"보안성 우려"… 오픈뱅킹 허들 못 넘는 핀테크

핀테크 기업 서류통과 10곳 중 1곳만 보안 장벽 넘어

최소한의 보안성도 없어 탈락 속출…사업계획 접을 판

핀테크 기업 서류통과 10곳 중 1곳만 보안 장벽 넘어
최소한의 보안성도 없어 탈락 속출…사업계획 접을 판

ⓒ픽사베이

정부가 금융 혁신 차원에서 야심 차게 준비한 오픈뱅킹 서비스가 전통 금융사와 대형 핀테크 업체들의 맞대결로 치닫는 모습이다. 전통 금융사가 그간 닦아온 금융결제망을 핀테크 업체들도 이용할 수 있다는 점에서 보안성 점검이 철저한 상태로 최소한의 보안도 갖추지 못한 곳이 있어 점검에 비상이 내려졌다.

23일 금융권에 따르면 지난 17일까지 오픈뱅킹 서비스를 신청한 업체는 177곳으로 이 중 서비스 준비를 마친 곳은 47개사다. 시중은행 16곳과 토스와 핀크, 카카오페이 등 핀테크 기업 7곳, 기존 오픈 플랫폼 기관 24곳이 참여를 마쳤다.

금융위원회는 나머지 신청 기업에 대해 보안 점검 등을 완료한 이후 순차적으로 참여할 것을 밝혔는데 실질적으로는 저조할 것으로 보인다. 당장 서류 심사를 거쳐 서비스 기능 테스트를 마치지 못한 곳도 수두룩할뿐더러 보안 점검 직전 단계에서 탈락하는 업체들이 속출하고 있기 때문이다.

금융위에 따르면 핀테크 업체 133곳 중 승인 심사를 통과한 곳은 95곳으로 기능 테스트까지 마친 곳은 12곳이다. 10곳 중 9곳은 기능 테스트조차도 통과하지 못한 것인데 중·소형 핀테크 신청 사업자의 대부분이 이를 통과하지 못하는 것으로 전해졌다.

오픈뱅킹 서비스 참여를 위해선 총 5개 단계를 거쳐야 한다. 사업 모델 비전 등이 담긴 서비스 계획서를 금융결제원에 제출하는 이용 승인 신청을 거친 뒤 다시 이용적합성 승인을 거쳐 서비스에 대한 기능 테스트를 진행한다.

기능 테스트에는 계좌등록 과정서부터 이체 과정서 일어나는 IT 기술적 처리 과정이 제대로 돌아가는 지 보는 절차다. 관리와 물리 기술 3개 영역에서 14개 분야, 30개 항목을 통과하면 점검이 끝난다.

이 단계를 통과하면 금융보안원에서 진행하는 보안 취약 점검 단계로 들어선다. 이 과정서는 웹과 모바일의 플랫폼에서 보안성을 따져본다. 이러한 절차에서도 문제가 없다고 판단되면 다시 결제원으로 넘어가 최종 승인 단계를 거치는데 당장 보안 취약 점검에 들어서지도 못한 기업이 상당수로 나타났다.

현재 오픈뱅킹 서비스 신규 이용 신청을 마친 종소형 핀테크 업체 중 결제원의 이용 승인 신청을 통과한 곳은 약 48곳으로 파악된다. 이 중 대부분은 다음 단계인 보안원의 이용 취약 점검 단계에도 들어서지 못했다. 최소한의 보안조차 갖추지 못한 곳이 많아 심사를 통과하지 못했다는 게 오픈뱅킹 심사 기관들의 설명이다.

예컨대 오픈뱅킹 서비스 이용을 위해선 외부와 내부로 망을 분리하는 작업이 필수적인데 이조차도 갖추지 않았거나 정보보호책임자와 같은 보안 담당자가 없고, 보안 통제 절차조차 갖추지 못하고 있다는 설명이다.

오픈뱅킹 심사 기관 한 관계자는 "중소형 업체들의 상당수는 개발이나 서비스 출시에 중점을 두고 사업을 추진해 와 보안성을 갖추지 못한 곳이 많다"며 "미흡사항 보완을 권할 시 장기간 시간이 소요되거나 지적한 바를 고치지 못하는 곳도 존재하는 상황"이라고 말했다.

오픈뱅킹 참여에 따른 비용 문제도 중소형 업체로선 부담으로 작용한다. 오픈뱅킹 보안 때마다 점검 비용을 내야하고, 간편 송금 사업자로 참여할 시 매일 일어나는 이체 거래 규모에 따라 안전성 유지 차원에서 출금이체 일간 한도 금액의 200%를 보증금으로 내야 한다.

금융위 산하 한국핀테크지원센터는 이 같은 점을 해소하고자 중소기업에 한해 최대 75%까지 점검 비용을 지원하고 있지만, 이를 지원해도 인적, 물적 자원을 갖추지 못해 사실상 사업을 접는 곳도 있다. 당초 오픈뱅킹 사전 신청을 검토했던 것으로 알려진 한국전자영수증 등의 경우 참여를 확정 짓지 못하고 사업을 검토 중이라는 입장을 밝혔다.

한국핀테크지원센터 관계자는 "사업이 초기 단계에 있는 중소 핀테크사의 경우 직원을 최소한으로 두고 운영하기 때문에 보안책임자를 두지 않는 곳도 많다"며 "대형 사업자에 비해 참여가 쉽지 않은 상황"이라고 말했다.

오픈뱅킹 서비스는 금융소비자의 금융 거래와 직접적인 영향이 있기 때문에 보안성이 엄격할 수 밖에 없다. 특정 플랫폼에서 이상이 발생하면 다른 참여기관의 보안에도 문제가 발생하기 때문이다.

현재 일부 업체의 경우 다양한 플랫폼을 토대로 오픈뱅킹 가입을 받고 있는데 송금 과정서 문제 발생 시 책임 소재가 불분명한 문제가 제기된다. 오픈뱅킹 서비스에 참여하는 핀테크 업체들 중 일부는 별도로 연계한 IT 플랫폼을 통해서도 오픈뱅킹 신청을 받고 있다.

카카오페이의 경우 카카오톡과 연계해 두 개의 플랫폼에서 오픈뱅킹 신청을 받고 있다. 문제는 카카오페이는 전자금융업자라 금융당국의 소관이지만 카카오톡은 산업 기업이라 감독 규제 대상에서 제외된다는 점이다. 플랫폼 이용 과정 중 카카오톡서 문제가 발생할 시 책임 소재를 묻는 것에 대한 우려가 존재하는 상황이다.

금융결제원 관계자는 "다양한 플랫폼에서 오픈뱅킹 신청을 받은 경우 1차적으로 책임 소재는 이용기관이 짊어져야 한다"며 "오픈뱅킹이 아닌 플랫폼 이용 과정서 문제가 발생했을 때도 신청 기업이 먼저 책임지는 구조다"고 설명했다.