금융보안원 사원사 확대, GA·자산운용사 개인정보보호 강화 나선다

핵심 요약

- 금융보안원이 2026년 사원사를 GA(법인보험대리점)와 자산운용사로 확대하며 금융 보안 생태계 다변화 추진 - 공급망을 악용한 내부정보 유출 사고 증가로 위탁업체 보안관리 중요성 부각 - GA는 다량의 개인정보 취급 및 외부 전산서비스 의존도가 높아 개인정보보호 및 위탁 관리 체계 강화 필요

주요 내용

금융보안원이 2026년 사원사 범위를 GA(법인보험대리점)와 자산운용사로 확대하는 조치를 단행했다. 이는 금융권 사이버 보안 사각지대를 해소하고 업권별 특성에 맞는 보안 지원 체계를 구축하기 위한 조치다. 특히 GA는 보험 판매·유지 업무 특성상 고객의 민감한 개인정보를 대량으로 처리하면서도 보안 인프라가 상대적으로 취약해 집중 관리가 요구되는 상황이다.

최근 금융권에서는 내부 정보가 외부로 유출되거나 공급망 파트너를 통한 침해사고가 잇따르고 있다. GA는 보험사로부터 위탁받은 업무를 수행하며 외부 전산 서비스(클라우드, SaaS 등)를 함께 활용하는 경우가 많아 공급망 보안 취약점이 그대로 노출된다. 개인정보보호법과 신용정보법상 위탁자 책임 원칙에 따라, 보험사는 GA에 대한 관리·감독 의무를 부담하지만 실무상 통제 공백이 발생하는 경우가 빈번하다.

고성능 인공지능(AI) 활용이 확대되면서 금융권의 개인정보 처리 환경도 급변하고 있다. AI 기반 고객 분석, 자동화된 언더라이팅, 챗봇 상담 등이 보편화되면서 개인정보 처리 단계마다 AI가 개입하고 있다. 그러나 AI 모델 학습 과정에서 개인정보가 무분별하게 사용되거나, 생성형 AI를 통해 민감정보가 외부 서버로 전송되는 등의 위험이 증가하고 있다. 이에 따라 금융보안원은 AI 활용 시 개인정보 영향평가, 위탁계약 명확화, 접근통제 강화 등 다층 방어 체계 구축을 권고하고 있다.

금융보안원의 사원사 확대는 단순한 회원 증가가 아니라, 금융 생태계 전반의 보안 거버넌스 강화를 의미한다. GA와 자산운용사는 각각 개인정보 대량 처리와 자산 정보 보호라는 고유한 보안 과제를 안고 있으며, 금융보안원의 기술 지원과 정보 공유 체계가 이들 업권의 보안 수준 향상에 기여할 것으로 기대된다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, GA의 개인정보보호 체계는 '위탁 관계의 이중성'이라는 구조적 문제를 내포하고 있다. GA는 보험사로부터 영업 업무를 위탁받는 수탁자이면서, 동시에 외부 전산업체에 시스템 운영을 재위탁하는 위탁자 역할을 동시에 수행한다. 개인정보보호법 제26조(업무위탁에 따른 개인정보 처리 제한) 및 제3항(재위탁 제한 및 고지 의무)을 준수하려면, GA는 보험사와의 위탁계약서에 보안 요구사항을 명확히 규정하고, 재위탁 시에도 동일 수준의 보호조치를 문서화해야 한다. 그러나 실무에서는 계약서상 추상적 문구에 그치거나, 재위탁 사실조차 보험사에 미고지하는 경우가 적지 않다.

AI 활용 확대는 또 다른 개인정보보호 리스크를 야기한다. 특히 생성형 AI를 고객 상담이나 계약서 작성에 활용할 경우, 프롬프트에 고객의 성명·주민등록번호·금융정보가 포함될 수 있으며 이는 곧 제3자(AI 서비스 제공자) 제공에 해당한다. 개인정보보호법 제17조(개인정보 제공) 및 제18조(개인정보 목적 외 이용·제공 제한)를 위반하지 않으려면, ① AI 서비스 이용 전 개인정보 영향평가(PIA) 실시 ② 최소 정보 원칙 준수(마스킹 처리) ③ 온프레미스 또는 전용 인스턴스 활용 ④ AI 위탁계약 체결 및 고객 고지 등 4단계 통제가 반드시 선행되어야 한다. 금융보안원 사원사 확대가 실효성을 갖기 위해서는, 단순한 기술 지원을 넘어 ISMS-P 인증 취득 지원, 표준 위탁계약서 템플릿 제공, AI 활용 가이드라인 배포 등 실질적 지원책이 뒷받침되어야 한다.

CPPG·ISMS-P 연계 포인트

1. 개인정보 처리 위탁 및 재위탁 통제 (개인정보보호법 제26조, ISMS-P 2.8.2)
위탁계약 체결 시 ① 위탁업무 범위·목적 명시 ② 재위탁 제한·승인 절차 ③ 안전성 확보조치 의무 ④ 손해배상 책임 조항을 반드시 포함해야 하며, 위탁업체에 대한 연 1회 이상 관리·감독(교육·점검) 실시 기록을 유지해야 한다.

2. AI 서비스 이용 시 개인정보 제3자 제공 통제 (개인정보보호법 제17조, ISMS-P 2.4.3)
생성형 AI 등 외부 AI 서비스 이용 시 개인정보가 서비스 제공자에게 전송되는 경우 '제3자 제공'에 해당하므로, 법 제17조에 따른 동의(제15조 각 호 사항 포함) 또는 법 제18조 예외 사유 충족 여부를 사전 검토하고, 개인정보 영향평가(제33조) 대상 여부를 판단해야 한다.