3일 금감원에 따르면 이 원장은 이날 임원회의에서 최근 금융권 해킹 사고에 대한 업권별 대응 현황을 점검하고 정보기술(IT) 보안 강화 방안을 논의했다.
최근 해킹 사고는 은행과 증권·보험사 등 전통 금융회사뿐 아니라 전자금융거래법 미적용사까지 확대되고 있다. 가상자산사업자와 온라인투자연계금융업자 등에서는 실제 금전 피해도 발생했다.
금감원은 그동안 통합관제시스템(FIRST)을 통해 기본 보안 통제 미흡 사항과 외부 접점 악용 위험, AI 에이전트 기반 사이버 공격 등에 대한 유의사항을 금융권에 전달해 왔다.
침해 사고 발생 이후에는 금융권 전체에 긴급 자체점검을 실시하도록 하고 필수적인 경우를 제외한 외부 접근을 원칙적으로 차단하도록 했다. 그러나 금감원은 이러한 조치에도 가시적인 변화가 나타나지 않는 등 금융권의 이행이 충분하지 않다고 판단했다.
이에 이 원장은 금융회사 스스로 보안 위협과 취약점을 사전에 파악하고 대응하는 전사적 자율보안 체계를 조속히 구축해야 한다고 강조했다. CEO와 이사회가 IT 보안의 중요성을 인식하고 내년도 보안 예산과 인력 확충에 적극적으로 나설 것도 주문했다.
특히 해킹 사고가 발생한 금융회사를 대상으로 기존 보안 유의사항과 자체점검이 적절하게 이행됐는지 면밀히 살펴보도록 했다.
종합금융투자사업자와 보험사 등 대형 금융회사에 대해서는 앞서 발표한 은행권 검사·제재 방침과 동일하게 CEO 등 경영진의 책임까지 엄중히 묻도록 지시했다. 기본 보안 통제가 미흡하거나 형식적인 점검으로 사고가 발생한 경우 경영진의 역할이 적절했는지 살펴보겠다는 방침이다.
기본 통제 부실이나 보안 취약점 방치로 해킹 사고가 발생하면 매출액의 3%에 해당하는 징벌적 과징금을 부과할 수 있도록 관련 입법도 추진한다.
금감원은 지난해 11월 발의된 전자금융거래법 개정안의 신속한 국회 통과를 위해 관계기관과 협력할 계획이다. 법 개정 전에도 사고 발생 여부 등에 따라 감독분담금을 차등 부과하는 방안 등을 검토하기로 했다.
추가 사고 방지를 위한 금융권 외부 접점 전수점검도 실시한다. 검사 대상에는 법인보험대리점(GA)과 대부업, 가상자산업, 온라인투자연계금융업 등 전자금융거래법 미적용사도 포함된다.
금감원은 IT 전문인력을 투입해 점검 이행 여부를 사후 확인하고 형식적인 점검에 그친 경우 엄중 조치할 방침이다.
특히 고객이나 금융회사의 재산을 취급하는 시스템과 연결돼 금전 피해가 발생할 가능성이 있는 외부 접점을 우선 점검한다. 보안 취약점이 해소되기 전까지는 외부 접근을 원칙적으로 차단하도록 할 계획이다.
아울러 금융권 IT 보안에 대한 감독·검사를 강화하기 위해 금감원 내 보안 전담 조직 신설과 전문인력 확충도 추진한다.
Copyright © 경제일보, 무단전재·재배포 금지
