보험대리점(GA)업계가 개인정보·정보보호 체계를 정비하며 보안 강화에 속도를 내고 있다. 관련 법령 개정에 따라 책임자 지정·신고 의무에 대응하는 동시에 금융보안원 가입과 보험사 공동 대응을 통해 고객정보 보호 역량을 높이는 모습이다.
보험업계에 따르면 대다수 대형GA는 지난달 정보보호최고책임자(CISO) 선임을 마쳤거나, 선임 절차에 착수한 상태다. 지난 9월과 10월 개인정보 보호법과 정보통신망법 개정 시행으로 강화된 개인정보보호책임자(CPO)·CISO 관련 의무에 대응하기 위한 차원이다.
CPO는 개인정보 처리·보호 업무를 총괄하며 보호계획 수립과 유출 방지를 위한 내부통제 등을 담당한다. 보험 소비자 개인정보를 처리하는 GA는 원칙적으로 CPO 지정 의무가 부여된다. 단 소상공인 GA에 해당하면 별도 지정을 생략할 수 있다.
일정 규모 이상 GA에는 전문 CPO 지정·신고 의무가 적용된다. 연간 매출액 등이 1800억원을 초과하면서 100만명 이상의 개인정보 또는 5만명 이상 민감정보·고유식별정보를 처리하는 경우가 해당된다. 전문 CPO는 개인정보보호·정보보호·정보기술 경력을 합쳐 4년 이상, 이중 개인정보보호 경력을 2년 이상 수행해야 한다. 지정·변경·해제 시에는 이사회 의결을 거쳐 개인정보보호위원회에 신고가 필요하다.
CISO는 정보시스템 보안위협 점검과 개선, 사고 예방·대응을 총괄한다. 정보통신서비스 제공자에 해당되는 GA가 지정 대상이며, 자본금이 1억원을 초과하고 소기업에 해당되지 않으면 신고 의무가 부여된다. 영리 목적으로 회사 홈페이지를 운영하는 경우 정보통신서비스 제공자에 해당될 수 있다.
기업 규모에 따라 직위 요건은 달라진다. 중기업은 정보보호 총괄 부서장을 CISO로 지정할 수 있지만, 중소기업이 아닌 GA는 대표자나 임원이 맡아야 한다. 신고 대상 CISO는 관련 학위·경력 등 자격요건도 적용된다.
제도 안착을 위한 계도·유예기간도 마련됐다. CPO는 2027년 말까지 미지정·신고 지연 등에 대한 과태료를 부과하지 않는 계도기간이 운영된다. 올해 10월 1일 기준 지정·신고된 비임원 CISO에는 시행일부터 6개월간 임원 요건 적용을 유예한다.
최근 금융권에 잇따라 사이버 공격이 발생하면서 GA업권이 금융소비자 개인정보보호를 강화하고 있다. 금융보안원 가입은 법적 의무가 아니지만 내부통제 평가 가산점과 연계돼 참여 유인이 커졌다. 가입 GA는 보안관제와 침해사고 대응, 취약점 분석·평가, 모의해킹 등 지원을 받을 수 있다.
지난 8월 출범한 보험사·GA 정보보안 협의체도 공동 대응 기반이다. 협의체엔 금융감독원과 금융보안원, 보험사, GA 등이 참여해 GA 특화 보안점검 기준과 현장점검 확대, 보안 컨설팅, 모집인 맞춤형 교육 등을 추진할 전망이다.
한 GA 관계자는 “법령 개정을 앞두고 일부 대형GA들은 이미 관련 선임 절차를 마친 상태”라며 “최근 금융소비자 개인정보 보호가 강조되고 있고 보험 고객정보에는 민감 정보가 포함돼 있는 만큼, 사전에 개인정보 유출을 예방하는 것이 중요할 것”이라 말했다.
박진혁 기자 spark@etnews.com
