금융위 "가상자산사업자 배상책임 입법화…해킹의심, 입출금 차단"

"보안 인식 아직 제도화 이전 수준"
콜드월렛 상향·준비금 등 가이드라인 마련
해킹 의심땐 입출금 차단 허용

신진창 금융위원회 부위원장이 가상자산업권을 두고 "시가 총액이 66조원에 달하고 이용자 수가 1000만명이 넘는 시장이지만 보안 인식은 아직도 제도화 이전"이라며 "전통적 금융회사와 동일한 수준의 보안체계를 갖춰야 한다"고 강조했다.

이를 위해 금융위원회는 가상자산사업자가 상시 모니터링 및 대응체계를 갖추도록 법안 및 가이드라인을 마련한다. 해킹 의심 상황에서 이용자의 입출금을 차단하도록 허용하고 금융보안원 가입도 지원할 계획이다.

12일 금융위원회는 신진창 부위원장 주재로 정부서울청사 19층 대회의실에서 열린 가상자산업권 보안 대책회의에서 이같이 밝혔다.

"가상자산 보안 인식, 아직도 제도화 이전"

최근 국내외에서는 가상자산거래소의 침해사고가 지속 발생하고 있다. 지난달 말 빗썸에서 해킹 및 개인정보 유출이 발생한데 이어 바이낸스에서는 약 63억달러(약 8조4000억원) 규모의 디지털 자산이 탈취당했다.

신진창 부위원장은 "현재 국내 거래소의 가상자산 시가 총액은 약 66조원에 달하며 이용자 수는 1000만명이 넘는 자산시장으로 자리잡았다"며 "시장의 성장과 업계에 대한 기대와 달리 일부 사업자들의 보안에 대한 인식은 아직도 제도화 이전에 머물러 있다"고 꼬집었다.

그러면서 "가상자산사업자는 이용자의 자산을 수탁해 보관하고 관리한다는 점에서 전통적인 금융회사와 동일한 수준의 보안체계를 갖출 필요가 있다"고 지적했다.

신 부위원장은 회의를 통해 △금융회사 수준의 안전성과 대응 프로세스 완비 △24시간 상시 모니터링 및 보고체계 △콜드월렛 비중 상향 및 충분한 준비금 확충 등을 당부했다.

그는 "정부는 디지털자산업자가 금융회사에 준하는 IT 안전성 확보의무와 배상책임을 갖추도록 하는 완전한 규율체계를 위한 입법을 준비하고 있다"면서도 "최근 사고에서도 알 수 있듯 가상자산업계의 최고 수준의 보안 강화는 입법만을 기다릴 수 없는, 한시도 미룰 수 없는 문제"라고 강조했다.

이어 "이용자 보호와 보안을 최우선 순위에 놓고 전사적 역량을 결집해 현 단계에서 가용한 모든 수단과 조치를 동원해야 한다"고 덧붙였다.

전금법 미적용 보안 사각지대 해소

이날 회의에서는 △가상자산사업자 보안사고 비상 대응 가이드라인 마련 △해킹 관련 가상자산사업자 입출금 차단 허용 △가상자산사업자 금융보안원 사원 가입 및 보안성 점검 지원 등을 논의했다.

금융위는 가상자산사업자가 전자금융거래법(전금법)을 적용받지 않는 탓에 발생했던 보안 사각지대를 해소하기로 했다.

먼저 24시간, 일주일 내내 거래가 이뤄지는 시장 특성에 맞춰 가상자산사업자가 상시 모니터링·대응체계를 갖추도록 했다. 사업자는 담당 인력 등을 상시 배치해 비정상적인 대규모 거래 등 사고 발생이 의심되는 경우 필요한 통제 조치를 즉시 시행해야 한다. 

모니터링·대응체계를 상시적으로 운영하기 어려운 사업자는 체계가 정상적으로 운영될 수 있는 시간에만 입출금을 처리해야 한다. 이와 함께 이를 이용자에게 사전 안내하고 충분한 인력 배치 등을 통해 이용자의 입출금 요청을 적시에 대응해야 한다.

금융위가 준비 중인 디지털자산법에서는 디지털자산업자(가상자산사업자)도 금융회사 수준의 안전성 기준과 손해배상책임을 갖추도록 할 예정이다. 그 이전이라도 가이드라인을 통해 전금법 적용 금융회사에 준하는 안전성 확보 의무 등을 수행하도록 한다.

사업자들은 △가상자산거래의 전자적 전송·처리를 위한 인력·시설 등 정보기술 및 정보보호에 관한 사항 △가상자산거래의 안전성 확보에 필요한 기술적·관리적·물리적 조치 등에 관한 안전성 기준을 마련해야 한다. 

아울러 정보처리시스템 및 정보통신망에 대해 취약점을 분석·평가하고 그 결과에 따라 보완 조치를 수행해야 한다. 침해사고가 발생하거나 외부의 비정상적 접근 시도 등 침해 가능성이 발견되는 경우 신속하게 금융당국에 알려야 한다.

해킹 의심시 입출금 차단 허용

해킹사고가 의심되는 경우는 일정 조건 하에 비조치 의견서를 발급해 선제적인 입출금 차단 조치를 취하도록 했다.

현행 가상자산이용자보호법은 정당한 사유 없이 사업자가 입출금을 차단할 수 없도록 한다. 해킹사고 발생이 명백한 경우여야만 차단이 가능하다. 이에 이상거래 발생 등 해킹 의심 단계에서 입출금차단이 허용되는지 불명확하다는 업계 의견이 있었다. 

가상자산사업자의 이용 규모 등을 고려한 금융보안원 사원 가입도 지원한다. 현재 이용자 규모, 회비 부담 등으로 인해 28개 가상자산사업자 중 5개 원화마켓 거래소만 금융보안원 사원 가입을 완료한 상태다. 

보안원은 사원 가입 사업자에 대해서는 침해 위협 정보공유, 보안 취약점 점검, 금융보안 전문교육 등 보안 서비스를 제공할 예정이다. 가입이 어려울 시 중소금융사 수준으로 취약요인 탐색, 경보체계, 보안조치 등을 지원한다.

이와 함께 가상자산거래소 특화 보안 점검 기준도 제공할 계획이다. 이를 위해 최신 침해 위협에 대응할 수 있도록 거래 검증 강화, 월렛 접근 통제 등의 사항을 반영해 기존 보안 점검 기준을 연내 개선할 예정이다. 

김정후 (kjh2715c@bizwatch.co.kr)

ⓒ비즈니스워치의 소중한 저작물입니다. 무단전재와 재배포를 금합니다.