#특금법 수혜주는 ISMS #심사요건만 120여개 #관피아 산물일까, 최후의 보루일까 

암호화폐(가상자산) 제도화 법안인 '특정 금융거래정보의 보고 및 이용 등에 관한 법률(특금법)' 개정안이 국회 본회의를 통과하면서, 일종의 사업 자격증이 될 정보보호관리체계(ISMS) 인증에 대해서도 관심이 쏠린다. 당장 특금법 개정안이 내년 3월 시행되는 만큼, 가상자산 취급업체는 그 이전에 반드시 ISMS 인증을 받아야 한다.

◆ISMS는 일종의 가상자산 사업증, 획득 방법은?

5일 국회에서 통과된 특금법 개정안을 살펴보면, 가상자산 사업자는 시행일인 내년 3월6일로부터 6개월 이내인 내년 9월까지 영업신고를 해야한다. 

가상자산에 대한 매도, 매수, 교환, 이전, 보관, 관리 등을 맡는 가상자산사업자(VASP)들은 금융정보분석원(FIU)에 가상자산 사업자로 신고하고 수리를 받아야 영업을 할 수 있다. 사업자 신고수리요건에는 실명확인 입출금계정(실명계좌) 서비스, ISMS 인증 획득이 의무화된다. 

ISMS 인증은 기업이 각종 위협으로부터 주요 정보자산을 보호하기 위해 수립 관리 운영하는 종합적인 체계의 적합성에 대해 인증을 부여하는 제도다. 일반적으로 기업이 ISMS 인증을 따내기 위해선 과학기술정보통신부 산하의 한국인터넷진흥원(KISA)의 심사를 받아야한다. 점수제로 이뤄지며, 서류평가와 실사평가 등을 거쳐야한다. 평가 항목이 120여건에 달할 정도로 방대해 일반적으로 컨설팅을 받는 경우가 많다. 

실제 국내에는 ISMS 인증 획득을 위한 컨설팅 업체들이 수십여곳 운영 중이다. 파수닷컴 등 중견 보안업체도 ISMS 컨설팅을 통해 적잖은 수익을 확보하고 있는 것으로 알려졌다.  

비용은 천차만별이다. 가상자산 업계에선 관련업계에 대한 정부의 부정적인 시각이 팽배해, 컨설팅 비용만 10억원을 호가한다고 주장한다. 최근 ISMS 인증 획득을 추진 중인 업계 한 관계자는 "워낙 까다롭고 점수가 어떻게 깎일지 모르니, 컨설팅을 받을 수 밖에 없고 일부 대형사도 12억원을 지불하고 따낸 것으로 알고 있다"고 말했다. 

◆무용론이 나오는 이유…ISMS 받고도 털렸다

과학기술정보통신부와 KISA는 지난 2018년 1월, 매출액 100억원 이상, 일 평균 방문자 100만명 이상의 암호화폐 거래사이트에 대한 ISMS 인증을 의무화했다. 업비트를 포함한 코빗, 빗썸, 코인원 등이 당시 ISMS 인증을 획득했다.

그럼에도 ISMS 인증를 획득한 국내 거래사이트의 암호화폐 유출사고는 반년에 한번꼴로 이어지고 있다. 특히 대형업체인 업비트와 빗썸이 나란히 해킹을 당해 체면을 구겼다. 때문에 관련업계에선 가상자산 업계에 대한 이해도가 깊은 별도의 기준이 마련돼야 한다는 얘기도 나온다.

한호현 한국전자서명포럼 의장은 "ISMS 인증이 중앙집중시스템에 최적화돼 있어 블록체인과 같은 분산처리시스템에서는 대응기준을 적용할 수 없다"며 "가상자산 거래업체의 체계와 운영구조로 볼 때 ISMS 인증 기준을 적용하기 어렵다"고 주장했다. 

일각에선 인증 획득 기준이 투명하게 외부에 공개되지 않아, 특정 부처와 산하기관의 '관피아' 육성 수단으로 자리잡은 것 아니냐는 비판의 목소리도 적지 않다. 보안업계의 한 관계자는 "특정 기관 직원들이 퇴사 후, ISMS 컨설팅 업체로 이동해 전관예우를 받고 있다는 의심이 적지 않은 상황"이라며 "ISMS 인증 무용론과 별개로, 보다 투명한 기준 마련이 필요해보인다"고 지적했다. 

◆ISMS를 위한 변명…최소한의 안전장치! 

ISMS 인증 획득 사업자들이 해킹에 속수무책을 당했음에도 정부가 또다시 ISMS 인증을 가상자산 사업자의 필수 요건으로 집어 넣은 것은 ISMS를 제외하면 가상자산 업계를 관리할 수 있는 마땅한 보안 인증 제도가 없는 탓이다. 특히 ISMS 인증을 따기 위한 까다로운 과정을 통과해야하고 비용도 적잖게 들어가 이 과정에서 사기업체를 걸러낼 수 있다는 주장에도 힘이 실린다. 

업계의 한 관계자는 "지난해에는 3억원만 있으면 거래업체를 열 수 있었고, 몇백만원으로 코인을 발행하는 업체들이 수두룩했다"면서 "ISMS 인증이라도 있어야 그나마 저질업체를 걸러낼 수 있는 것도 사실"이라고 말했다. 

이수호 기자 lsh5998688@techm.kr