금융당국, 전산관리 의무화 법개정 추진
금융당국이 최근 금융권 해킹사태의 근본원인 중 하나로 IT자산 식별·관리부실을 지목하고 금융회사가 보유한 IT자산을 빠짐없이 전산으로 관리토록 의무화하는 방안을 추진한다. 현행 전자금융거래법엔 IT자산의 식별·관리를 명시적으로 의무화한 조항이 없는 만큼 법개정을 위한 검토에 나섰다.
14일 금융권에 따르면 금융당국은 금융회사가 보유·운영하는 하드웨어와 소프트웨어 전체를 전산을 통해 식별하고 관리하도록 관련규제를 신설하는 방안을 검토 중이다. 전자금융거래법 개정과 연계해 하위규정인 전자금융감독규정에 관리의무를 명시하는 방식이 될 전망이다.
금융당국은 이번 해킹사태의 주요 원인으로 은행들이 내부에서 활용하는 IT자산을 제대로 식별하고 관리하지 못했다는 점을 꼽았다. 다만 해킹된 대출모집인을 위한 업무지원 시스템 등은 관리대상 IT자산에 포함됐지만 인터넷뱅킹 등 주요 자산에 비해 상대적으로 관리가 미흡했던 것으로 파악됐다. 특히 일부 시스템은 소프트웨어의 서비스 지원종료(End of Support·EOS) 시점이나 구성요소, 보안패치 이력 등이 체계적으로 관리되지 않았다.
현행 전자금융거래법 제21조는 금융회사에 전자금융거래의 안전성 확보의무를 부과했다. 이를 근거로 마련된 전자금융감독규정에도 전산시스템 보호 등에 관한 기준이 있지만 전체 IT자산을 전산을 통해 빠짐없이 식별하고 관리하도록 명시한 조항은 없다. 다만 구체적인 법개정 방식과 시기는 아직 정해지지 않았다.
