금감원, 보험·증권사 해킹 사고도 CEO 책임 묻는다…보안 감독 강화

이찬진 원장, 금융권 보안 대응 미흡 지적

매출액 3% 징벌적 과징금 도입 추진

GA·가상자산업 등 외부 접점 전수점검

금융감독원이 금융권 해킹 사고에 대한 감독을 강화하고, 보험사와 대형 증권사 등에서 보안 관리 부실로 사고가 발생할 경우 최고경영자 등 경영진의 책임까지 엄중하게 물을 방침이다.ⓒ금융감독원

금융감독원이 해킹 사고가 발생한 대형 금융회사에 대해 최고경영자(CEO) 등 경영진의 책임까지 엄중하게 묻기로 했다.

기존 은행권에 적용하기로 한 검사·제재 방침을 보험사와 대형 증권사 등으로 확대하고, 금융권의 보안 취약점에 대한 점검도 강화한다.

금융감독원은 3일 이찬진 원장이 임원회의에서 최근 금융권 해킹 사고에 대한 업권별 대응 현황을 점검하고 정보기술(IT) 보안 강화 방안을 논의했다고 밝혔다.

이 원장은 최근 해킹 공격이 은행과 증권·보험사 등 전통 금융회사를 넘어 IT 보안이 취약한 전자금융거래법 미적용 업체까지 확산하고 있다고 지적했다.

특히 가상자산사업자와 온라인투자연계금융업자 등에서는 실제 금전 피해까지 발생한 만큼 한층 강화된 대응이 필요하다고 강조했다.

금감원은 그동안 금융권에 기본 보안 통제 미흡 사항을 보완하고 외부 접점 악용과 인공지능(AI) 기반 사이버 공격에 유의하도록 안내해 왔다.

해킹 사고가 본격화된 이후에는 금융권 전체에 긴급 자체점검을 실시하도록 하고, 필수적인 경우를 제외한 외부 접근을 원칙적으로 차단하도록 했다.

그러나 이 같은 조치에도 가시적인 변화가 나타나지 않는 등 금융권의 보안 강화 노력이 충분하지 않다는 게 금감원의 판단이다.

이에 이 원장은 금융회사 스스로 보안 위협과 취약점을 사전에 파악하고 대응하는 전사적 자율보안 체계를 조속히 구축해야 한다고 주문했다.

특히 CEO를 비롯한 경영진과 이사회가 IT 보안을 고객 신뢰 확보를 위한 핵심 경영 과제로 인식하고 내년도 보안 예산과 인력 확충에 적극 나서야 한다고 강조했다.

해킹 사고가 발생한 금융회사에 대해서는 기존 보안 유의사항과 자체점검이 적절하게 이행됐는지 면밀히 살펴볼 방침이다.

특히 종합금융투자사업자와 보험사 등 대형 금융회사에 대해서도 기존 은행권과 마찬가지로 CEO 등 경영진의 책임까지 엄중하게 물을 것을 지시했다.

기본 보안 통제가 미흡하거나 형식적인 점검에 그쳐 사고가 발생한 경우 경영진의 역할과 책임을 중점적으로 살펴보겠다는 취지다.

해킹 사고에 대한 제재 수단 강화도 추진한다.

이 원장은 기본 보안 통제 부실이나 취약점 방치로 해킹 사고가 발생하면 매출액의 3%에 해당하는 징벌적 과징금을 부과할 수 있도록 전자금융거래법 개정안의 조속한 국회 통과에 협조할 것을 주문했다.

법 개정 전에도 사고 발생 여부 등에 따라 금융회사별 감독분담금을 차등 부과하는 방안 등을 검토하도록 했다.

추가 사고를 막기 위한 외부 접점 점검도 확대한다.

금감원은 법인보험대리점(GA)과 대부업, 가상자산업, 온라인투자연계금융업 등 전자금융거래법 미적용 업체를 포함해 금융권의 외부 접점을 전수점검할 계획이다.

특히 고객이나 금융회사의 재산을 취급하는 시스템과 연결돼 금전 피해가 발생할 수 있는 외부 접점을 우선 점검하고, 취약점이 해소되기 전까지는 원칙적으로 외부 접근을 차단하도록 할 방침이다.

금감원은 IT 전문 인력을 동원해 점검 이행 여부를 사후 확인하고 형식적인 점검에 그친 금융회사에는 엄중 조치할 예정이다.

아울러 IT 보안 전담 조직을 신설하고 전문 인력을 확충하는 등 감독·검사 역량도 강화하기로 했다.