SBS Biz

금융감독원이 최근 잇따른 금융권 해킹 사고와 관련해 종합금융투자사업자와 보험사 등 대형 금융회사에 대해서도 최고경영자(CEO) 등 경영진의 책임을 엄중하게 묻기로 했습니다.



이찬진 금융감독원장은 오늘(3일) 임원회의에서 최근 금융권 해킹 사고에 대한 업권별 대응 현황을 점검하고 IT 보안 강화 방안을 논의했습니다.

이 원장은 최근 해킹 사고가 은행에서 증권·보험 등 전통 금융회사는 물론, IT 보안이 취약한 '약한 고리'인 전자금융거래법 미적용 업체까지 전방위적으로 확대되고 있다고 지적했습니다. 특히 가상자산사업자와 온라인투자연계금융업자 등에서는 금전 피해까지 발생하고 있어 한층 강화된 대비 태세를 갖추는 것이 시급하다고 강조했습니다.

금감원은 그동안 사고 발생 전부터 통합관제시스템(FIRST) 등을 통해 기본 보안 통제 미흡점 보완과 외부 접점 악용 주의, 인공지능(AI) 에이전트 기반 사이버 공격 유의 사항 등을 금융권에 전파해 왔습니다. 침해사고가 본격화된 직후에도 전 금융권을 대상으로 자체 긴급 체크리스트 점검을 실시하고, 필수 불가결한 경우를 제외하고는 외부 접근을 원칙적으로 차단하도록 했습니다.

그러나 이러한 조치에도 가시적인 변화가 나타나지 않는 등 금융권의 이행이 충분하지 못하다는 게 금감원의 판단입니다.



이에 이 원장은 사고가 발생한 금융회사에 대해 기존에 배포한 유의 사항과 자체 점검 등이 적정하게 이뤄졌는지 면밀히 살펴볼 것을 지시했습니다.

특히 종합금융투자사업자와 보험사 등 대형 금융회사의 경우 기존에 밝힌 은행권 검사·제재 방침과 동일하게 CEO 등 경영진의 책임까지 엄중하게 물을 것을 주문했습니다.

금감원이 IT 기본 통제 자체 점검과 보안 취약점에 대한 신속한 조치 등을 지속적으로 지도했음에도 기본 통제가 미흡하거나 형식적인 점검으로 사고가 발생했다면 경영진 역할의 적정성 등을 살펴보고 엄중 조치하겠다는 방침입니다.

징벌적 과징금 도입을 위한 법 개정에도 속도를 내기로 했습니다. 이 원장은 기본 통제 부실이나 보안 취약점 방치 등으로 해킹 사고가 발생한 경우 매출액의 3%에 해당하는 징벌적 과징금을 예외 없이 부과할 수 있도록 지난해 11월 발의된 전자금융거래법 개정안의 신속한 통과를 위해 국회 등과 적극 협조·소통할 것을 지시했습니다.

법 개정 전이라도 감독분담금을 수익자 부담 원칙에 근거해 사고 발생 등에 따라 차등 부과하는 등 금융회사의 보안 강화를 촉진할 수 있는 방안을 다각적으로 모색하기로 했습니다.

추가 사고 방지를 위해 전 금융권의 외부 접점에 대한 전수점검도 추진합니다. 점검 대상에는 보험대리점(GA)과 대부업, 가상자산업, 온라인투자연계금융업 등 전자금융거래법 미적용 업체도 포함됩니다.

특히 고객이나 금융회사의 재산을 취급하는 시스템과 연결돼 공격 시 금전 피해가 발생할 가능성이 있는 외부 접점을 우선 점검하도록 했습니다. 이들 외부 접점은 원칙적으로 보안 취약점이 해소되기 전까지 외부 접근을 차단하도록 할 방침입니다.

금감원은 IT 전문 인력을 총동원해 금융회사들의 점검 이행 여부를 사후 확인하고, 형식적인 점검에만 그친 경우 엄중 조치하기로 했습니다.

아울러 금융권 IT 보안 강화를 위한 실질적인 감독·검사가 이뤄질 수 있도록 보안 전담 조직 신설과 IT 전문 인력 확충도 추진합니다.

이 원장은 "AI를 악용한 사이버 공격이 전방위적·동시다발적·상시적으로 발생하고 있는 현실에서 금융회사 스스로 보안 위협과 취약점을 선제적으로 식별·대응하는 전사적 차원의 자율보안 체계를 조속히 확립하는 것이 무엇보다 중요하다"고 강조했습니다.

이어 "CEO를 비롯한 경영진과 이사회가 IT 안전성을 확보하는 것이 고객 신뢰 확보의 근간이자 핵심 생존 전략임을 명확히 인식하고 내년도 보안 예산·인력 확충 등에 앞장서야 한다"고 당부했습니다.