금융사 클라우드·망분리 규제 완화…CSP 평가항목 54개로 축소·사후보고로 전환

[아이뉴스24 김태환 기자] 앞으로 금융회사가 클라우드 서비스 이용을 위해 받아야 하는 금융보안원의 CSP(Cloud Service Provider) 안정성 평가 항목이 141개에서 54개로 축소되고, 제출서류도 대폭 간소화된다. 또 개발‧테스트 분야에 대한 망분리규제도 예외적용되며, 단계적으로 망분리 대상업무를 축소하기로 했다.

과도한 보고 절차와 망분리규제 등으로 금융회사가 클라우드 수요에 탄력적으로 대응하기 어려웠던 점을 개선하기 위해서다.

금융위원회는 14일 '금융분야 클라우드 및 망분리 규제 개선방안'을 발표하고 금융 분야의 디지털 전환을 안정적으로 뒷받침하는 클라우드·망분리 규제 개선안을 공개했다.

이번 규제 개선의 핵심은 금융회사가 클라우드를 이용할 수 있는 업무 범위를 명확히 하고, 중복되거나 유사한 이용절차를 줄이는데 있다고 금융위 측은 설명했다. 망분리규제 관련해서는 일률적∙획일적으로 적용됐던 것들을 단계적으로 완화해 나가는데 중점을 두었다.

우선 금융당국은 클라우드 이용 업무에 대한 중요도 평가 기준을 명확화하기로 했다. 클라우드를 활용하려면 업무 중요도를 평가해야 했는데, 판단 기준이 불명확하다는 지적이 꾸준히 제기돼왔다.

또 141개에 달하는 CSP 평가항목도 54개(필수 16개+대체 38개)로 간소화하고, 특히 비중요업무의 경우에는 그 중 필수항목(16개)만 평가하도록 평가항목을 대폭 간소화했다.

업무 중요도에 따른 클라우드 이용절차도 차등화하기로 했다. 지금까지는 중요하지 않은 '비중요업무'라 하더라도 중요업무와 동일한 클라우드 이용절차를 준수해야 했다. 앞으로는 비중요업무의 경우 CSP 평가항목 중 일부 면제하는 등 클라우드 이용절차를 완화하기로 했다.

CSP평가 부담 완화를 위한 '대표평가제'도 도입된다. 지금까지는 특정 금융회사(A)가 특정 클라우드(a)를 이용하기 위해 CSP 평가를 했더라도 다른 금융회사(B)가 동일한 클라우드(a)를 이용하기 위해서는 또다시 별도의 CSP평가를 수행하는 불편이 있었다.

앞으로는 금융보안원이 금융회사를 대표해 CSP(a)를 평가하고 금융회사(A, B)는 금융보안원의 평가결과를 활용할 수 있도록 개선된다.

새로운 형태의 클라우드(SaaS)에 대한 별도 평가기준도 마련된다. 현재 CSP 평가항목은 서버‧저장장치 등을 클라우드로 제공하는 IaaS(Infrastructure as a Service) 사업자를 중심으로 구성한 평가항목이라 최근 활용도가 높아지고 있는 SaaS(Software as a Service)를 평가하기에 적합하지 않다. 금융당국은 클라우드서비스 보안인증제(CSAP)과 유사하게 금융분야에서도 SaaS에 대한 별도 평가기준을 마련한다는 방침이다.

클라우드 서비스 신고를 위한 제출서류도 간소화된다. 금융회사 등은 '업무위탁 운영기준 보완사항'을 작성‧제출해야 하는데, 그 항목 중 일부가 '업무연속성 계획'에도 중복포함돼 있는 등의 문제가 있었다. 앞으로는 '업무위탁 운영기준 보완사항'에서 중복되는 항목 등은 '업무연속성 계획' 등으로 통합하고, '계약서 기재사항'등과 같이 꼭 필요한 항목은 유지하기로 했다.

클라우드 이용 신고도 '사전보고'에서 '사후보고'로 전환된다.

금융회사가 중요업무에 클라우드를 이용하려면 7영업일 이전에 금융감독원에 보고해야 하는데, 적시성 측면에서 바람직하지 않다는 지적이 제기됐다. 이에 금융당국은 금융회사가 중요업무에 대한 계약 체결, 계약 내용의 중대한 변경 등의 경우 3개월 이내에 사후보고할 수 있도록 개정한다.

망분리 규제 개선으로는 개발‧테스트 분야에 대한 망분리규제 예외적용하기로 했다.

개인신용정보 등을 보유하고 있지 않고 전자금융거래의 중요성이 낮은 개발·테스트 서버까지 물리적 망분리가 일률적으로 적용되면 개발‧테스트의 효율성이 줄어든다는 지적을 수용한 조치다.

비금융업무와 SaaS에 대한 망분리도 예외조치 적용을 추진하기로 했다. 금융거래와 무관하고 고객·거래정보를 다루지 않는 운영시스템(인사, 그룹웨어)에 대해서도 망분리를 강제하는 것은 과도하다는 지적에 따른 조치다.

금융당국은 단계적으로 망분리 규제 완화 추진한다는 방침이다. 이를위해 망분리 대상업무를 축소하고, 물리적‧논리적 망분리의 선택가능성 등을 금융회사 등에 부여하는 방식을 검토할 계획이다.

금융위 관계자는 "이달 중 제도개선사항을 반영한 전자금융거래법 시행령 및 감독규정 개정안을 입법예고하고, 조속한 개정을 통해 내년부터 규제 완화가 시행될 수 있도록 할 것"이라며 "가이드라인 개정 등 제도개선 사항이 조기에 안착될 수 있도록 5월부터 금융위, 금감원, 금보원, 금융협회 합동으로 유권해석반을 운영하고 금융회사 등 이해당사자들과 충실히 소통해 나가겠다"고 말했다.

김태환 기자의 다른 기사 보기