금융권 외주 IT 관리 촘촘해지는데… 가상자산은 ‘자율규제’ 제자리 작성일 08-27 35 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">제3자 IT 리스크 관리도 자율규제 의존<br>외부 솔루션 사고 대비·이용자 보호 위한 세부 기준은 아직 공백</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="0aTfFLZvhS"> <figure class="figure_frm origin_fig" contents-hash="ab12a9f79034f6fe23e61374372a8f786f8de5a0a773d61e42687f148e7564be" dmcf-pid="pNy43o5TWl" dmcf-ptype="figure"> <p class="link_figure"><img alt="챗GPT가 그린 일러스트." class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202608/27/dt/20260827171310770mmoa.png" data-org-width="640" dmcf-mid="3qiWEujJhv" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202608/27/dt/20260827171310770mmoa.png" width="658"></p> <figcaption class="txt_caption default_figure"> 챗GPT가 그린 일러스트. </figcaption> </figure> <p contents-hash="358ff9193584db57ea90b284378efdad0212c56cd2fc36284a6ee60cff3ed203" dmcf-pid="UjW80g1yTh" dmcf-ptype="general"><br> 금융당국이 금융회사의 외부 정보기술(IT) 서비스 이용에 대한 관리 기준을 강화하고 있지만 가상자산사업자(VASP)는 적용 대상에서 빠졌다. 가상자산업권을 규율할 법안이 마련되지 않아 관련 하위 규율을 만들 근거가 없기 때문이다. 현재는 업계 자율규제에 의존하고 있어 외부 IT 업체에서 사고가 발생했을 때 이용자 보호를 위한 관리 체계에도 한계가 있다는 지적이 나온다.</p> <p contents-hash="9933391d40d7b5c327a30a2d3fb1bf06b4279f3e7e141da805791569e9b6b55a" dmcf-pid="uAY6patWlC" dmcf-ptype="general">27일 금융당국에 따르면 금융감독원은 지난달 '금융회사의 제3자 IT 리스크 관리 가이드라인'을 마련했다. 은행·증권·보험·카드·저축은행·핀테크 등은 업권별 모범규준 제정을 거쳐 오는 11월 이후 순차적으로 적용할 예정이다.</p> <p contents-hash="0e27e8d55ddd2b99bc2a604b0be5b422e8a471269f034d6cbdcd3555f88f496d" dmcf-pid="7cGPUNFYhI" dmcf-ptype="general">가이드라인은 클라우드나 서비스형 소프트웨어(SaaS) 등 외부 업체에 IT 업무를 맡기는 과정에서 발생할 수 있는 위험을 관리하는 것이 골자다. 금융회사에 중요한 영향을 미치는 업체를 '주요 제3자'로 지정해 정기적으로 위험을 평가하고, 계약 전 실사부터 장애 대응과 계약 종료 이후 정보 파기까지 단계별 관리 기준을 두도록 했다.</p> <p contents-hash="d99688edf9f54e3e55ab601c56b8bedefeb5d4060253dc497b86ad76b59990ba" dmcf-pid="zkHQuj3GlO" dmcf-ptype="general">가상자산사업자는 이번 대상에서 제외됐다. 아직 가상자산업권을 포괄하는 업권법이 마련되지 않았기 때문이다.</p> <p contents-hash="df38b9260fcbf346e738167e4353a2c9ac2641f851e82fa83f8f1435488a412e" dmcf-pid="qEXx7A0HWs" dmcf-ptype="general">금감원 관계자는 "디지털자산 기본법(가상자산 2단계법)이 아직 만들어지지 않아 이번 가이드라인에 가상자산사업자를 포함하기 어려운 상황"이라며 "업권법이 마련돼야 이를 토대로 관련 하위 규율도 만들 수 있다"고 설명했다.</p> <p contents-hash="bb8fb05bd656fb8c39f51859a057dd7454442b8fbdd724ab5173b0c1120c1e85" dmcf-pid="BDZMzcpXlm" dmcf-ptype="general">현재 가상자산업권은 디지털자산거래소 공동협의체(DAXA)의 '가상자산사업자의 전산시스템 운영 및 이용자 보호 모범규준'을 통해 제3자 IT 리스크를 관리하고 있다.</p> <p contents-hash="22eeebd8aa3010d0832053b3ceba840af1c5708823d7257c06bf3c54dd86b775" dmcf-pid="bw5RqkUZlr" dmcf-ptype="general">모범규준에는 제3자 의존도와 업무 중요도를 고려한 위험 요인 파악, 계약상 권리·책임과 백업·기록보존 기준 등이 담겨 있다. 전산장애와 업무 중단, 해킹 등에 대비한 비상·보안대책도 마련하도록 했다. 다만 업계가 자체적으로 마련한 자율규제라는 점에서 금융당국과 업권별 협회가 이행 상황을 점검하는 금융권의 관리 체계와는 차이가 있다.</p> <p contents-hash="fc02d8e4b280d2a691f587e27341ad10b899c0e1f725660853fea1856a6297ba" dmcf-pid="Kr1eBEu5lw" dmcf-ptype="general">특히 제3자 IT 리스크는 이용자 피해로 이어질 수 있다는 점에서 관리 필요성이 크다. 거래소가 이용하는 외부 시스템에서 장애나 해킹이 발생하면 거래 중단이나 자산 이전 차질 등이 발생할 수 있어서다. 외부 업체의 보안 수준과 업무연속성을 사전에 점검하고 사고 발생 시 자료 확보와 책임 소재를 확인할 수 있는 체계를 갖추는 것이 중요한 이유다.</p> <p contents-hash="b9cc0e4d994ef61fd0ca501712321d5c84d8e1cb383a3792c5f69dddbd318071" dmcf-pid="9mtdbD71TD" dmcf-ptype="general">한 가상자산업계 관계자는 "사고가 발생했을 때 관련 자료를 확보하고 책임 소재를 추적할 수 있는 체계를 갖추는 것이 중요하다"며 "가상자산업권에서도 위탁업체 선정부터 사고 대응까지 적용할 수 있는 구체적인 관리 기준이 필요하다"고 말했다.</p> <p contents-hash="6cf4fa2287c35244c423ea3c29c9adafbe1d779c170e1d26295586c983cd4a72" dmcf-pid="218snXe4lE" dmcf-ptype="general">금융권은 오는 11월 이후 외부 IT 업체에 대한 실사와 정기 평가, 장애 대응과 출구전략 등을 공통 기준에 따라 관리하게 된다. 반면 가상자산업권은 2단계법 제정이 지연되면서 이 같은 세부 규율 역시 자율규제에 머물러 있는 상황이다.</p> <p contents-hash="a0c77e892fa1e0044166c86addb6a16ae47506905ac75dbfd4cda4e5b8530cd5" dmcf-pid="Vt6OLZd8Wk" dmcf-ptype="general">또 다른 가상자산업계 관계자는 "현재 관련 기준은 자율규제이기 때문에 강제성이 없다"며 "외부 솔루션을 이용하다 사고가 발생할 경우를 대비한 대응이나 보상 체계 역시 상대적으로 느슨할 수 있다"고 설명했다.</p> <p contents-hash="a2808f0648907f82ae1d2b3a00aded8a7d0aa6d787d318dce66f9b603ca34ba2" dmcf-pid="fFPIo5J6Cc" dmcf-ptype="general">김지영 기자 jy1008@dt.co.kr</p> </section> </div> <p class="" data-translation="true">Copyright © 디지털타임스. 무단전재 및 재배포 금지.</p> 관련자료 이전 ‘생명경제’ 넘어 ‘생명문화’로···전북 발전모델 확장 제안 08-27 다음 LG유플러스 “공정위 판매장려금 7년 담합 주장은 모순”···276억 과징금 취소 총력 08-27 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
