금융당국이 최근 금융권 해킹 사태의 근본 원인 중 하나로 정보기술(IT) 자산 식별·관리 부실을 지목하고, 금융회사가 보유한 IT자산을 빠짐없이 전산으로 관리하도록 의무화하는 방안을 추진한다. 현행 전자금융거래법에는 IT자산의 식별·관리를 명시적으로 의무화한 조항이 없는 만큼 법 개정을 위한 검토에 나섰다.
14일 금융권에 따르면 금융당국은 금융회사가 보유·운영하는 하드웨어와 소프트웨어 전체를 전산을 통해 식별하고 관리하도록 관련 규제를 신설하는 방안을 검토하고 나섰다. 전자금융거래법 개정과 연계해 하위 규정인 전자금융감독규정에 관리 의무를 명시하는 방식이 될 전망이다.
금융당국은 이번 해킹 사태의 주요 원인으로 은행들이 내부에서 활용되는 IT자산을 제대로 식별하고 관리하지 못했다는 점을 꼽고 있다. 다만 해킹된 대출모집인을 위한 업무지원 시스템 등은 관리 대상 IT자산에 포함돼 있었지만, 인터넷뱅킹 등 주요 자산에 비해 상대적으로 관리가 미흡했던 것으로 파악됐다.
특히 일부 시스템은 소프트웨어의 서비스 지원 종료(EOS) 시점이나 구성 요소, 보안패치 이력 등이 체계적으로 관리되지 않았다. 새로운 취약점이 발견돼도 해당 시스템이 패치 대상인지 신속하게 파악하기 어려웠다는 게 금융당국의 판단이다.
현행 전자금융거래법 제21조는 금융회사에 전자금융거래의 안전성 확보 의무를 부과하고 있다. 이를 근거로 마련된 전자금융감독규정에도 전산시스템 보호 등에 관한 기준이 있지만, 전체 IT자산을 전산을 통해 빠짐없이 식별하고 관리하도록 명시한 조항은 없다.
다만 구체적인 법령 개정 방식과 시기는 아직 정해지지 않았다. 금융당국은 현재 해킹 사고에 대한 피해 확산 방지와 후속 대응에 집중하고 있다. 롯데카드 해킹 사태 이후 금융회사의 보안 의무 위반에 대한 과징금을 매출액의 최대 3%까지 높이는 전자금융거래법 개정도 아직 마무리되지 않은 상태이기 때문이다.