내년부터 클라우드서 개인신용정보 활용 가능

금융당국, 관리감독 강화…"핀테크 활성화 기대"

▲금융권 클라우드 서비스 안전이용 절차(자료=금융위원회)

금융회사와 전자금융업자의 클라우드 활용 범위가 개인신용정보와 고유식별정보까지 확대된다. 동시에 금융권 보안수준과 관리ㆍ감독체계를 강화한다.

금융위원회는 내년 1월 1일부터 개정된 '전자금융감독 규정'이 시행된다고 7일 밝혔다. 다룰 수 있는 정보의 범위가 넓어진 만큼 금융권 클라우드서비스 안정성 기준, 내부통제, 감독이 강화됐다.

금융권 클라우드는 대량의 데이터를 활용하면서도 비용 절감과 안전성 강화, 혁신 서비스 창출 등을 할 수 있는 핵심 플랫폼으로 평가된다. 기존에는 금융사 개별로 IT 자원을 구축해야 했다면 클라우드 환경에서는 클라우드 인프라에서 필요한 만큼 IT 자원을 빌려 쓰고 사용량만큼만 비용을 부담한다.

데이터 보호에 관해서는 금융권 통합보안관제 지원, 전산 자료 접근통제, 정보시스템 가동기록 보존, 중요정보 암호화 등 데이터 보호, 개인(신용)정보법 등 금융 관련 법령을 준수해야 한다. 서비스 장애 예방ㆍ대응 차원에서 클라우드 이용 시에도 주요 전산장비 이중화 및 백업체계를 구축하고, 서비스 연속성 보장, 장애 발생 시 비상 대응조치ㆍ통지 의무를 진다.

내부통제 강화 방안으로 금융회사가 클라우드 서비스의 안전성을 평가하고, 자체 정보보호위원회 심의ㆍ의결을 거치도록 했다. 의결사항은 감독 당국에 보고해야 한다. 정보보보위원회는 금융회사의 정보보호 최고책임자를 위원장으로 하며, 위원은 정보보호 업무 관련 부서장, 전산 운영 및 개발 관련 부서장, 준법 업무 관련 부서의 장 등으로 구성해야 한다.

클라우드 이용 감독 강화에 따라 이전에는 비중요 정보 처리시스템 운영현황에 대해서만 보고했지만, 정보의 중요도에 따라 클라우드 이용 현황을 감독당국에 보고하고, 법적 책임, 금융회사ㆍ감독 당국 조사ㆍ접근권(현장 방문 포함)을 계약서에 명시해야 한다.

사고 발생 시 법적 분쟁, 소비자 보호, 감독 관할 등을 고려해 개인신용정보 처리는 국내 소재 클라우드만 우선 허용한다. 전자금융감독규정 제23조에 따라 국내 전산센터 내 필수 운영인력이 상주하고, 장애 발생 사실을 신속 통지하고 대응해야 한다.

뿐만 아니라 손해배상, 재판관할 사항 등을 계약서에 명시하여 금융회사ㆍ클라우드 제공자 간 법적 책임 관계를 명확화했다. 고객 피해 발생 시 금융회사가 이용자에 대해 직접 손해를 배상하고, 클라우드 제공자는 연대 배상책임을 부담한다. 금융사 손해 발생 시 클라우드 제공자가 금융회사의 손해를 배상한다. 단 이때 중요정보는 국내에 한정된다는 한계도 있다.

클라우드 데이터 보호에 관해서는 전자금융거래법ㆍ신용정보법 등에서 규정한 안전성 확보조치에 따른 보호장치를 마련한다. 범죄 수사를 위한 외국 정부의 정보제공 요청 시 국내법 위반 소지가 있으면 거부할 수 있다.

정부는 이달 중 '금융권 클라우드 서비스 가이드라인'을 개정안을 마련할 계획이다.