에 반영하는 것이다. 개정된 시행세칙은 새롭게 망분리 적용 예외 조항이 신설됐다. 금감원은 규정에 따라 정보처리 업무를 국외 소재 전산센터에 위탁해 처리하는 경우를 예외로 하기로 했다. 다만 해당 국외 소재 전산센터에 대해서는 물리적 방식 외의 방법으로 망을 분리해야 하며 이 경우에도 국내 소재 전산센터 및 정보처리시스템 등은 물리적으로 망을 분리해야 한다고 단서를 달았다.

또 업무상 외부통신망과 연결이 불가피한 정보처리시스템도 예외를 적용하기로 했다. 여기서 불가피한 시스템은 전자금융업무의 처리를 위해 특정 외부기관과 데이터를 송수신하는 시스템, DMZ구간 내 정보처리시스템과 실시간으로 데이터를 송수신하는 내부통신망의 시스템, 다른 계열사와 공동으로 사용하는 시스템 등이다. 금감원은 이런 예외를 적용하는 대신 망분리 대체 정보보호통제 방안을 적용할 것을 주문했다.

금감원은 공인인증서 의무사용 규정과 보안성심의 제도 폐지에 맞춰 이번에 관련 내용을 삭제했다. 또 자체 보안성심의 기준과 절차 등도 반영했다. 개정된 시행세칙은 이달말이나 내년초부터 적용될 것으로 예상된다.

금융권은 예외조항 마련으로 전산시스템 운용에 유연성을 확보하게 됐다. 하지만 그만큼 보안에 더 철저해야 한다는 지적도 있다. 한 금융권 관계자는 "금융권의 의견을 반영해 예외를 인정해 준 것이 긍정적으로 생각한다"며 "이런 상황에서 사고가 발생하면 비판을 받을 수 있는 만큼 금융권 모두 보안에 더 철저해야 할 것"이라고 말했다.

강진규기자 kjk@