[서울=뉴스핌] 김양섭 기자 = 금융위원회가 법 제정 전이라도 가이드라인을 통해 가상자산사업자가 금융회사에 준하는 안전성 확보 의무를 수행하도록 할 계획이다. 해킹이 의심되는 단계에서도 사업자가 입출금을 선제적으로 차단할 수 있도록 비조치의견서도 발급하기로 했다.

24시간 거래가 이뤄지는 시장 특성에 맞춰 상시 모니터링·대응체계를 갖추도록 하고, 이를 상시 운영하기 어려운 사업자는 체계가 정상적으로 운영되는 시간에만 입출금을 처리하도록 했다. 최근 국내외에서 가상자산거래소 침해사고가 이어지는 가운데, 입법에 시간이 걸리는 만큼 현 단계에서 필요한 조치부터 즉시 하도록 한 것이다.

금융보안원(금보원) 사원으로 가입한 가상자산사업자가 28곳 중 5곳에 그치는 만큼 추가 가입을 추진하고, 금보원이 사원 가입 사업자를 대상으로 보안 점검도 수행한다.

◆ 신진창 "일부 사업자 보안 인식, 제도화 이전에 머물러"…입법 전 즉시 조치 당부

금융위는 12일 정부서울청사에서 신진창 부위원장 주재로 '가상자산업권 보안 대책회의'를 열고 가상자산사업자의 침해사고 현황과 대응 방안을 점검했다고 밝혔다. 현 단계에서 최고 수준의 보안 강화를 위한 조치사항과 향후 정책 방향도 논의했다.

회의에는 금융감독원과 금보원, 디지털자산거래소 공동협의체(DAXA)가 참석했다. 사업자 중에서는 원화마켓의 두나무·빗썸·코인원·디지털엑스·스트리미, 코인마켓의 한국디지털거래소·포블게이트·해피블록·가디언홀딩스, 보관업자인 한국디지털에셋(KODA)·한국디지털자산수탁(KDAC)이 참여했다.

신 부위원장은 모두발언에서 "개인정보 유출, 이용자 자산 탈취 등의 사고는 산업의 신뢰 기반을 흔들 수도 있다"며 "세계 최대 가상자산거래소 바이낸스에서 발생한 63억달러(약 8조원) 규모의 가상자산 탈취 사고는 우리의 경각심을 더욱 높이고 있다"고 말했다.

금융위에 따르면 지난 5일 기준 국내 거래소의 가상자산 시가총액은 66조원, 일 거래체결금액은 1조9000억원이다. 거래 가능 이용자 수는 중복을 포함해 1000만명을 넘는다.

신 부위원장은 "시장의 성장과 업계에 대한 기대와 달리 일부 사업자들의 보안에 대한 인식은 아직도 제도화 이전에 머물러 있다"고 지적했다. 이어 "가상자산사업자는 이용자의 자산을 수탁해 보관하고 관리한다는 점에서 전통적인 금융회사와 동일한 수준의 보안체계를 갖출 필요가 있다"며 "사고가 발생한 회사뿐만 아니라 전체 사업자는 가상자산업계 전체의 신뢰에 의문을 던지는 이용자들의 비판을 뼈아프게 받아들여야 한다"고 강조했다.

가상자산사업자는 일반 금융회사와 달리 전자금융거래법상 보안 규율을 적용받지 않는다. 금융위는 현재 준비 중인 디지털자산기본법(디지털자산법)을 통해 디지털자산업자(현 가상자산사업자)가 금융회사에 준하는 정보기술(IT) 안전성 확보 의무와 손해배상책임을 갖추도록 할 계획이다.

신 부위원장은 "최근 사고에서도 알 수 있듯 가상자산업계의 최고 수준의 보안 강화는 입법만을 기다릴 수 없는, 한시도 미룰 수 없는 문제"라고 말했다. 그러면서 사업자들에게 ▲금융회사 수준의 안전성과 대응 프로세스 완비 ▲24시간 상시 모니터링 및 보고체계 구축 ▲콜드월렛 비중 상향과 충분한 준비금 확충 등 현 단계에서 가용한 모든 수단과 조치를 동원해야 한다고 당부했다.

◆ 24시간 모니터링 어려우면 입출금 시간 제한…핫월렛 보관 수량은 최소화

첫 번째 안건은 '가상자산사업자 보안사고 비상 대응 가이드라인' 마련이다. 인공지능(AI)을 이용한 사이버 공격 등 새로운 침해 위협이 급속히 확산하는 데 대응해 사업자가 현 단계에서 조치할 수 있는 침해사고 방지와 사고 발생 시 피해 최소화 방안이 논의됐다.

우선 24시간 일주일 내내 거래가 이뤄지는 가상자산시장의 특성에 맞춰 상시 모니터링·대응체계를 갖추도록 했다. 사업자는 담당 인력 등을 상시 배치해 비정상적인 대규모 거래 등 사고 발생이 의심되면 필요한 통제 조치를 즉시 시행해야 한다.

모니터링·대응체계를 상시 운영하기 어려운 사업자는 이 체계가 정상적으로 운영될 수 있는 시간에만 입출금을 처리해야 한다. 이를 이용자에게 사전에 안내하고, 충분한 인력 배치 등을 통해 입출금 요청에 적시 대응해야 한다.

이용자 자산의 콜드월렛 보관 비중을 최대화하고 보험 보상한도와 준비금 적립액을 확충하는 내용도 포함됐다. 콜드월렛은 이용자 자산을 인터넷과 분리해 보관하는 것으로 상대적으로 해킹 등에서 안전하다. 현재 가상자산업감독규정상 콜드월렛 의무 보관 비중은 80%이며, 전체 사업자의 콜드월렛 보관 비중은 95% 이상으로 이를 크게 웃돈다.

금융위는 그럼에도 이용자 자산의 안전한 보관을 위해 사업자가 핫월렛에 보관 중인 이용자 위탁 가상자산 수량을 거래 지원에 필요한 최소한으로 유지하고, 복수의 핫월렛에 분산해 보관하는 방안도 고려할 필요가 있다고 밝혔다. 해킹 등으로 이용자 피해가 발생하면 보상이 원활히 이뤄지도록 보험 보상한도와 준비금 적립액도 충분히 확보해야 한다.

전자금융거래법상 금융회사에 적용되는 IT 안전성 확보 의무 이행과 침해사고 대응에 필요한 조치사항도 제시됐다. 금융위는 디지털자산법 제정 전이라도 가이드라인을 통해 가상자산사업자가 전자금융거래법 적용 금융회사에 준하는 안전성 확보 의무 등을 수행하도록 할 계획이다.

사업자는 가상자산거래의 전자적 전송·처리를 위한 인력·시설 등 IT 및 정보보호에 관한 사항, 가상자산거래의 안전성 확보에 필요한 기술적·관리적·물리적 조치 등에 관한 안전성 기준을 마련해야 한다. 정보처리시스템과 정보통신망의 취약점을 분석·평가하고 그 결과에 따라 보완 조치도 수행해야 한다.

침해사고가 발생하거나 외부의 비정상적 접근 시도 등 침해 가능성이 발견되면 금융당국에 신속히 알리도록 했다. 금융회사와 유사한 수준의 사고 보고체계를 갖추도록 한 것이다.

◆ 해킹 의심 단계서도 입출금 차단…비조치의견서 발급

이용자 피해 확산을 막기 위해 해킹사고가 의심되는 경우 일정 조건 아래 사업자의 선제적인 입출금 차단을 허용하는 방안도 논의됐다.

현행 가상자산이용자보호법은 사업자가 정당한 사유 없이 입출금을 차단할 수 없도록 하고, 해킹사고 발생이 명백한 경우에만 차단을 허용하고 있다. 이 때문에 이상거래 발생 등 해킹이 의심되는 단계에서도 선제적인 입출금 차단이 허용되는지 불명확하다는 업계 의견이 있었다.

금융위는 바이낸스 해킹 등의 사례에서 보듯 가상자산 보안사고는 특성상 신속한 차단 조치가 이용자 피해 최소화에 결정적이라고 설명했다. 이에 사업자가 해킹·침해사고가 의심되는 경우 선제적으로 입출금 차단 조치를 할 수 있도록 '비조치의견서'를 발급하기로 했다.

◆ 금보원 사원 28곳 중 5곳뿐…보안 점검 기준 연내 개선

가상자산사업자의 금보원 사원 가입과 보안성 점검 지원 방안도 논의됐다. 현재 28개 가상자산사업자 가운데 금보원 사원 가입을 마친 곳은 원화마켓 거래소 5곳뿐이다. 이용자 규모와 회비 부담 등이 이유다.

금융위는 중소 가상자산거래소의 침해사고 발생 현황을 고려할 때 나머지 사업자도 금보원에 사원으로 가입해 금융회사와 동일한 수준의 보안 지원 서비스를 받을 필요가 있다고 설명했다. 이에 모든 가상자산사업자의 이용 규모 등을 고려해 금보원 추가 사원 가입을 추진하고, 가입 사업자에는 침해 위협 정보 공유, 보안 취약점 점검, 금융보안 전문교육 등 보안 서비스를 제공할 예정이다. 가입이 어려운 경우에는 중소 금융회사 수준으로 취약 요인 탐색, 경보체계, 보안 조치 등을 지원한다.

가상자산사업자는 전자금융거래법상 취약점 분석·평가 대상이 아니고, 특정금융정보법상 정보보호 관리체계(ISMS) 인증 외에는 별도 점검 의무가 없다. 금융위는 외부 보안 전문기관의 종합 점검을 확대할 필요성이 크다고 밝혔다.

이에 따라 금보원이 사원으로 가입한 가상자산사업자를 대상으로 보안 점검을 수행한다. 직접 점검을 수행할 수 없는 사업자에는 자체적으로 또는 정보보호 전문업체를 통해 점검할 수 있도록 '가상자산거래소 특화 보안 점검 기준'을 제공할 계획이다.

이를 위해 거래 검증 강화, 월렛 접근 통제 등 최신 침해 위협에 대응할 수 있는 사항을 반영해 기존 보안 점검 기준을 연내 개선할 예정이다. 기존 기준은 클라우드 위주 운영, 핫월렛 탈취 위협 등 금융회사와 다른 업무환경을 고려해 가상자산 컴플라이언스, 블록체인, 월렛, 스마트 컨트랙트 분야 등을 별도로 마련한 것이다.

금융위는 업계의 보안 쇄신 노력을 지원하는 한편 가상자산업권에 안전한 보안체계가 확립될 수 있도록 관련 제도를 지속 정비해 나갈 계획이다.

신 부위원장은 "최근 전방위적인 금융권 보안 위기 또한 어떤 사업자는 당장 눈앞의 비용 리스크로 보겠지만, 어떤 사업자는 미래를 위한 투자로 인식해 이용자의 신뢰를 얻고 앞서나갈 기회로 삼을 것"이라고 말했다.

ssup825@newspim.com