해킹당하면 과징금 최대 200억… 징벌적 제재에 떠는 2금융권

해킹 사고를 당한 금융사에 최대 200억원 징벌적 과징금을 부과하는 법안이 올해 마련된다. 금융사 스스로 보안 체계를 갖추도록 자율성을 부여하면서도, 사이버 침해 사고로 정보가 유출되면 엄중한 책임을 묻는 법안이다. 은행보다 보안 예산과 인력이 적은 2금융권이 특히 긴장하고 있는데 최근 발생한 일련의 금융사 해킹 대상은 모두 비은행이었다.

5일 금융당국에 따르면 금융권 자율 보안 토대를 마련하기 위한 '디지털 금융 보안법'이 올해 안에 법제화된다. 이 법안의 핵심은 금융사의 자율적 보안체계 구축이다. 전자금융감독규정에 명시된 현행 금융보안 기준은 행위 규칙 중심으로 지나치게 세세하게 명시됐다. 금융사는 '규정만 준수하면 면책'이라는 소극적 인식을 갖게 되고, 상황별로 유연한 보안 대응을 하기 어렵다.

반면 디지털 금융 보안법은 해킹 등으로 정보가 유출됐을 때 금융사에 강력한 책임을 부과한다. 금융사가 '알아서·스스로' 보안체계를 구축하도록 자율성을 부여하되, 사고가 발생하면 강력하게 처벌하겠다는 취지다.

이재명 대통령도 금융사 해킹 사고에 강력한 조치를 당부한 만큼 디지털 금융 보안법 입법에도 속도가 붙을 예정이다. 이 대통령은 전날 수석보좌관회의에서 "보안 사고를 반복하는 기업들에는 징벌적 과징금을 포함한 강력한 대처가 이뤄지도록 관련 조치를 신속하게 준비해 주기 바란다"고 지시했다.

디지털 금융 보안법에는 강력한 과징금 제재가 명시될 것으로 보인다. 올해 초 공개된 법안 초안에는 금융사고 발생 시 금융사 전체 매출의 3%, 최대 200억원에서 징벌적 과징금을 부과한다는 내용이 담겼다. 다만 과징금 범위는 입법 과정에서 조정될 수 있다.

금융사에선 특히 2금융권이 긴장하고 있다. 2금융권은 은행보다 IT 보안에 투자하는 예산과 인력이 상대적으로 적다. KISA(한국인터넷진흥원)에 따르면 2023년 저축은행중앙회의 정보보호 투자 금액은 33억1510만원이다. 그해 금융업 평균인 67억8910만원의 절반에 불과하다. 저축은행중앙회 전산망은 현재 67개 저축은행이 공동으로 사용한다. 중앙회 전산이 뚫리면 나머지 회사도 공격받을 수 있어 리스크가 더 크다.

실제로 최근 잇따른 금융사 사이버 침해 사고는 모두 비은행에서 발생했다. 지난 7월 SGI서울보증, 지난달에는 웰컴금융그룹의 대부업 계열사가 연속으로 랜섬웨어 해킹 공격을 받았다. 가장 최근에는 롯데카드가 외부 침입자로부터 공격받았다.

업계 관계자는 "예전엔 감독규정상 명시된 정보보호 기준만 지키면 됐지만 앞으론 법에 원론적인 내용만 남게 되고 금융사 스스로 보안 체계를 만들어야 한다"며 "금융사가 느끼는 부담이 상당히 클 것"이라고 말했다.

2금융권에선 정보보호 강화에 노력을 쏟고 있다. 1금융권에선 이미 많이 사용되는 제로 트러스트 보안 모델을 도입하려는 움직임도 있다. 제로 트러스트는 '아무도 신뢰하지 않는다'는 뜻으로 내부 사용자라도 네트워크 접속을 제한하는 보안 모델이다. 한편 새마을금고는 매년 정보보호 강화 구축 사업을 진행 중이다. 신규 보안 솔루션을 구축해 실시간 모니터링을 강화하고 있다.

금융당국 관계자는 "사이버 침해의 수법이 고도화되고 있기에 기존의 방식으론 대응하기가 쉽지 않게 됐다"며 "금융사도 정보보호 강화를 위한 비용을 부담이 아니라 투자로 보는 시각이 필요하다"고 밝혔다.