.svg)
AI 솔루션 문의하기
가상자산 사업자는 이용자의 자산을 직접 보관하고 이동시킬 수 있는 권한을 가진 임직원이 존재한다는 점에서 다른 금융업권과는 다른 성격의 내부 통제 과제를 안고 있습니다. 콜드월렛 키 관리나 대규모 자산 이동 승인 권한을 가진 인력이 소수라 하더라도 그 권한이 잘못 사용되면 피해 규모가 순식간에 커질 수 있어 외부의 위협은 물론 내부 인력에 대한 통제 체계 역시 촘촘하게 갖춰야 합니다. 이용자를 대상으로 한 신원확인 체계만큼이나 내부 임직원의 접근 권한을 관리하는 체계도 함께 정교하게 설계되어야 하는 이유입니다. 조직 규모가 작을수록 소수 인력에게 권한이 집중되는 경향이 있어 이러한 통제의 필요성은 오히려 더 커지는 경우도 있습니다.
기존에는 내부 시스템 접근을 아이디와 비밀번호 조합으로 통제하는 경우가 일반적이었습니다. 문제는 계정 정보가 공유되거나 유출되면 실제로 누가 시스템에 접근해 어떤 작업을 수행했는지 명확하게 특정하기 어렵다는 점이며 퇴사한 직원의 계정이 제때 회수되지 않거나 관리자 권한이 필요 이상으로 넓게 부여되어 있는 경우처럼 관리상의 허점이 실제 사고로 이어지는 사례도 발생해 왔습니다. 계정 정보만으로는 행위자와 행위 자체를 확실하게 연결짓기 어렵다는 근본적인 한계가 있으며 이는 사고가 발생한 이후 책임 소재를 규명하는 과정에서도 큰 걸림돌로 작용합니다.
생체인증 관리체계는 임직원이 민감한 시스템에 접근하거나 자산 이동을 승인할 때 얼굴이나 지문 같은 생체정보로 본인 여부를 직접 확인하도록 절차를 재설계하는 방식으로 구축됩니다. 계정과 비밀번호처럼 타인에게 위임하거나 공유할 수 있는 정보 대신 본인만이 제공할 수 있는 생체정보를 기준으로 삼기 때문에 특정 작업이 실제로 누구에 의해 수행되었는지를 훨씬 명확하게 특정할 수 있는 구조가 만들어집니다. 임직원 입장에서도 비밀번호를 별도로 암기하거나 주기적으로 변경할 필요가 없어져 관리 부담이 줄어드는 효과가 함께 나타납니다. 이는 계정 정보라는 위임 가능한 수단에 의존하던 기존 방식과 달리 행위자 본인의 생체정보를 매 순간 직접 확인한다는 점에서 근본적인 차이가 있습니다.
고액의 자산 이동이나 민감한 시스템 변경은 한 사람의 승인만으로 처리되지 않도록 설계하는 경우가 일반적입니다. 생체인증 관리체계는 이러한 다중 승인 구조와 결합되어 승인 단계마다 참여하는 인력 각각의 생체정보를 개별적으로 확인하도록 구성할 수 있어 승인자 중 한 명의 계정이 도용되더라도 나머지 승인자의 생체인증까지 함께 통과하지 않으면 최종 승인이 이루어지지 않는 다층적인 방어 구조를 만들 수 있습니다. 승인자 간에 물리적으로 다른 장소에서 근무하는 경우에도 원격으로 각자의 생체인증을 수행하도록 설계할 수 있어 조직 구조에 맞춘 유연한 적용이 가능합니다. 승인 단계가 많아질수록 관리해야 할 생체인증 이력도 함께 늘어나기 때문에 이를 체계적으로 기록하고 조회할 수 있는 기반이 함께 마련되어야 합니다.
가상자산 사업자는 정기적으로 금융당국의 검사나 외부 감사를 받으며 내부 통제 체계의 적정성을 소명해야 하는 위치에 있습니다. 생체인증 기반으로 접근과 승인 이력을 기록해 두면 특정 시점에 누가 어떤 시스템에 접근했고 어떤 승인을 수행했는지를 생체정보와 결합된 형태로 명확하게 제시할 수 있어 계정 정보만으로 소명하던 기존 방식보다 감사 대응의 신뢰도를 높일 수 있습니다. 이력 기록이 위변조되지 않도록 별도의 보안 조치를 함께 적용하는 것도 감사 대응력을 높이는 데 중요한 요소이며 기록 자체에 대한 접근 권한 역시 별도로 엄격하게 관리되어야 합니다.
임직원의 생체정보를 다루는 만큼 수집부터 저장 활용 파기에 이르는 전 과정을 체계적으로 관리하는 일도 중요한 과제입니다. 원본 생체정보 대신 암호화된 특징값만을 저장하는 방식으로 설계하고 퇴사나 부서 이동처럼 접근 권한이 더 이상 필요하지 않은 시점에는 관련 생체정보를 지체 없이 파기하는 절차까지 함께 마련해야 개인정보보호 규제 위반 소지를 줄일 수 있습니다. 파기 절차 역시 별도의 기록으로 남겨두어야 이후 감사 과정에서 적절한 시점에 절차가 이행되었는지를 함께 증빙할 수 있습니다. 생체정보의 생애주기를 접근 권한의 생애주기와 함께 관리하는 체계가 뒷받침되어야 관리체계 전체의 신뢰성이 유지됩니다.
가상자산 사업자가 생체인증 관리체계를 구축하려면 먼저 어떤 시스템과 어떤 권한 등급까지 생체인증을 적용할지 우선순위를 정하는 작업이 필요합니다. 콜드월렛 관리나 대규모 승인처럼 위험도가 높은 지점부터 우선 적용하고 이후 단계적으로 적용 범위를 넓혀가는 방식이 현실적이며 특정금융정보법 등 관련 규제가 요구하는 내부 통제 기준을 함께 반영해 설계해야 향후 검사 과정에서 지적 사항을 줄일 수 있습니다. 임직원 대상 교육과 절차 안내를 함께 제공해 새로운 인증 방식에 대한 이해도를 높이는 과정도 구축 못지않게 중요합니다.
가상자산 사업자는 이용자의 신뢰가 곧 사업의 존립과 직결되는 만큼 외부 위협 대응 못지않게 내부 통제 체계의 완성도가 중요하게 다뤄져야 하는 업권입니다. 생체인증 관리체계는 계정 정보에 의존하던 내부 통제의 공백을 메우고 행위자 본인을 명확하게 특정할 수 있는 수단으로 자리잡고 있으며 규제 환경과 조직 규모의 변화에 맞춘 세부 설계가 앞으로도 계속 이어질 수 있습니다. 조직이 성장하고 다루는 자산 규모가 커질수록 내부 통제 체계에 요구되는 정교함의 수준도 함께 높아질 것입니다.
.svg)
.svg)
