해킹사고가 발생한 대형 증권사와 보험사에 대해서도 금융감독원이 은행권과 동일하게 최고경영자(CEO) 등 경영진의 책임까지 묻기로 했다. 기본적인 보안통제 부실로 사고가 발생하면 매출액의 3%를 징벌적 과징금으로 부과하는 법 개정도 추진한다. 법 개정 전이라도 해킹사고 발생 여부에 따라 금융회사의 감독분담금을 차등 부과하는 방안을 검토한다.
금융감독원은 이찬진 원장이 3일 임원회의에서 최근 금융권 해킹사고와 관련한 업권별 대응 현황을 점검하고 IT 보안 강화 방안을 논의했다고 밝혔다.
최근 금융권 해킹사고는 은행과 증권사, 보험사 등 전통 금융회사를 넘어 전자금융거래법 적용을 받지 않는 업권으로까지 확산하고 있다. 특히 가상자산사업자와 온라인투자연계금융업자 등에서는 실제 금전 피해까지 발생하면서 보안 강화 필요성이 커졌다.
금감원은 통합관제시스템(FIRST)을 통해 △기본 보안통제 미흡 사항 △외부접점 악용 가능성 △인공지능(AI) 에이전트 기반 사이버공격 위험 등을 금융권에 안내했다. 해킹사고가 본격화한 이후에는 전 금융권에 긴급 체크리스트를 배포하고 자체 점검과 불필요한 외부접근 차단도 주문했다. 가시적인 변화가 나타나지 않아 금융권의 이행이 충분하지 않다고 판단했다.
이에 이 원장은 사고 발생 금융회사에 대해 기존 배포된 보안 유의사항 준수 여부와 자체 점검의 적정성을 면밀히 살펴보라고 지시했다. 특히 종합금융투자사업자와 보험사 등 대형 금융회사에 대해서는 기존 은행권 검사·제재 방침과 동일하게 CEO 등 경영진의 책임까지 엄중히 물을 방침이다.
기본적인 보안통제가 미흡하거나 형식적인 점검에 그쳐 사고가 발생했다면 경영진이 보안관리 책임을 제대로 수행했는지 살펴보겠다는 것이다.
금전적 제재 강화도 추진한다. 이 원장은 기본통제 부실이나 보안 취약점 방치로 해킹사고가 발생하면 매출액의 3%를 징벌적 과징금으로 부과할 수 있도록 지난해 11월 발의된 전자금융거래법 개정안의 신속한 통과를 위해 국회와 협조할 것을 주문했다.
법 개정 전이라도 금융회사의 보안 강화를 유도하기 위한 방안을 마련하기로 했다. 대표적으로 수익자 부담 원칙에 따라 해킹사고 발생 여부 등을 고려해 금융회사별 감독분담금을 차등 부과하는 방안이 거론됐다.
독자들의 PICK
지금 2,549명 읽는 중
전 금융권에 대한 보안점검도 확대한다. 금감원은 법인보험대리점(GA)과 대부업체, 가상자산사업자, 온투업자 등 전자금융거래법 미적용 회사를 포함해 외부접점을 전수점검할 계획이다.
특히 고객이나 금융회사 재산을 취급하는 시스템과 연결돼 공격 시 금전적 피해가 발생할 수 있는 외부접점을 우선 점검한다. 취약점이 해소되기 전까지는 원칙적으로 외부접근을 차단하도록 할 방침이다.
금감원은 IT 전문인력을 총동원해 금융회사들의 점검 이행 여부를 사후 확인하고 형식적인 점검에 그친 회사에 대해서는 엄중 조치하기로 했다. 이와 함께 금감원 내부에 보안전담조직을 신설하고 IT 전문인력을 확충하는 방안도 추진한다.
이 원장은 "CEO를 비롯한 경영진과 이사회가 IT 안전성을 확보하는 것이 고객 신뢰 확보의 근간이자 핵심 생존전략임을 명확히 인식해야 한다"며 "내년도 보안 예산과 인력 확충에 앞장서야 한다"고 했다.
