보안성 책임 커진 핀테크 스타트업, 어쩌나?

"보안성 체크해 줄 자문기구 있어야 업체 부담 줄어"

보안성심의, 인증방법평가위원회 제도 등 그동안 핀테크 스타트업들의 발목을 잡았던 사전 보안규제들이 오는 상반기 안에 폐지되지만 그만큼 보안성을 업체 자체적으로 검토해야 한다는 부담은 늘어나고 있다.

금융위원회에 따르면 사전규제가 완화되는 대신 사고에 대해 금융사와 핀테크 스타트업과 같은 비금융사가 책임부담을 나눠갖도록 한다는 방침이다. 이전까지는 명목상 금융사가 책임을 지는 구조였다.

이에 따라 금융결제원, 코스콤, 금융보안연구원, 금융보안원 등에서 보안 관련 학과, 연구소 등 학계 포함한 보안전문가풀을 구성, 기본적인 보안성에 대해 체크해 줄 수 있는 자문기구가 필요하다는 주장이 나왔다.

최근 개최된 핀테크산업포럼 세미나에서 김덕상 에잇바이트 대표는 금융권에 솔루션을 납품해 서비스를 오픈할 때까지 과정을 살펴보면 각종 규제 폐지를 다시 볼 필요가 있다고 언급했다.

이전까지는 금융당국이 제시한 사전규제가 보안수준을 높이기보다는 규제를 위한 규제에 그치고, 심지어 책임회피를 위한 수단으로 쓰이기도 했다는 점이 문제로 지적됐다. 그럼에도 불구하고 보안성에 대한 철저한 검토는 금융 분야에서 새로운 서비스를 하고 싶은 핀테크 스타트업들에게도 예외사항은 아니라는 설명이다.

문제는 방법이다. 그동안 규제만 지키면 됐던 것이 이제는 스타트업들 스스로 알아서 방법을 마련해야 하는 상황에 놓인 것이다. 때문에 김 대표는 보안성 검토에 대한 법적 의무는 사라졌지만 핀테크 스타트업 자체적으로 해결하기 어려운 보안성을 검토해 줄 수 있는 보안전문가 풀이 필요하다고 지적했다.

은행, 카드사, 증권사 등은 모두 내부 보안팀을 운영하고 있지만 새로운 서비스에 대한 보안성을 적극적으로 검토할 수 있을 정도의 여건은 마련되지 않고 있는 것으로 나타났다.

이에 따라 기존 금융사들이 출자한 금융결제원, 코스콤, 금융보안연구원 등 조직이 핀테크 스타트업들이 개발한 새로운 금융서비스에 대해서도 보안성을 검토해 줄 수 있는 전문가풀을 구성하는 방안을 고려해 볼 수 있다는 것이다. 기존 인력에 더해 대학이나 연구기관 등 학계 보안전문가들이 외부 전문가로 참여하는 방안을 생각해 볼 수 있다.

김 대표는 해당 서비스의 보안성이 높다, 낮다는 의견을 내는 것이 아니라 스타트업들이나 금융기관 보안담당자들이 스스로 하기 어렵지만 반드시 점검이 필요한 기본적인 보안항목에 대한 취약성 여부를 판단할 수 있는 전문가풀이 금융사, 핀테크 스타트업들의 어려움을 줄여줄 수 있을 것으로 본다고 말했다.